Hetzner Object Storage クライアント: 接続・マウント・エラー

Hetzner Object Storage は S3 互換で安価、しかも EU 内。ヨーロッパ発の案件では、デスクトップツールを決める前に採用されていることがよくあります。このページではクライアントに必要な設定、作業の形を決める上限、そして「Hetzner は Amazon ではない」ことから生じるエラーを扱います。内容は 2026 年 9 月に docs.hetzner.com と hetzner.com で確認しました。ツール全体の比較は S3 クライアント（GUI）の概要にあります。

3 つのエンドポイントと、それに合うアドレッシング

ロケーションは 3 つ、それぞれ固有のエンドポイントを持ちます。

オブジェクトは https://<bucket-name>.<location>.your-objectstorage.com/<file-name> で公開されます。バケットはパスの一部ではなくサブドメインです。つまり仮想ホスト形式で、Hetzner 自身のツール例もそれに揃っています。MinIO クライアントの設定は --path 'off'、AWS CLI のページは署名付き URL 用に addressing_style = virtual を挙げています。したがってクライアント側に「パススタイル」や「force path style」のチェックがあれば、Hetzner ではオフのままにしてください。パススタイルがほぼ必須の MinIO とは逆で、そちらは MinIO クライアントで扱っています。

mc alias set hetzner https://fsn1.your-objectstorage.com <ACCESS_KEY> <SECRET_KEY> --api 's3v4' --path 'off'
mc ls hetzner
aws s3 ls --endpoint-url https://fsn1.your-objectstorage.com

公式が手順を載せているのは mc、s3cmd、s5cmd、rclone、AWS CLI。FAQ には「Yes you can manage your Buckets via AWS CLI und AWS SDKs」とあります。認証は AWS Signature version 4、ストレージクラスは Standard のみです。

Cloud Console から鍵を取り出す

資格情報はアカウント単位ではなくプロジェクト単位です。Hetzner Console でプロジェクトを開き、左メニューの Security、上部メニューの S3 Credentials、Generate credentials と進み、説明を入れて 2 つの値をコピーします。

シークレットはその場で保存してください。ドキュメントは明快です。「It is not possible to view the secret key again once the window has been closed!」さらに鍵はプロジェクトに紐づくため、「It is not possible to share S3 credentials across multiple projects unless you set up appropriate bucket policies」。2 つのプロジェクトのバケットを 1 つのクライアントで見たい場合は、接続を 2 つ作るか、バケットポリシーで許可する必要があります。

作業の形を決める上限

2 つは説明が要ります。64 kB の下限があるため、サムネイルや小さな JSON で埋まったバケットは全オブジェクトが 64 kB として課金されます。2 kB のファイルを 100 万個上げるクライアントは 64 GB を買っています。もう 1 つ、課金はバイト数ではなく存在時間で始まります。「You are charged for every hour you have at least one active Bucket, even if it's empty.」空のテスト用バケットを 1 か月放置すれば 1 か月分の基本料金です。

単一 PUT 5 GB の上限はツール選びに直結します。それを超えるものはマルチパートアップロードが必要で、まともなクライアントは自動でそうします。20 GB の動画を素朴に PUT するスクリプトだけが失敗する理由がこれです。

バケット名は Amazon より厳しい

バケット名は DNS ラベルになるため、命名規則は S3 より厳しく、しかも後から変更できません。許されるのは「the alphabet (a-z), digits (0-9), minus sign (-)」で、「No period (.), No blank or space characters, No upper case characters」。先頭は英字か数字、末尾はハイフン不可、長さは 3〜63 文字、RFC 1123 に適合し、IP アドレスの形は不可です。ピリオド禁止は Amazon より厳しい条件です。そして「it is NOT possible to change the name once the Bucket is created.」

実装されていない機能

互換性についての記述は率直です。「Our Object Storage API offers basic compatibility with the standard Amazon S3 actions and data types.」バージョニング、Object Lock（リーガルホールドとリテンション）、CORS ポリシー、ライフサイクルポリシー、SSE-C にはそれぞれ手順ページがあります。一方で非対応の一覧もあり、S3 から移ってくると驚くものが含まれます。バケットの Website、Notifications、Accelerate、Analytics、Intelligent Tiering、Inventory、Logging、Metrics、Ownership Controls、Replication、Tagging、Request-Payment はいずれも非対応。オブジェクトの Restore、Select Content、Torrent、GetObjectAttributes も同様です。バケット作成は「Limited headers and XML body elements only」、暗号化は SSE-C のみ、CopyObject には「Source and destination must be identical」という注記が付きます。

もう 1 つの穴が独自ドメインです。「Currently, it is not possible to assign a custom domain name to a Bucket.」回避策として S3 Proxy が案内されていますが、「makes the Bucket data publicly accessible via your own domain even if the Bucket visibility is set to private」という警告つきです。前段に Basic 認証を置くか、署名付き URL を渡すほうが安全です。

GUI クライアントから接続する

公式が手順を載せている GUI は 2 つ。Cyberduck が最も楽で、設定画面に Hetzner Object Storage のプロファイルが同梱されています。有効にしてロケーションを選べばサーバーと URL は埋まり、こちらが入れるのはアクセスキーとシークレットキーだけです。WinSCP にも専用ページがあります。

それ以外のクライアントに必要なのは 4 つ。上の表のエンドポイント URL、対応するリージョン文字列、アクセスキー、シークレットキーで、パススタイルはオフです。AnyStorage 0.2.25 では S3 接続タイプがこれに該当し、カスタムエンドポイント URL、カスタムリージョン、パススタイルの切り替えがいずれも編集可能なので、Hetzner 専用ビルドは要りません。macOS 11 以降、Windows 10 以降、Ubuntu 20.04 以降で動作し、認証情報はローカルに暗号化保存、アカウント登録は不要です。無料版は接続 2 件までで商用利用が可能、20 種類以上の接続タイプや検索・プレビュー・一括操作は Pro です。プラットフォーム別の話は Windows 版と Linux 版にあります。

バケットをドライブとしてマウントする

Hetzner はマウント用ツールを配布していないので、選択肢は 2 つです。macOS と Linux では FUSE、Windows では WinFsp を要する rclone mount か、OS が元から話せるプロトコルでバケットを再提供するクライアントです。AnyStorage は後者で、http://127.0.0.1:3211 の WebDAV サーバーを Finder、エクスプローラー、GNOME Files、Dolphin、davfs2 がマウントします。カーネルドライバは一切なく、接続中のストレージが 1 つのマウント配下のフォルダとして並びます。無料版ではこのマウントは読み取り専用です。手順は S3 バケットをネットワークドライブに割り当てる、FUSE との比較は rclone mount の代替にあります。

実は設定ミスであるエラー

• `SignatureDoesNotMatch` はリージョン文字列とエンドポイントの不一致、または Console からコピーする際にシークレットが切れていることが多いです。同じ症状を端から端まで追った MinIO の SignatureDoesNotMatch が参考になります。
• 存在する名前に対する `NoSuchBucket` は、パススタイルのクライアントが仮想ホスト形式のエンドポイントを叩いているか、鍵が別プロジェクトのものです。
• ブラウザからのアップロードが CORS で止まるのはバケット設定の問題で、仕組みは Amazon と同じです。S3 の CORS エラーを参照してください。
• `EntityTooLarge` は単一 PUT 5 GB の上限です。マルチパートアップロードに対応したクライアントを使ってください。

よくある質問