配置 Amazon S3 Files 访问权限

Amazon S3 Files 提供共享文件系统，可将任意 AWS 计算资源与 Amazon S3 内的数据直接连通。Amazon S3 Files 通过本地挂载路径上的读取、写入等标准文件系统操作，将 Amazon S3 对象作为文件进行访问。了解有关 Amazon S3 Files 的更多信息。

先决条件和设置

在为 Lambda 函数设置 Amazon S3 Files 之前，务必先满足以下条件：

有关更多信息，请参阅《Amazon S3 用户指南》中的以下主题：

执行角色和用户权限

函数执行角色需具备以下权限，方可访问 Amazon S3 Files 文件系统：

这些权限包含在 AmazonS3FilesClientReadWriteAccess 托管式策略中。此外，您的执行角色必须具有连接到文件系统的 VPC 所需的权限。

函数若要从 Amazon S3 直接读取，还需具备以下权限：

有关必要权限的更多信息，请参阅《Amazon S3 用户指南》中的 Amazon S3 Files 的 IAM 权限。

在控制台配置文件系统时，Lambda 会使用您的权限来验证挂载目标和接入点。要配置函数以连接到文件系统，您的用户需要以下权限：

以下示例策略可为函数执行角色授予权限，以挂载具有读写访问权限的 Amazon S3 文件系统，并直接从 Amazon S3 读取数据。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "S3FilesLambdaAccess",
            "Effect": "Allow",
            "Action": [
                "s3files:ClientMount",
                "s3files:ClientWrite"
            ],
            "Resource": "*"
        },
        {
            "Sid": "S3DirectRead",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket-name/*"
        },
        {
            "Sid": "S3FilesConsoleSetup",
            "Effect": "Allow",
            "Action": [
                "s3files:ListFileSystems",
                "s3files:ListAccessPoints",
                "s3files:GetFileSystem",
                "s3files:GetAccessPoint",
                "s3files:CreateAccessPoint"
            ],
            "Resource": "*"
        }
    ]
}

连接到文件系统（控制台）

函数通过 VPC 中的本地网络连接到文件系统。函数连接到的子网可以是包含文件系统挂载点的相同子网，也可以是位于同一可用区中的子网，这些子网可以将 NFS 流量（端口 2049）路由到文件系统。

下次调用 Lambda 函数时，将会挂载您的文件系统。

配置直接读取

直接读取通过直接从 Amazon S3 存储桶流式传输数据来优化吞吐量。当进行大量读取，或文件系统的高性能存储无法保存文件数据时，Lambda 会使用直接读取。有关更多信息，请参阅 S3 Files 如何提供性能。此可选配置是函数 FileSystemConfigs 的一部分，仅适用于 Amazon S3 Files 系统。DirectS3Read 设置接受以下值：

要使用直接读取，函数的执行角色必须具有所需的权限。有关更多信息，请参阅 Amazon S3 Files 先决条件策略。