Amazon S3 中的存取控制

在 中 AWS，資源是您可以使用的實體。在 Amazon Simple Storage Service (S3) 中，「儲存貯體」和「物件」是原始 Amazon S3 資源。每個 S3 客戶可能都有內含物件的儲存貯體。當 S3 新增功能時，也會新增其他資源，但並非所有客戶都會使用這些功能特定的資源。如需 Amazon S3 資源的詳細資訊，請參閱S3 資源。

根據預設，所有 Amazon S3 資源都是私有的。此外，根據預設，建立資源的 AWS 帳戶 根使用者 (資源擁有者) 及該帳戶中具有必要許可的 IAM 使用者，可以存取其所建立的資源。資源擁有者會決定還有誰可以存取資源，以及其他人可以對資源執行的動作。S3 具有各種存取管理工具，可供您用來授權其他人存取 S3 資源。

下列各節提供 S3 資源概觀、可用的 S3 存取管理工具，以及每個存取管理工具的最佳使用案例。這些章節中的清單旨在全面包含所有 S3 資源、存取管理工具和常見的存取管理使用案例。同時，這些章節設計成目錄，可引導您取得所需的技術詳細資訊。如果您已充分了解下列其中一些主題，則可以跳到適用於您的章節。

如需依 S3 資源類型列出 S3 API 操作許可的詳細資訊，請參閱Amazon S3 API 操作所需的許可。

主題

S3 資源

原始 Amazon S3 資源是儲存貯體及其包含的物件。當 S3 新增功能時，也會新增新資源。以下是 S3 資源及其個別功能的完整清單。

儲存貯體

有兩種類型的 Amazon S3 儲存貯體：「一般用途儲存貯體」和「目錄儲存貯體」。

分類 S3 資源

Amazon S3 提供分類和組織 S3 資源的功能。分類資源不僅有助於組織資源，您也可以根據資源類別設定存取管理規則。特別是，字首和標記是兩個儲存組織功能，您可以在設定存取管理許可時使用。

身分

在 Amazon S3 中，資源擁有者是建立資源的身分，例如儲存貯體或物件。根據預設，只有建立資源的帳戶根使用者和該帳戶內具有必要許可的 IAM 身分才能存取 S3 資源。資源擁有者可以讓其他身分存取其 S3 資源。

未擁有資源的身分可以請求存取該資源。對資源的請求可能是已驗證或未驗證。已驗證的請求必須包含能驗證請求傳送者身分的簽章值，但未驗證的請求則不需要簽章。建議您僅將存取權授予已驗證的使用者。如需請求驗證詳細資訊，請參閱 Amazon S3 API 參考中的提出請求。

在 Amazon S3 中存取資料的身分可以是下列其中一項：

AWS 帳戶 owner

AWS 帳戶 建立 資源的 。例如，建立儲存貯體的帳戶。此帳戶會擁有資源。如需詳細資訊，請參閱AWS 帳戶根使用者。

AWS 帳戶 擁有者相同帳戶中的 IAM 身分

為需要 S3 存取權的新團隊成員設定帳戶時， AWS 帳戶 擁有者可以使用 AWS Identity and Access Management (IAM) 來建立使用者、群組和角色。然後， AWS 帳戶 擁有者可以與這些 IAM 身分共用資源。帳戶擁有者也可以指定要授予 IAM 身分的許可，以允許或拒絕可在共用資源上執行的動作。

IAM 身分提供更多功能，包括能夠要求使用者在存取共用資源之前輸入憑證。透過使用 IAM 身分，您可以實作 IAM 多重要素驗證 (MFA) 形式，以支援強大的身分基礎。IAM 最佳實務是為存取管理建立角色，而不是將許可授予每個使用者。您可以為個別使用者指派適當的角色。如需更多詳細資訊，請參閱 IAM 中的安全最佳實務。

其他 AWS 帳戶擁有者及其 IAM 身分 （跨帳戶存取）

AWS 帳戶 擁有者也可以讓其他 AWS 帳戶擁有者或屬於另一個 AWS 帳戶的 IAM 身分存取資源。

匿名使用者 (公開存取)

AWS 帳戶 擁有者可以公開資源。在技術上公開資源可與「匿名使用者」共用資源。除非您變更此設定，否則在 2023 年 4 月之後建立的儲存貯體預設會封鎖所有公開存取。建議您將儲存貯體設定為封鎖公開存取，並只將存取權授予已驗證的使用者。如需封鎖公開存取的詳細資訊，請參閱 封鎖對 Amazon S3 儲存體的公開存取權。

