阻止对您的 Amazon S3 存储的公有访问

Amazon S3 屏蔽公共访问权限特征提供接入点、存储桶和账户设置，帮助您管理对 Amazon S3 资源的公有访问。默认情况下，新存储桶、接入点和对象不允许公有访问。但是，用户可以修改存储桶策略、接入点策略或对象权限以允许公有访问。S3 屏蔽公共访问权限设置会覆盖这些策略和权限，以便于您可以限制这些资源的公有访问。

借助 S3 屏蔽公共访问权限，账户管理员和存储桶拥有者可以轻松设置集中控制，以控制对已实施的 Amazon S3 资源的公有访问（与资源的创建方式无关）。

有关配置公有块访问的说明，请参阅配置屏蔽公共访问权限。

当 Amazon S3 收到访问存储桶或对象的请求时，它将确定该存储桶或存储桶拥有者的账户是否应用了屏蔽公共访问权限设置。如果请求是通过接入点发出，则 Amazon S3 还会检查接入点的屏蔽公共访问权限设置。如果现有的屏蔽公共访问权限设置禁止请求的访问，则 Amazon S3 将拒绝该请求。

Amazon S3 屏蔽公共访问权限提供四种设置。这些设置彼此独立，可任意组合使用。每个设置都可以应用于接入点、存储桶或整个 AWS 账户。如果接入点、存储桶或账户的屏蔽公共访问权限设置不同，则 Amazon S3 应用接入点、存储桶和账户设置的最严格组合。

当 Amazon S3 评估屏蔽公共访问权限设置是否禁止某一操作时，它将拒绝违反接入点、存储桶或账户设置的任何请求。

屏蔽公共访问权限设置

S3 屏蔽公共访问权限提供四种设置。您可以任意组合将这些设置应用于单个接入点、存储桶或整个 AWS 账户。如果您将某一设置应用于某个账户，则该设置将应用于该账户拥有的所有存储桶和接入点。同样，如果您将设置应用于某个存储桶，则该设置将应用于与该存储桶关联的所有接入点。

下表包含可用设置。

在接入点上执行屏蔽公共访问权限操作

为了对接入点执行屏蔽公共访问权限操作，请使用 AWS CLI 服务 s3control。

“公有”的含义

ACL

如果存储桶或对象 ACL 可向预定义的 AllUsers 或 AuthenticatedUsers 组的成员授予任何权限，则 Amazon S3 将其视为公有。有关预定义组的更多信息，请参阅 Amazon S3 预定义的组。

存储桶策略

在评估存储桶策略时，Amazon S3 先假定该策略是公有的。然后对策略进行评估，以确定它是否符合非公有条件。当存储桶策略必须仅授予针对以下一个或多个项目的固定值（不包含通配符或 AWS Identity and Access Management 策略变量的值）的访问权限时，才会将该策略视为非公有：

有关存储桶策略的更多信息，请参阅 Amazon S3 的存储桶策略。

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow" 
	}

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": { "StringLike": {"aws:SourceVpc": "vpc-*"}}
	}

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": {"StringEquals": {"aws:SourceVpc": "vpc-91237329"}}
	}

Amazon S3 如何评估同时包含公有和非公有访问授权的存储桶策略

此示例演示 Amazon S3 如何评估同时包含公有和非公有访问授权的存储桶策略。

假设存储桶有一个策略可向一组固定主体授予访问权限。根据前面描述的规则，此策略不是公有策略。因此，如果您启用 RestrictPublicBuckets 设置，该策略将按编写内容保持有效，因为 RestrictPublicBuckets 只应用于具有公有策略的存储桶。但是，如果您向该策略中添加公有语句，则 RestrictPublicBuckets 将对该存储桶生效。它仅允许存储桶拥有者账户的 AWS 服务主体和授权用户访问该存储桶。

例如，假定“Account-1”拥有的一个存储桶包含以下内容：

由于第三条语句，此策略符合公有策略的条件。实施此策略并启用 RestrictPublicBuckets 后，Amazon S3 将仅允许 CloudTrail 进行访问。请注意，尽管语句 2 不是公有，但 Amazon S3 仍禁用“Account-2”的访问。这是因为，语句 3 将整个策略都渲染为公有，因此 RestrictPublicBuckets 适用。因此，即使策略向特定账户“Account-2”委派访问权限，Amazon S3 仍禁用跨账户访问。但如果您从该策略中删除语句 3，则该策略不符合公有条件，并且 RestrictPublicBuckets 不再适用。因此，即使将 RestrictPublicBuckets 保持启用状态，“Account-2”也会重获存储桶的访问权限。

接入点

与存储桶相比，Amazon S3 评估接入点的屏蔽公共访问权限设置略有不同。Amazon S3 用于确定接入点策略何时为公用的规则对接入点和存储桶来说通常是相同的，但以下情况除外：

使用适用于 S3 的 IAM Access Analyzer 查看公有存储桶

您可以使用适用于 S3 的 IAM Access Analyzer 来查看具有存储桶 ACL、存储桶策略或授予公共访问权限的接入点策略的存储桶。如果存在已配置为允许互联网上的任何人或其他 AWS 账户（包括组织外部的 AWS 账户）访问的存储桶，适用于 S3 的 IAM Access Analyzer 会向您发出提醒。您会收到每个公共存储桶或共享存储桶的结果，其中报告了公共或共享访问的来源和级别。

在适用于 S3 的 IAM Access Analyzer 中，只需单击一下即可屏蔽对存储桶的所有公共访问权限。您还可以向下钻取到存储桶级别权限设置，以配置精细访问。对于需要公共或共享访问的特定和经验证的使用案例，您可以通过对存储桶的结果进行归档来确认和记录存储桶保持公开或共享的意图。

在极少数情况下，对于 Amazon S3 屏蔽公共访问权限评估报告为公有的存储桶，适用于 S3 的 IAM Access Analyzer 可能不会报告任何调查发现。发生这种情况的原因是，Amazon S3 屏蔽公共访问权限会审核当前操作以及将来可能添加的任何潜在操作的策略，从而导致存储桶变为公有。另一方面，适用于 S3 的 IAM Access Analyzer 只分析在评估访问状态时为 Amazon S3 服务指定的当前操作。

有关适用于 S3 的 IAM Access Analyzer 的更多信息，请参阅使用适用于 S3 的 IAM Access Analyzer 查看存储桶访问权限。

权限

要使用 Amazon S3 屏蔽公共访问权限特征，您必须拥有以下权限。

配置屏蔽公共访问权限

有关为 AWS 账户、Amazon S3 存储桶和接入点配置屏蔽公共访问权限的更多信息，请参阅以下主题：