AWS ARNとは？形式の読み方とサービス別の書き方一覧

ARN（Amazon Resource Name）とは、AWS のリソースを1つに特定するための名前で、arn:パーティション:サービス:リージョン:アカウントID:リソース という、コロンで区切った6つの欄でできています。 IAM ポリシーの Resource、ロールの指定、サービス同士の連携など、「どのリソースか」を伝える場面で使います。

この記事では、主要33サービスの ARN を形式・実例つきの一覧にし、欄が空になるサービスとその理由、ワイルドカードがどこまで一致するか、CLI と boto3 での取得・組み立て・分解、ポリシーでエラーになる書き間違いまでをまとめます。

確認環境：Ubuntu 24.04 / AWS CLI 1.46.1 / Python 3.11 / boto3 1.43。コマンドは AWS の API をローカルで再現するツール（moto 5.2.3）で実行しました。掲載したコマンドは、ローカルの接続先を指定するオプション（--endpoint-url）を外し、実際の AWS でそのまま使える形にしています。

ARNの早見表（6つの欄の読み方）

arn:aws:lambda:ap-northeast-1:123456789012:function:resize-image
 │   │    │         │              │            └ ⑥ リソース（種類と名前）
 │   │    │         │              └ ⑤ アカウントID（12桁、ハイフンなし）
 │   │    │         └ ④ リージョン
 │   │    └ ③ サービス
 │   └ ② パーティション
 └ ① 固定の文字 arn

⑥のリソースの書き方は3種類あります。

どの形になるかはサービスごとに決まっているので、次の一覧で確かめてから書きます。

サービス別のARN一覧（主要33サービス）

「リージョン欄」「アカウント欄」は、その欄に値が入るかどうかです。「空」と書いたサービスでは、コロンを2つ続けて書きます。実例は、東京リージョン・アカウント ID 123456789012 でリソースを作って取得したもの、または AWS 公式ドキュメントの形式に当てはめたものです。

ストレージ・データベース

権限・暗号化・設定

コンピューティング・コンテナ

メッセージ・連携・監視

ネットワーク・配信

サービス名と名前空間が違うものに気をつけます。Step Functions は states、EventBridge は events、OpenSearch Service は es、EFS は elasticfilesystem、ALB は elasticloadbalancing です。

一覧から読み取れる細かな決まりもあります。

リージョン欄・アカウント欄が空になる理由

欄が空になるのは、その欄がなくてもリソースを1つに特定できるサービスです。

空の欄は詰めずに、コロンをそのまま残します。S3 ならコロンが3つ続き、IAM なら2つ続きます。

arn:aws:s3:::example-bucket            ← リージョンもアカウントも空（:::）
arn:aws:iam::123456789012:role/app-role ← リージョンだけ空（::）

AWS 管理ポリシーは、アカウント欄に12桁の番号ではなく aws が入ります（arn:aws:iam::aws:policy/ReadOnlyAccess）。自分のアカウントで作ったポリシーと見分ける目印になります。

ワイルドカード（* と ?）はどこまで一致するか

IAM ポリシーの Resource では、ARN の中にワイルドカードを書けます。

決まりは次のとおりです（AWS 公式ドキュメント「IAM JSON policy elements: Resource」「IAM identifiers」にもとづきます）。

この決まりを小さな Python の関数にして、一致・不一致を確かめました。* を「0文字以上」、? を「1文字」として、ARN 全体を照合します。

# arn_match.py
import re

def arn_like(pattern: str, arn: str) -> bool:
    """Resource の ARN パターンと実際の ARN を照合する（* は0文字以上、? は1文字）"""
    regex = "".join(".*" if ch == "*" else "." if ch == "?" else re.escape(ch) for ch in pattern)
    return re.fullmatch(regex, arn) is not None

print(arn_like("arn:aws:s3:::example-bucket/*", "arn:aws:s3:::example-bucket/a.txt"))
print(arn_like("arn:aws:s3:::example-bucket/*", "arn:aws:s3:::example-bucket"))

True
False

同じ関数に、よく使う組み合わせを渡した結果です。

表から分かる要点は3つです。

• バケットの ARN とオブジェクトの ARN は別物。example-bucket はバケットだけ、example-bucket/* はオブジェクトだけに当てはまる
• スラッシュを付けない example-bucket* は、名前が同じ文字で始まる別のバケットにも当てはまる。範囲を絞るなら example-bucket/* と書く
• Lambda のエイリアスつき ARN は、関数だけの ARN とは一致しない。エイリアスも対象にするなら function:resize-image:* を並べる

バケットとオブジェクトでARNを分けて書く定番のJSON

S3 のアクションには、バケットに対するもの（s3:ListBucket など）と、オブジェクトに対するもの（s3:GetObject、s3:PutObject など）があります。Resource をアクションの対象に合わせて2つの文に分けるのが定番の形です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::example-bucket"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": "arn:aws:s3:::example-bucket/*"
    }
  ]
}

