Amazon S3 中的访问控制

在 AWS 中，资源是您可使用的实体。在 Amazon Simple Storage Service（S3）中，存储桶和对象是最初的 Amazon S3 资源。每个 S3 客户可能都有包含对象的存储桶。当有新功能添加到 S3 时，则会添加额外的资源，但并非每个客户都使用这些特定于功能的资源。有关 Amazon S3 资源的更多信息，请参阅 S3 资源。

默认情况下，所有 Amazon S3 资源都是私有的。此外，默认情况下，创建资源的 AWS 账户的根用户（资源拥有者）和该账户中具有必要权限的 IAM 用户可以访问他们创建的资源。资源拥有者决定还有谁可以访问该资源以及允许其他人对该资源执行哪些操作。S3 有各种访问管理工具，您可以使用这些工具向其他人授予对您的 S3 资源的访问权限。

以下各节概述了 S3 资源、可用的 S3 访问管理工具以及每种访问管理工具的最佳使用案例。这些章节中的列表力求全面，旨在包括所有 S3 资源、访问管理工具和常见的访问管理使用案例。同时，这些章节设计成目录，可引导您找到所需的技术细节。如果您对以下某些主题有很好的理解，则可以跳到适用于您的章节。

有关按 S3 资源类型对 S3 API 操作的权限的更多信息，请参阅 Amazon S3 API 操作所需的权限。

主题

S3 资源

原始 Amazon S3 资源是存储桶及其中包含的对象。随着向 S3 添加新功能，也会添加新的资源。以下是 S3 资源及相应功能的完整列表。

存储桶

Amazon S3 存储桶有两种类型：通用型存储桶 和目录存储桶。

对 S3 资源进行分类

Amazon S3 提供了对您的 S3 资源进行分类和整理的功能。对资源进行分类不仅对整理资源很有用，还可以根据资源类别设置访问管理规则。特别是，前缀和标记是设置访问管理权限时可以使用的两个存储整理功能。

身份

在 Amazon S3 中，资源拥有者是创建资源（例如存储桶或对象）的身份。默认情况下，只有创建资源的账户的根用户和该账户中具有所需权限的 IAM 身份才能访问 S3 资源。资源拥有者可以向其它身份授予对其 S3 资源的访问权限。

不拥有资源的身份可以请求访问该资源。对资源的请求已经过身份验证或未经过身份验证。经过身份验证的请求必须包含可验证请求发送者身份的签名值，但未经身份验证的请求不需要签名。我们建议您仅向经过身份验证的用户授予访问权限。有关请求身份验证的更多信息，请参阅《Amazon S3 API 参考》中的 Making requests。

在 Amazon S3 中访问您的数据的身份可以是以下身份之一：

AWS 账户拥有者

创建资源的 AWS 账户。例如，创建存储桶的账户。此账户是该资源的拥有者。有关更多信息，请参阅 AWS 账户根用户。

与 AWS 账户拥有者同属一个账户的 IAM 身份

在为需要 S3 访问权限的新团队成员设置账户时，AWS 账户拥有者可以使用 AWS Identity and Access Management（IAM）来创建用户、组和角色。然后，AWS 账户拥有者可以与这些 IAM 身份共享资源。账户拥有者还可以指定要向 IAM 身份授予的权限，这些权限允许或拒绝可以对共享资源执行的操作。

IAM 身份提供了增强的功能，包括要求用户在访问共享资源之前先输入登录凭证的功能。通过使用 IAM 身份，您可以实施一种形式的 IAM 多重身份验证（MFA）来支持强大的身份基础。IAM 最佳实践是创建用于访问管理的角色，而不是向每个单独用户授予权限。您可以将各个用户分配给相应的角色。有关更多信息，请参阅 IAM 安全最佳实践。

其它 AWS 账户拥有者及其 IAM 身份（跨账户存取）

AWS 账户拥有者还可以向其它 AWS 账户拥有者或属于其它 AWS 账户的 IAM 身份授予对资源的访问权限。

匿名用户（公共访问权限）

AWS 账户拥有者可以公开资源。从技术上讲，公开某资源会与匿名用户 共享该资源。除非您更改此设置，否则默认情况下，自 2023 年 4 月以来创建的存储桶会屏蔽所有公共访问权限。我们建议您将存储桶设置为屏蔽公共访问权限，并且仅向经过身份验证的用户授予访问权限。有关屏蔽公共访问权限的更多信息，请参阅阻止对您的 Amazon S3 存储的公有访问。

AWS 服务

资源拥有者可以向其它 AWS 服务授予对 Amazon S3 资源的访问权限。例如，您可以向 AWS CloudTrail 服务授予将日志文件写入存储桶的 s3:PutObject 权限。有关更多信息，请参阅向 AWS 服务提供访问权限。

公司目录身份

资源拥有者可以使用 S3 Access Grants 向公司目录中的用户或角色授予对 S3 资源的访问权限。有关将公司目录添加到 AWS IAM Identity Center 的更多信息，请参阅 What is IAM Identity Center?

