阻止对您的 Amazon S3 存储的公有访问

Amazon S3 屏蔽公共访问权限功能提供接入点、存储桶、账户和 Amazon Organizations 设置，帮助您管理对 Amazon S3 资源的公有访问。默认情况下，新存储桶、接入点和对象不允许公有访问。但是，用户可以修改存储桶策略、接入点策略或对象权限以允许公有访问。S3 屏蔽公共访问权限设置会覆盖这些策略和权限，以便于您可以限制这些资源的公有访问。

借助 S3 屏蔽公共访问权限，组织账户管理员、账户管理员和存储桶拥有者可以轻松设置集中控制，以控制对已实施的 Amazon S3 资源的公共访问（与资源的创建方式无关）。

您可以在多个级别管理屏蔽公共访问权限设置：组织级别（使用 Amazon Organizations）、账户级别以及存储桶和接入点级别。有关配置公有块访问的说明，请参阅配置屏蔽公共访问权限。

当 Amazon S3 收到访问存储桶或对象的请求时，它将确定该存储桶或存储桶拥有者的账户是否应用了屏蔽公共访问权限设置。如果该账户属于具有屏蔽公共访问权限策略的 Amazon Organizations，则 Amazon S3 还会检查组织级别的设置。如果请求是通过接入点发出，则 Amazon S3 还会检查接入点的屏蔽公共访问权限设置。如果现有的屏蔽公共访问权限设置禁止请求的访问，则 Amazon S3 将拒绝该请求。

Amazon S3 屏蔽公共访问权限提供四种设置。这些设置彼此独立，可任意组合使用。每个设置都可以应用于接入点、存储桶或整个 Amazon Web Services 账户。在组织级别，所有四个设置作为统一的策略一起应用，您无法精细地选择个别设置。如果接入点、存储桶或账户的屏蔽公共访问权限设置不同，则 Amazon S3 应用接入点、存储桶和账户设置的最严格组合。账户级别的设置会自动继承组织级别的策略（如果存在），而 S3 会采用存储桶级别设置和生效的账户级别设置之间最严格的策略。例如，如果您的组织启用了屏蔽公共访问权限策略，但某个存储桶在存储桶级别禁用了屏蔽公共访问权限，则该存储桶仍将受到保护，因为 S3 应用了更严格的组织/账户级别设置。反之，如果禁用了您的组织策略，但存储桶启用了屏蔽公共访问权限，则该存储桶仍受其存储桶级别设置的保护。

当 Amazon S3 评估屏蔽公共访问权限设置是否禁止某一操作时，它将拒绝违反组织策略（这会强制实施账户 BPA 设置）或者接入点、存储桶或账户设置的任何请求。

屏蔽公共访问权限设置

S3 屏蔽公共访问权限提供四种设置。您可以任意组合将这些设置应用于单个接入点、存储桶或整个 Amazon Web Services 账户。在组织级别，您只能使用“全部”或“无”方法同时启用或禁用所有四个设置，无法精细地控制个别设置。如果您将某一设置应用于某个账户，则该设置将应用于该账户拥有的所有存储桶和接入点。账户级别设置会自动继承组织策略（如果存在）。同样，如果您将设置应用于某个存储桶，则该设置将应用于与该存储桶关联的所有接入点。

策略继承和实施的工作方式如下：

下表包含可用设置。

在组织级别管理屏蔽公共访问权限

组织级别的屏蔽公共访问权限使用 Amazon Organizations 策略来集中管理整个组织中的 S3 公共访问控制。这些策略在启用后，会自动应用于选定的账户，并覆盖账户级别的单独设置。

有关组织级别的屏蔽公共访问权限的更多信息，请参阅《Amazon Organizations 用户指南》中的 S3 策略。

在接入点上执行屏蔽公共访问权限操作

为了对接入点执行屏蔽公共访问权限操作，请使用 Amazon CLI 服务 s3control。

“公有”的含义

ACL

如果存储桶或对象 ACL 可向预定义的 AllUsers 或 AuthenticatedUsers 组的成员授予任何权限，则 Amazon S3 将其视为公有。有关预定义组的更多信息，请参阅 Amazon S3 预定义的组。

存储桶策略

在评估存储桶策略时，Amazon S3 先假定该策略是公有的。然后对策略进行评估，以确定它是否符合非公有条件。当存储桶策略必须仅授予针对以下一个或多个项目的固定值（不包含通配符或 Amazon Identity and Access Management 策略变量的值）的访问权限时，才会将该策略视为非公有：

