設定 Amazon S3 Storage Lens 許可 - Amazon Simple Storage Service
設定帳戶許可設定 Storage Lens 群組許可設定 AWS Organizations 許可

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定 Amazon S3 Storage Lens 許可

Amazon S3 Storage Lens 需要 AWS Identity and Access Management （IAM） 中的新許可，才能授權存取 S3 Storage Lens 動作。若要授予這些許可，您可以使用身分型IAM政策。您可以將此政策連接至IAM使用者、群組或角色，以授予他們許可。此類許可能夠包含啟用或停用 S3 Storage Lens，或存取任何 S3 Storage Lens 儀表板或組態的能力。

IAM 使用者或角色必須屬於建立或擁有儀表板或組態的帳戶，除非下列兩個條件都是 true：

  • 您的帳戶是 的成員 AWS Organizations。

  • 您有權以委派管理員的身分使用管理帳戶建立組織層級儀表板。

注意

  • 您無法使用帳戶的根使用者憑證，來檢視 Amazon S3 Storage Lens 儀表板。若要存取 S3 Storage Lens 儀表板，您必須將必要的IAM許可授予新的或現有的IAM使用者。然後，使用這些使用者憑證登入，以存取 S3 Storage Lens 儀表板。如需詳細資訊，請參閱 IAM 使用者指南 中的安全最佳實務IAM。

  • 在 Amazon S3 主控台上使用 S3 Storage Lens 可能需要多個許可。例如，若要在主控台上編輯儀表板，您需要下列許可：

    • s3:ListStorageLensConfigurations

    • s3:GetStorageLensConfiguration

    • s3:PutStorageLensConfiguration

設定使用 S3 Storage Lens 的帳戶許可

若要建立及管理 S3 Storage Lens 儀表板和 Storage Lens 儀表板組態，您必須具備下列許可 (具體取決於您要執行的動作)：

下表顯示與 Amazon S3 Storage Lens 相關的IAM許可。

動作 IAM 許可
在 Amazon S3 主控台中建立或更新 S3 Storage Lens 儀表板。

s3:ListStorageLensConfigurations

s3:GetStorageLensConfiguration

s3:GetStorageLensConfigurationTagging

s3:PutStorageLensConfiguration

s3:PutStorageLensConfigurationTagging
在 Amazon S3 主控台上取得 S3 Storage Lens 儀表板的標籤。

s3:ListStorageLensConfigurations

s3:GetStorageLensConfigurationTagging
在 Amazon S3 主控台上檢視 S3 Storage Lens 儀表板。

s3:ListStorageLensConfigurations

s3:GetStorageLensConfiguration

s3:GetStorageLensDashboard
刪除 Amazon S3 主控台上 S3 Storage Lens 儀表板。

s3:ListStorageLensConfigurations

s3:GetStorageLensConfiguration

s3:DeleteStorageLensConfiguration
使用 或 建立 AWS CLI 或 AWS 更新 S3 Storage Lens 組態SDK。

s3:PutStorageLensConfiguration

s3:PutStorageLensConfigurationTagging
使用 AWS CLI 或 AWS 取得 S3 Storage Lens 組態的標籤SDK。

s3:GetStorageLensConfigurationTagging
使用 AWS CLI 或 檢視 S3 Storage Lens 組態 AWS SDK。

s3:GetStorageLensConfiguration
使用 AWS CLI 或 刪除 S3 Storage Lens 組態 AWS SDK。

s3:DeleteStorageLensConfiguration
注意

  • 您可以在IAM政策中使用資源標籤來管理許可。

  • 具有這些許可IAM的使用者或角色可以查看來自儲存貯體和字首的指標，這些指標可能沒有讀取或列出物件的直接許可。

  • 對於已啟用字首層級指標的 S3 Storage Lens 儀表板，如果選取的字首路徑與物件索引鍵相符，儀表板可能會將物件索引鍵顯示為另一個字首。

  • 對於儲存在帳戶中儲存貯體中的指標匯出，使用IAM政策中的現有許可來授予s3:GetObject許可。同樣地，對於 AWS Organizations 實體，組織的管理帳戶或委派的管理員帳戶可以使用IAM政策來管理組織層級儀表板和組態的存取許可。

設定使用 S3 Storage Lens 群組的帳戶許可

您可以使用 S3 Storage Lens 群組，根據字首、尾碼、物件標籤、物件大小或物件存留期，了解儲存在儲存貯體內的分佈情形。您可以將 Storage Lens 群組連接至儀表板，以檢視其彙總指標。

若要使用 Storage Lens 群組，您需要特定許可。如需詳細資訊，請參閱Storage Lens 群組許可。

設定使用 S3 Storage Lens 的許可 AWS Organizations

您可以使用 Amazon S3 Storage Lens 來收集 AWS Organizations 階層中所有帳戶的儲存指標和用量資料。下表顯示與搭配 Organizations 使用 S3 Storage Lens 相關的動作和許可。

動作 IAM 許可
為您的組織啟用 S3 Storage Lens 的受信任存取權。

organizations:EnableAWSServiceAccess
針對組織停用 S3 Storage Lens 的受信任存取權。

organizations:DisableAWSServiceAccess
註冊委派管理員，為您的組織建立 S3 Storage Lens 儀表板或組態。

organizations:RegisterDelegatedAdministrator
取消註冊委派管理員，以便其無法再針對您的組織建立 S3 Storage Lens 儀表板或組態。

organizations:DeregisterDelegatedAdministrator

建立 S3 Storage Lens 全組織組態的額外許可。

organizations:DescribeOrganization

organizations:ListAccounts

organizations:ListAWSServiceAccessForOrganization

organizations:ListDelegatedAdministrators

iam:CreateServiceLinkedRole