存储桶拥有者或资源拥有者

用于创建存储桶和上传对象的 AWS 账户拥有这些资源。存储桶拥有者可以向其他 AWS 账户（或其他账户中的用户）授予上传对象的跨账户权限。

当存储桶拥有者允许其它账户向存储桶上传对象时，默认情况下，该存储桶拥有者拥有上传到其存储桶的所有对象。但是，如果强制存储桶拥有者 和存储桶拥有者优先 存储桶设置都处于关闭状态，则上传对象的 AWS 账户将拥有这些对象，而存储桶拥有者对其它账户拥有的对象没有权限，但以下情况除外：

访问管理工具

Amazon S3 提供了各种安全功能和工具。以下是这些功能和工具的完整列表。您并不需要所有这些访问管理工具，但必须使用一个或多个工具来授予对您的 Amazon S3 资源的访问权限。正确应用这些工具有助于确保只有目标用户才能访问您的资源。

最常用的访问管理工具是访问策略。访问策略可以是附加到 AWS 资源的基于资源的策略，例如存储桶的存储桶策略。访问策略也可以是附加到 AWS Identity and Access Management（IAM）身份（如 IAM 用户、组或角色）的基于身份的策略。编写访问策略来向 AWS 账户和 IAM 用户、组和角色授予对资源执行操作的权限。例如，您可以向另一个 AWS 账户授予 PUT Object 权限，以使该账户可以向您的存储桶上传对象。

访问策略描述了谁可以访问哪些内容。当 Amazon S3 收到请求时，它必须评估所有访问策略，来决定是授权还是拒绝该请求。有关 Amazon S3 如何评估这些策略的更多信息，请参阅 Amazon S3 如何对请求授权。

以下是 Amazon S3 中提供的访问管理工具。

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid":"BucketLevelReadPermissions",
      "Effect":"Allow",
      "Principal": {
	    "AWS": "arn:aws:iam::123456789101:role/s3-role"
      },
      "Action":["s3:GetObject"],
      "Resource":["arn:aws:s3:::amzn-s3-demo-bucket1/*"]
    }]
  }

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Sid": "AssignARoleActions",
    "Effect": "Allow",
    "Action": [
	  "s3:PutObject",
	  "s3:GetObject",
	  "s3:ListBucket",
	  "s3:DeleteObject",
	  "s3:GetBucketLocation"
    ],
    "Resource": [
	  "arn:aws:s3:::amzn-s3-demo-bucket1/*",
	  "arn:aws:s3:::amzn-s3-demo-bucket1"
    ]
    },
  {
    "Sid": "AssignARoleActions2",
    "Effect": "Allow",
    "Action": "s3:ListAllMyBuckets",
    "Resource": "*"
  }
  ]
}

<?xml version="1.0" encoding="UTF-8"?>
	<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
		<Owner>
			<ID>Owner-Canonical-User-ID</ID>
			<DisplayName>owner-display-name</DisplayName>
		</Owner>
	<AccessControlList>
		<Grant>
			<Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Canonical User">
				<ID>Owner-Canonical-User-ID</ID>
				<DisplayName>display-name</DisplayName>
			</Grantee>
			<Permission>FULL_CONTROL</Permission>
		</Grant>
	</AccessControlList>
</AccessControlPolicy> 		

其他最佳实践

考虑使用以下存储桶设置和工具来协助保护传输中数据和静态数据，这两者对于保持数据的完整性和可访问性至关重要：

操作

有关 S3 权限和条件键的完整列表，请参阅《服务授权参考》中的 Actions, resources, and condition keys for Amazon S3。

有关按 S3 资源类型对 S3 API 操作的权限的更多信息，请参阅 Amazon S3 API 操作所需的权限。

操作

Amazon S3 的 AWS Identity and Access Management（IAM）操作是可以对 S3 存储桶或对象执行的可能操作。您可以向身份授予这些操作，以便这些身份可以对您的 S3 资源执行操作。S3 操作的示例为 s3:GetObject（读取存储桶中的对象）和 s3:PutObject（将对象写入存储桶）。

