对请求进行身份验证和授权

默认情况下，目录存储桶为私有，只有被明确授予访问权限的用户才可以访问。目录存储桶的访问控制边界仅在存储桶级设置。与之相对，通用存储桶的访问控制边界可以在存储桶、前缀或对象标签级设置。这种不同意味着，对于 S3 Express One Zone 访问权限，目录存储桶是唯一可以包括在存储桶策略或 IAM 身份策略中的资源。

Amazon S3 Express One Zone 同时支持 AWS Identity and Access Management（AWS IAM）授权和基于会话的授权：

使用 CreateSession API 操作时，可以通过新的基于会话的机制，对请求进行身份验证和授权。您可以使用 CreateSession 来请求临时凭证，以便提供对存储桶的低延迟访问。这些临时凭证的作用范围限制为特定的目录存储桶。

要使用 CreateSession，我们建议使用最新版本的 AWS SDK 或者使用 AWS Command Line Interface（AWS CLI）。支持的 AWS SDK 以及 AWS CLI 代表您处理会话的建立、刷新和终止。

您可以使用会话令牌以及仅限可用区（对象级）的操作（CopyObject 和 HeadBucket 除外），在一个会话中的多个请求上分配与授权关联的延迟。对于区域端点 API 操作（存储桶级操作），您可以使用 IAM 授权，这不涉及对会话的管理。有关更多信息，请参阅使用 IAM 对区域端点 API 进行授权 和使用 CreateSession 对可用区端点 API 操作进行授权。

如何对 API 操作进行身份验证和授权

下表列出了目录存储桶 API 操作的身份验证和授权信息。对于每个 API 操作，表中显示了 API 操作名称、IAM 策略操作、端点类型（区域或可用区）和授权机制（IAM 或基于会话）。此表还指出了是否支持跨账户访问。对存储桶级操作的访问权限，只能在基于 IAM 身份的策略（用户或角色）中授予，不能在存储桶策略中授予。