封鎖對 Amazon S3 儲存體的公開存取權

Amazon S3 封鎖公開存取功能可提供存取點、儲存貯體和帳戶的設定，以協助您管理對 Amazon S3 資源的公開存取。依預設，新的儲存貯體、存取點和物件不允許公開存取。不過，使用者可以修改儲存貯體政策、存取點政策或物件許可，以允許公開存取。S3 封鎖公開存取設定能覆寫這些政策和許可的設定，讓您可以限制這些資源的公開存取。

使用 S3 封鎖公開存取，帳戶管理員和儲存貯體擁有者即可輕鬆設定集中式控制項來限制 Amazon S3 的公開存取權限，無論資源的建立方式為何都會強制執行。

如需設定公有區塊存取的指示，請參閱 設定封鎖公開存取。

Amazon S3 在收到請求存取儲存貯體或物件時，將會判斷儲存貯體或儲存貯體擁有者的帳戶是否套用封鎖公開存取設定。如果請求是透過存取點提出，Amazon S3 也會檢查存取點的封鎖公開存取設定。若有禁止所請求存取的現有封鎖公開存取設定，Amazon S3 便會拒絕該請求。

Amazon S3 封鎖公開存取提供四個設定。這些是獨立的設定，且可以任意組合使用。每個設定都可套用至存取點、儲存貯體或整個存取點 AWS 帳戶。 如果存取點、儲存貯體或帳戶的區塊公共存取設定不同，Amazon S3 會套用最嚴格的存取點、儲存貯體和帳戶設定組合。

Amazon S3 在評估封鎖公開存取設定是否禁止操作時，將會拒絕任何違反存取點、儲存貯體或帳戶設定的請求。

封鎖公開存取設定

S3 封鎖公開存取提供四種設定。您可以將這些設定以任意組合套用至個別存取點、值區或整個存取點 AWS 帳戶。 如果您將設定套用至帳戶，該設定會套用至該帳戶所擁有的所有值區和存取點。同樣地，如果您將設定套用至儲存貯體，它會套用至與該儲存貯體相關聯的所有存取點。

下表包含可用的設定。

在存取點執行封鎖公開存取操作

若要在存取點上執行封鎖公用存取作業，請使用 AWS CLI 服務s3control。

「公有」的意義

ACLs

如果 Amazon S3 向預先定義或群組的成員授予任何許可，Amazon S3 會將儲存貯AuthenticatedUsers體AllUsers或物件視為ACL公有。如需預先定義群組的詳細資訊，請參閱 Amazon S3 預先定義的群組。

儲存貯體政策

評估儲存貯體政策時，Amazon S3 首先假設政策為公用。然後，評估政策來判斷其是否符合非公有的資格。值區政策必須僅授與固定值 (不包含萬用字元或萬用字元的值) 的存取權，才能被視為非公用值 AWS Identity and Access Management 原則變數)，適用於下列一或多個項目：

如需儲存貯體政策的詳細資訊，請參閱「Amazon S3 的存儲桶政策」。

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow" 
	}

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": { "StringLike": {"aws:SourceVpc": "vpc-*"}}
	}

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": {"StringEquals": {"aws:SourceVpc": "vpc-91237329"}}
	}

Amazon S3 如何評估同時包含公開及非公開存取授權的政策。

此範例示範 Amazon S3 如何評估同時包含公開及非公開存取授權的政策。

假設儲存貯體具有政策，會將存取授予一組固定的委託人。在先前說明的規則之下，此政策便不是公有。因此，若您啟用 RestrictPublicBuckets 設定，政策仍會以已寫入的狀態繼續生效，因為 RestrictPublicBuckets 只會套用到具有公有政策的儲存貯體。不過，如果您將公有陳述式新增至政策，則 RestrictPublicBuckets 會在儲存貯體上生效。它只允許 AWS 存取值區擁有者帳戶的服務主體和授權使用者。

例如，假設 "Account-1" 擁有的儲存貯體具有一個政策，該政策包含以下內容：

此政策因為第三個陳述式，所以符合公有的資格。設定並RestrictPublicBuckets啟用此政策後，Amazon S3 只允許存取 CloudTrail。即使第 2 個陳述式並非公有，Amazon S3 也會停用 "Account-2" 的存取。這次因為第 3 個陳述式會使整個政策都成為公有狀態，因此會套用 RestrictPublicBuckets。因此，即使政策將存取委派給指定的帳戶 "Account-2"，Amazon S3 還是會停用跨帳戶存取。但是，若您將第 3 個陳述式從政策中移除，則政策便不符合公有的資格，不再套用 RestrictPublicBuckets。因此，"Account-2" 會重新取得儲存貯體的存取，即使您將 RestrictPublicBuckets 維持在啟用狀態。

存取點

相較於儲存貯體，Amazon S3 評估存取點的封鎖公開存取設定時，方式略有不同。Amazon S3 套用以判斷存取點政策為公開的規則，在儲存貯體與存取點間通常是相同的，但下列情況除外：

使用 S3 的IAM存取分析器來檢閱公用儲存貯體

您可以使用適用於 S3 的 IAM Access Analyzer 來檢閱儲存貯體ACLs、儲存貯體政策或授予公用存取權的存取點政策的儲存貯體。IAMS3 存取分析器會向您發出設定為允許存取網際網路或其他任何人的儲存貯體發出警示 AWS 帳戶，包括 AWS 帳戶 在您的組織之外。針對每個公開或共用儲存貯體，您會收到報告公開或共用存取來源和層級的發現項目。

在 S3 的IAM存取分析器中，只要按一下滑鼠，即可封鎖儲存貯體的所有公開存取。您還可以深入檢視儲存貯體的層級許可設定，以設定精細的存取層級。對於需要公開或共用存取的特定和經驗證使用案例，您可以將對儲存貯體的發現項目存檔，以確認並記錄您要讓儲存貯體保持公開或共用。

在罕見事件中，S3 適用的IAM存取分析器可能不會報告 Amazon S3 將公開存取評估報告封鎖為公開的儲存貯體的發現。這是因為對於目前動作及日後可能新增的任何潛在動作，Amazon S3 封鎖公開存取會檢閱相關政策，導致儲存貯體變成公開。另一方面，適用於 S3 的IAM存取分析器只會分析針對 Amazon S3 服務在存取狀態評估中指定的目前動作。

如需 S3 IAM 存取分析器的詳細資訊，請參閱使用 S3 的存取分析器檢閱儲IAM存貯體存取。

許可

若要使用 Amazon S3 封鎖公開存取功能，您必須具備下列許可。

設定封鎖公開存取

如需設定封鎖公用存取的詳細資訊 AWS 帳戶、您的 Amazon S3 儲存貯體和存取點，請參閱下列主題：