有关存储桶策略的更多信息，请参阅 Amazon S3 的存储桶策略。

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow" 
	}

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": { "StringLike": {"aws:SourceVpc": "vpc-*"}}
	}

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": {"StringEquals": {"aws:SourceVpc": "vpc-91237329"}}
	}

Amazon S3 如何评估同时包含公有和非公有访问授权的存储桶策略

此示例演示 Amazon S3 如何评估同时包含公有和非公有访问授权的存储桶策略。

假设存储桶有一个策略可向一组固定主体授予访问权限。根据前面描述的规则，此策略不是公有策略。因此，如果您启用 RestrictPublicBuckets 设置，该策略将按编写内容保持有效，因为 RestrictPublicBuckets 只应用于具有公有策略的存储桶。但是，如果您向该策略中添加公有语句，则 RestrictPublicBuckets 将对该存储桶生效。它仅允许存储桶拥有者账户的 Amazon 服务主体和授权用户访问该存储桶。

例如，假定“Account-1”拥有的一个存储桶包含以下内容：

由于第三条语句，此策略符合公有策略的条件。实施此策略并启用 RestrictPublicBuckets 后，Amazon S3 将仅允许 CloudTrail 进行访问。请注意，尽管语句 2 不是公有，但 Amazon S3 仍禁用“Account-2”的访问。这是因为，语句 3 将整个策略都渲染为公有，因此 RestrictPublicBuckets 适用。因此，即使策略向特定账户“Account-2”委派访问权限，Amazon S3 仍禁用跨账户访问。但如果您从该策略中删除语句 3，则该策略不符合公有条件，并且 RestrictPublicBuckets 不再适用。因此，即使将 RestrictPublicBuckets 保持启用状态，“Account-2”也会重获存储桶的访问权限。

接入点

与存储桶相比，Amazon S3 评估接入点的屏蔽公共访问权限设置略有不同。Amazon S3 用于确定接入点策略何时为公用的规则对接入点和存储桶来说通常是相同的，但以下情况除外：

使用适用于 S3 的 IAM Access Analyzer 查看公有存储桶

您可以使用适用于 S3 的 IAM Access Analyzer 来查看具有存储桶 ACL、存储桶策略或授予公共访问权限的接入点策略的存储桶。如果存在已配置为允许互联网上的任何人或其他 Amazon Web Services 账户（包括组织外部的 Amazon Web Services 账户）访问的存储桶，适用于 S3 的 IAM Access Analyzer 会向您发出提醒。您会收到每个公共存储桶或共享存储桶的结果，其中报告了公共或共享访问的来源和级别。

在适用于 S3 的 IAM Access Analyzer 中，只需单击一下即可屏蔽对存储桶的所有公共访问权限。您还可以向下钻取到存储桶级别权限设置，以配置精细访问。对于需要公共或共享访问的特定和经验证的使用案例，您可以通过对存储桶的结果进行归档来确认和记录存储桶保持公开或共享的意图。

在极少数情况下，适用于 S3 的 IAM 访问权限分析器和 Amazon S3 屏蔽公共访问权限评估可能会因存储桶是否为公有而有所不同。之所以出现这种情况，是因为 Amazon S3 屏蔽公共访问权限除了评估公有访问权限外，还会对操作是否存在进行验证。假设存储桶策略包含一条 Action 语句，它支持公众访问 Amazon S3 不支持的操作（例如 s3:NotASupportedAction）。在这种情况下，Amazon S3 屏蔽公共访问权限会将存储桶评估为公有，因为如果稍后该操作变成受支持的，则这样的语句可能会使存储桶变为公有的。如果 Amazon S3 屏蔽公共访问权限和适用于 S3 的 IAM 访问权限分析器的评估存在差异，我们建议您查看存储桶策略并移除任何不受支持的操作。

有关适用于 S3 的 IAM Access Analyzer 的更多信息，请参阅使用适用于 S3 的 IAM Access Analyzer 查看存储桶访问权限。

权限

要使用 Amazon S3 屏蔽公共访问权限特征，您必须拥有以下权限。

配置屏蔽公共访问权限

有关为 Amazon Web Services 账户、Amazon S3 存储桶和接入点配置屏蔽公共访问权限的更多信息，请参阅以下主题：