条件键

除操作外，IAM 条件键限制为仅在满足条件时才授予访问权限。条件键是可选的。

访问管理使用案例

Amazon S3 为资源拥有者提供了各种用于授予访问权限的工具。您使用的 S3 访问管理工具取决于您要共享的 S3 资源、您要授予访问权限的身份以及您想要允许或拒绝的操作。您可能希望使用一种 S3 访问管理工具或组合使用多种 S3 访问管理工具，来管理对 S3 资源的访问权限。

大多数情况下，您可以使用访问策略来管理权限。访问策略可以是基于资源的策略，此策略附加到资源（例如存储桶）或其它 Amazon S3 资源（S3 资源）。访问策略也可以是基于身份的策略，该策略附加到您账户中的 AWS Identity and Access Management（IAM）用户、组或角色。您可能会发现存储桶策略更适合您的使用案例。有关更多信息，请参阅 Amazon S3 的存储桶策略。或者，使用 AWS Identity and Access Management（IAM），您可以在您的 AWS 账户中创建 IAM 用户、组和角色，并通过基于身份的策略管理它们对存储桶和对象的访问权限。有关更多信息，请参阅 Amazon S3 基于身份的策略。

为了协助您浏览这些访问管理选项，以下是常见的 Amazon S3 客户使用案例和对于每个 S3 访问管理工具的建议。

访问管理故障排除

以下资源有助于您排查 S3 访问管理方面的任何问题：

排查拒绝访问（403 禁止）错误

如果您遇到拒绝访问问题，请检查账户级别和存储桶级别的设置。此外，请检查您用于授予访问权限的访问管理功能，来确保策略、设置或配置正确无误。有关 Amazon S3 中拒绝访问（403 禁止）错误的常见原因的更多信息，请参阅排查 Amazon S3 中的拒绝访问（403 Forbidden）错误。

适用于 S3 的 IAM Access Analyzer

如果您不想公开您的任何资源，或者您想限制对资源的公共访问权限，则可以使用适用于 S3 的 IAM Access Analyzer。在 Amazon S3 控制台上，使用适用于 S3 的 IAM Access Analyzer 来查看具有存储桶访问控制列表（ACL）、存储桶策略或授予公共或共享访问权限的接入点策略的所有存储桶。如果存在已配置为允许互联网上的任何人或其他 AWS 账户（包括组织外部的 AWS 账户）访问的存储桶，适用于 S3 的 IAM Access Analyzer 会向您发出提醒。您会收到每个公共存储桶或共享存储桶的结果，其中报告了公共或共享访问的来源和级别。

在适用于 S3 的 IAM Access Analyzer 中，只需一个操作，即可屏蔽对存储桶的所有公共访问权限。我们建议您屏蔽所有对存储桶的公共访问权限，除非您需要公共访问权限才能支持特定使用案例。在屏蔽所有公共访问权限之前，确保您的应用程序在没有公共访问权限的情况下可以继续正常工作。有关更多信息，请参阅 阻止对您的 Amazon S3 存储的公有访问。

您还可以查看存储桶级别的权限设置，来配置详细的访问级别。对于需要公共或共享访问的特定和经验证的使用案例，您可以通过对存储桶的结果进行归档来确认和记录存储桶保持公开或共享的意图。您可以随时重新访问和修改这些存储桶配置。您还可以将结果下载为 CSV 格式的报告以供审计使用。

Amazon S3 控制台上提供适用于 S3 的 IAM Access Analyzer，无需额外费用。适用于 S3 的 IAM Access Analyzer 由 AWS Identity and Access Management（IAM）IAM Access Analyzer 提供支持。要在 Amazon S3 控制台上使用适用于 S3 的 IAM Access Analyzer，您必须访问 IAM 控制台，然后在 IAM Access Analyzer 中为每个单独区域创建账户级别分析器。

有关适用于 S3 的 IAM Access Analyzer 的更多信息，请参阅使用适用于 S3 的 IAM Access Analyzer 查看存储桶访问权限。

日记账记录和监控

监控是维护 Amazon S3 解决方案的可靠性、可用性和性能的重要组成部分，以便您可以更轻松地调试访问故障。日志记录有助于您深入了解用户收到的任何错误，以及何时发出了什么样的请求。AWS 提供了几种用于监控 Amazon S3 资源的工具，如下所示：

有关更多信息，请参阅 Amazon S3 中的日志记录和监控。