AWS 服務

資源擁有者可以授予 Amazon S3 資源的其他服務 AWS 存取權。例如，您可以授予 AWS CloudTrail 服務將日誌檔案寫入儲存貯體的s3:PutObject許可。如需詳細資訊，請參閱提供 AWS 服務的存取權。

公司目錄身分

資源擁有者可以使用 S3 存取授權，授權來自您公司目錄的使用者或角色存取 S3 資源。如需將公司目錄新增至 的詳細資訊 AWS IAM Identity Center，請參閱什麼是 IAM Identity Center？。

儲存貯體或資源擁有者

您用來建立儲存貯體和上傳物件 AWS 帳戶 的 擁有這些資源。儲存貯體擁有者可將跨帳戶許可授予其他 AWS 帳戶 (或其他帳戶中的使用者)，允許其上傳物件。

當儲存貯體擁有者允許另一個帳戶將物件上傳至儲存貯體時，儲存貯體擁有者預設會擁有上傳至其儲存貯體的所有物件。不過，如果同時關閉了儲存貯體擁有者強制執行和儲存貯體擁有者偏好的儲存貯體設定， AWS 帳戶 上傳物件的 會擁有這些物件，而且儲存貯體擁有者沒有另一個帳戶所擁有物件的許可，但以下情況除外：

存取管理工具

Amazon S3 提供了各種安全性功能和工具。以下是這些功能和工具的完整清單。您不需要所有這些存取管理工具，但必須使用其中一或多個來授予 Amazon S3 資源的存取權。適當應用這些工具可協助確保只有預定使用者才能存取您的資源。

最常用的存取管理工具是「存取政策」。存取政策可以是連接至 AWS 資源的資源型政策，例如儲存貯體的儲存貯體政策。存取政策也可以是連接至 AWS Identity and Access Management (IAM) 身分 (例如 IAM 使用者、群組或角色) 的「身分型政策」。撰寫存取政策，授予 AWS 帳戶 和 IAM 使用者、群組和角色許可，以對資源執行操作。例如，您可以將PUT Object許可授予另一個帳戶， AWS 帳戶 讓另一個帳戶可以將物件上傳到您的儲存貯體。

存取政策描述誰可以存取什麼內容。當 Amazon S3 收到請求時，必須評估所有存取政策，以決定要授權或拒絕請求。如需 Amazon S3 如何評估這些政策的詳細資訊，請參閱 Amazon S3 如何授權要求。

以下是 Amazon S3 中可用的存取管理工具。

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid":"BucketLevelReadPermissions",
      "Effect":"Allow",
      "Principal": {
	    "AWS": "arn:aws:iam::123456789101:role/s3-role"
      },
      "Action":["s3:GetObject"],
      "Resource":["arn:aws:s3:::amzn-s3-demo-bucket1/*"]
    }]
  }

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Sid": "AssignARoleActions",
    "Effect": "Allow",
    "Action": [
	  "s3:PutObject",
	  "s3:GetObject",
	  "s3:ListBucket",
	  "s3:DeleteObject",
	  "s3:GetBucketLocation"
    ],
    "Resource": [
	  "arn:aws:s3:::amzn-s3-demo-bucket1/*",
	  "arn:aws:s3:::amzn-s3-demo-bucket1"
    ]
    },
  {
    "Sid": "AssignARoleActions2",
    "Effect": "Allow",
    "Action": "s3:ListAllMyBuckets",
    "Resource": "*"
  }
  ]
}

<?xml version="1.0" encoding="UTF-8"?>
	<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
		<Owner>
			<ID>Owner-Canonical-User-ID</ID>
			<DisplayName>owner-display-name</DisplayName>
		</Owner>
	<AccessControlList>
		<Grant>
			<Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Canonical User">
				<ID>Owner-Canonical-User-ID</ID>
				<DisplayName>display-name</DisplayName>
			</Grantee>
			<Permission>FULL_CONTROL</Permission>
		</Grant>
	</AccessControlList>
</AccessControlPolicy> 		

其他最佳實務

請考慮使用下列儲存貯體設定和工具來協助保護傳輸中的資料和靜態資料，這兩者對於維護資料的完整性和可存取性至關重要：

動作

如需 S3 許可和條件索引鍵的完整清單，請參閱服務授權參考中的 Amazon S3 的動作、資源和條件索引鍵。

如需依 S3 資源類型列出 S3 API 操作許可的詳細資訊，請參閱Amazon S3 API 操作所需的許可。

動作

Amazon S3 的 AWS Identity and Access Management (IAM) 動作是可以在 S3 儲存貯體或物件上執行的可能動作。您可以授權身分執行這些動作，以便對 S3 資源採取動作。S3 動作範例包括用於讀取儲存貯體中物件的 s3:GetObject，以及用於將物件寫入儲存貯體的 s3:PutObject。