このポリシーは aws iam create-policy でそのまま登録できます。オブジェクトの ARN は、バケット名の後ろにスラッシュが必要です。特定のフォルダだけにするなら arn:aws:s3:::example-bucket/logs/* のように、スラッシュの後ろにプレフィックスを続けます。

1つの文にまとめて書くこともできます。その場合は Resource を配列にして、2つの ARN を並べます（こちらも登録できることを確かめています）。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetObject", "s3:PutObject"],
      "Resource": [
        "arn:aws:s3:::example-bucket",
        "arn:aws:s3:::example-bucket/*"
      ]
    }
  ]
}

CLIでARNを取得する

多くのサービスでは、リソースを表示するコマンドの結果に ARN が入っています。--query で ARN だけを取り出します。

aws lambda get-function --function-name resize-image \
  --query Configuration.FunctionArn --output text

aws dynamodb describe-table --table-name Orders \
  --query Table.TableArn --output text

aws iam get-role --role-name app-role --query Role.Arn --output text

aws kms describe-key --key-id alias/app-key \
  --query KeyMetadata.Arn --output text

arn:aws:lambda:ap-northeast-1:123456789012:function:resize-image
arn:aws:dynamodb:ap-northeast-1:123456789012:table/Orders
arn:aws:iam::123456789012:role/app-role
arn:aws:kms:ap-northeast-1:123456789012:key/22c8c245-abb2-4df5-84a3-727cc3ab17f5

サービス別の取得コマンドです（すべて実行して、一覧表の ARN が返ることを確かめたものです）。

SQS のキューの URL は aws sqs get-queue-url --queue-name order-queue --query QueueUrl --output text で取れます。CloudWatch Logs の arn は、末尾に :* が付いた形（...log-group:/aws/lambda/resize-image:*）で返ります。

ARNを返さないサービスはシェルで組み立てる

S3 のバケットや EC2 のインスタンスのように、表示コマンドの結果に ARN が入らないものは、自分で組み立てます。アカウント ID とパーティションは get-caller-identity から取れます。

ACCOUNT=$(aws sts get-caller-identity --query Account --output text)
PARTITION=$(aws sts get-caller-identity --query Arn --output text | cut -d: -f2)
REGION=ap-northeast-1

echo "arn:${PARTITION}:sqs:${REGION}:${ACCOUNT}:order-queue"

BUCKET=example-bucket
KEY=logs/2026/app.log
echo "arn:${PARTITION}:s3:::${BUCKET}"
echo "arn:${PARTITION}:s3:::${BUCKET}/${KEY}"

arn:aws:sqs:ap-northeast-1:123456789012:order-queue
arn:aws:s3:::example-bucket
arn:aws:s3:::example-bucket/logs/2026/app.log

boto3でARNを取得・組み立て・分解する

Python（boto3）で同じことをするコードです。

# arn_tool.py
import boto3
from botocore.utils import ArnParser

sts = boto3.client("sts")
identity = sts.get_caller_identity()
account = identity["Account"]
partition = identity["Arn"].split(":")[1]
region = sts.meta.region_name

def build_arn(service, resource, region=region, account=account):
    return f"arn:{partition}:{service}:{region}:{account}:{resource}"

# 組み立てる
print(build_arn("sqs", "order-queue"))
print(build_arn("dynamodb", "table/Orders"))
print(build_arn("iam", "role/app-role", region=""))          # IAM はリージョン欄が空
print(build_arn("s3", "example-bucket/logs/*", region="", account=""))  # S3 は両方が空

# 取得する
print(boto3.client("lambda").get_function(FunctionName="resize-image")["Configuration"]["FunctionArn"])

# 分解する
arn = "arn:aws:lambda:ap-northeast-1:123456789012:function:resize-image:prod"
print(arn.split(":", 5))
print(ArnParser().parse_arn(arn))

arn:aws:sqs:ap-northeast-1:123456789012:order-queue
arn:aws:dynamodb:ap-northeast-1:123456789012:table/Orders
arn:aws:iam::123456789012:role/app-role
arn:aws:s3:::example-bucket/logs/*
arn:aws:lambda:ap-northeast-1:123456789012:function:resize-image
['arn', 'aws', 'lambda', 'ap-northeast-1', '123456789012', 'function:resize-image:prod']
{'partition': 'aws', 'service': 'lambda', 'region': 'ap-northeast-1', 'account': '123456789012', 'resource': 'function:resize-image:prod'}

分解のポイントは2つです。

ARN の形をしていない文字列を渡したときの結果です。

from botocore.utils import ArnParser
ArnParser().parse_arn("lambda:resize-image")

InvalidArnException: Provided ARN: lambda:resize-image must be of the format: arn:partition:service:region:account:resource

