個人的なAWSの知見

AWS GuradDuty の S3 Malware Protection を利用する際、「スキャンされたオブジェクトにタグを付ける」設定がある。

これは、GuardDuty がマルウェアスキャンをしたオブジェクトに GuardDutyMalwareScanStatus というキーでタグを付け、値が NO_THREATS_FOUND になっていない場合はアクセス制限をつけるという機能。

しかし、スキャン対象の S3 Bucket に s3:ObjectCreated:* などの更新系を検知するイベント通知を設定していると、スキャンが完了して NO_THREATS_FOUND になるまで対象オブジェクトにアクセスできない (Access Denied) ためエラーになるケースがあるので、注意。