條件索引鍵

除了動作之外，IAM 條件索引鍵可限制只有在符合條件時才會授予存取權。條件索引鍵為選用。

存取管理使用案例

Amazon S3 為資源擁有者提供各種授予存取權的工具。您使用的 S3 存取管理工具取決於您要共用的 S3 資源、您要授予存取權的身分，以及您要允許或拒絕的動作。您可能想要使用一項或一組 S3 存取管理工具來管理對 S3 資源的存取。

在大多數情況下，您可以使用存取政策來管理許可。存取政策可以是連接至資源 (例如儲存貯體或其他 Amazon S3 資源 (S3 資源)) 的資源型政策。存取政策也可以是身分型政策，其會連接到您帳戶中的 AWS Identity and Access Management (IAM) 使用者、群組或角色。您可能會發現儲存貯體政策更適合您的使用案例。如需詳細資訊，請參閱Amazon S3 的儲存貯體政策。或者，使用 AWS Identity and Access Management (IAM)，您可以在 中建立 IAM 使用者、群組和角色， AWS 帳戶 並透過身分型政策管理其對儲存貯體和物件的存取。如需詳細資訊，請參閱Amazon S3 的身分型政策。

為了協助您瀏覽這些存取管理選項，以下是每項 Amazon S3 存取管理工具的常見 S3 客戶使用案例和建議。

存取管理故障診斷

下列資源可協助您對 S3 存取管理的任何問題進行故障診斷：

針對拒絕存取 (403 禁止) 錯誤進行疑難排解

如果您遇到存取拒絕問題，請檢查帳戶層級和儲存貯體層級設定。此外，請檢查您用來授予存取權的存取管理功能，以確保政策、設定或組態正確無誤。如需 Amazon S3 中導致拒絕存取 (403 禁止) 錯誤之常見原因的詳細資訊，請參閱 對 Amazon S3 中的存取遭拒 (403 Forbidden) 錯誤進行故障診斷。

IAM Access Analyzer for S3

如果您不想公開提供您的任何資源，或想要限制對資源的公開存取，您可以使用 IAM Access Analyzer for S3。在 Amazon S3 主控台上，使用 IAM Access Analyzer for S3，檢閱以儲存貯體存取控制清單 (ACL)、儲存貯體政策或存取點政策來授予公開或共用存取的所有儲存貯體。IAM Access Analyzer for S3 會提醒您，儲存貯體設定為允許存取網際網路或其他 上的任何人 AWS 帳戶，包括組織 AWS 帳戶 外部。針對每個公開或共用儲存貯體，您會收到報告公開或共用存取來源和層級的發現項目。

在 IAM Access Analyzer for S3 中，只要一個動作，就可以封鎖對儲存貯體的所有公開存取。除非您需要公開存取以支援特定使用案例，否則建議您封鎖對儲存貯體的所有公開存取。在封鎖所有公開存取之前，請確定您的應用程式在沒有公開存取的情況下可繼續正常運作。如需詳細資訊，請參閱封鎖對 Amazon S3 儲存體的公開存取權。

您還可以檢閱儲存貯體層級許可設定，以設定詳細的存取層級。對於需要公開或共用存取的特定和經驗證使用案例，您可以將對儲存貯體的發現項目存檔，以確認並記錄您要讓儲存貯體保持公開或共用。您可以隨時再次瀏覽和修改這些儲存貯體組態。您也可以將發現項目下載為 CSV 報告，供稽核之用。

您無需額外付費，即可在 Amazon S3 主控台上使用 IAM Access Analyzer for S3。IAM Access Analyzer for S3 採用 AWS Identity and Access Management (IAM) IAM Access Analyzer 技術。若要在 Amazon S3 主控台上使用 IAM Access Analyzer for S3，您必須造訪 IAM 主控台，並在 IAM Access Analyzer 中為每個區域建立帳戶層級分析器。

如需 IAM Access Analyzer for S3 的詳細資訊，請參閱 使用 IAM Access Analyzer for S3 檢閱儲存貯體存取權。

日誌記錄和監控

監控是維護 Amazon S3 解決方案可靠性、可用性和效能的重要組成部分，以便您更輕鬆地偵錯存取失敗。記錄可以提供使用者收到的任何錯誤，以及何時提出請求和提出哪些請求的洞見。 AWS 提供多種工具來監控您的 Amazon S3 資源，例如：

如需詳細資訊，請參閱在 Amazon S3 中記錄和監控。