パーティション（aws / aws-cn / aws-us-gov）の違い

2つ目の欄のパーティションは、リージョンのまとまりを表します。

リージョンの数は、boto3 に入っているデータから次のコードで数えたものです。

import boto3

session = boto3.session.Session()
print(session.get_available_partitions())
for partition in ["aws", "aws-cn", "aws-us-gov"]:
    print(partition, len(session.get_available_regions("ec2", partition_name=partition)))

['aws', 'aws-cn', 'aws-us-gov', 'aws-iso', 'aws-iso-b', 'aws-iso-e', 'aws-iso-f', 'aws-eusc']
aws 34
aws-cn 2
aws-us-gov 2

パーティションが違うと、アカウントも ARN も別の体系になります。aws のアカウントから aws-cn や aws-us-gov のリージョンを参照することはできません。

テンプレートやスクリプトを複数のパーティションで使う予定があるなら、arn:aws: と固定で書かず、前の節のように実行主体の ARN からパーティションを取り出して組み立てると、そのまま使い回せます。

MalformedPolicyDocumentになる書き間違い例

ポリシーの Resource に ARN を書き間違えると、ポリシーの作成時に MalformedPolicyDocument が返ります。次の形のポリシーで、Resource だけを入れ替えて aws iam create-policy を実行した結果です。

aws iam create-policy --policy-name sample --policy-document \
  '{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Action":"s3:GetObject","Resource":"example-bucket/*"}]}'

An error occurred (MalformedPolicyDocument) when calling the CreatePolicy operation: Resource example-bucket/* must be in ARN format or "*".

ARN 以外の書き間違いでも同じエラーコードになります。

エラーにならないのに効かない書き方

作成時のチェックは通っても、狙ったリソースに当てはまらない書き方があります。前の節の一致・不一致の表と合わせて確認します。

AssumeRole などに渡すセッションポリシーでは、欄を省略した書きかけの ARN は受け付けられず MalformedPolicyDocumentException になります。6つの欄をそろえて書きます。

よくある質問

Q. ARN とリソース ID（i-1234... など）は、どう使い分けますか？ A. リソース ID はそのサービスの中での番号、ARN はパーティション・サービス・リージョン・アカウントまで含めた名前です。IAM ポリシーの Resource や、別のサービスからリソースを指すときは ARN を使います。

Q. S3 の ARN にアカウント ID を入れると、どうなりますか？ A. バケットやオブジェクトの ARN では、リージョン欄とアカウント欄を空にするのが正しい形です。値を入れると、ポリシーの作成時に can not contain region information のエラーになります。アクセスポイントの ARN には、リージョンとアカウント ID が入ります。

Q. Resource にアスタリスクだけを書くのと、ARN で書くのはどう違いますか？ A. "*" はすべてのリソースが対象になります。一覧を取るアクションのように、対象を ARN で絞れないアクションでは "*" を使います。それ以外は、ARN で対象を絞ると最小権限に近づきます。

Q. アカウント ID を知らなくても ARN は書けますか？ A. aws sts get-caller-identity --query Account --output text で取得できます。S3 のバケットや Route 53 のホストゾーンのように、アカウント欄が空のサービスでは不要です。

まとめ

• ARN はコロンで区切った6つの欄（arn・パーティション・サービス・リージョン・アカウント ID・リソース）でできている
• リソース欄の区切り（/ か :）はサービスごとに違うので、一覧表か取得コマンドで確かめる
• S3 はリージョンとアカウント、IAM・STS・CloudFront はリージョンが空。空の欄もコロンは残す
• * はスラッシュも越えて一致する。example-bucket はバケット、example-bucket/* はオブジェクトと、分けて書く
• CLI は --query で ARN だけを取り出し、返さないサービスは get-caller-identity の結果から組み立てる
• 分解は split(":", 5)。リソース欄にコロンが入るサービスでも崩れない
• MalformedPolicyDocument はエラー文に理由が出る。リージョン欄の入れすぎ、パーティションのつづり、ARN 形式でない文字列を見直す

参考・出典

• AWS Identity and Access Management ユーザーガイド「Identify AWS resources with Amazon Resource Names (ARNs)」 https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html
• AWS Identity and Access Management ユーザーガイド「IAM JSON policy elements: Resource」 https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html
• Amazon S3 ユーザーガイド「Policy resources for Amazon S3」 https://docs.aws.amazon.com/AmazonS3/latest/userguide/s3-arn-format.html
• Amazon EC2 ユーザーガイド「IAM policies for Amazon EC2」 https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-policy-structure.html
• Service Authorization Reference「Actions, resources, and condition keys for Amazon Route 53」 https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53.html
• Amazon API Gateway デベロッパーガイド「API Gateway Amazon Resource Name (ARN) reference」 https://docs.aws.amazon.com/apigateway/latest/developerguide/arn-format-reference.html

株式会社RJC ― SI事業・SES事業・AI駆動開発。RJCは一緒に成長を楽しめる会社です。