权限

Amazon S3 多区域接入点可以简化多个 Amazon Web Services 区域中 Amazon S3 桶的数据访问。多区域接入点称为全局端点，您可以使用这些接入点执行 Amazon S3 数据接入点操作，如 GetObject 和 PutObject。对于通过全局端点发出的任何请求，每个多区域接入点都可以具有不同的权限和网络控制。

每个多区域接入点也可以强制实施自定义访问策略，该策略与附加到底层桶的桶策略结合使用。要使请求成功，以下所有条件都必须允许该操作：

您可以将任何多区域接入点策略配置为仅接受来自特定 IAM 用户或组的请求。有关如何执行此操作的示例，请参阅多区域接入点策略示例中的示例 2。为了限制 Amazon S3 数据访问私有网络，您可以将任何多区域接入点策略配置为仅接受来自虚拟私有云（VPC）的请求。

例如，假设您通过多区域接入点使用您的 Amazon 账户中名为 AppDataReader 的用户发出一个 GetObject 请求。为了帮助确保请求不会被拒绝，AppDataReader 用户必须被多区域接入点和多区域接入点底层的每个桶授予 s3:GetObject 权限。AppDataReader 将无法从任何未授予此权限的任何桶中检索数据。

管理多区域接入点的公共访问

多区域接入点支持每个多区域接入点的独立阻止公有访问设置。创建多区域接入点时，您可以指定应用于该多区域接入点的阻止公有访问设置。

对于通过多区域接入点发出的任何请求，Amazon S3 会评估以下各项的阻止公有访问设置：

如果这些设置中的任何一个指示应阻止请求，则 Amazon S3 会拒绝请求。有关 Amazon S3 阻止公有访问功能的更多信息，请参阅 阻止对您的 Amazon S3 存储的公有访问。

查看多区域接入点的阻止公有访问设置

使用多区域接入点策略

以下示例多区域接入点策略授予 IAM 用户从多区域接入点列出和下载文件的访问权限。要使用此示例示例，请将 user input placeholders 替换为您自己的信息。

 {
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":"arn:aws:iam::123456789012:user/JohnDoe" 
         },
         "Action":[
            "s3:ListBucket",
            "s3:GetObject"
         ],
         "Resource":[
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias",
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias/object/*"
         ]
      }
   ]
}

要使用 Amazon Command Line Interface（Amazon CLI）将多区域接入点策略与指定的多区域接入点关联，请使用以下 put-multi-region-access-point-policy 命令。要使用此示例命令，请将 user input placeholders 替换为您自己的信息。每个多区域接入点只能有一个策略，因此，对 put-multi-region-access-point-policy 操作发出的请求将替换与指定多区域接入点关联的任何现有策略。

要查询上次操作的结果，请使用以下命令：

要检索多区域接入点策略，请使用以下命令：

编辑多区域接入点策略

多区域接入点策略（以 JSON 编写）提供对与多区域接入点结合使用的 Amazon S3 桶的存储访问。您可以允许或拒绝特定主体对您的多区域接入点执行各种操作。当一个请求通过多区域接入点路由到一个桶时，多区域接入点和桶的访问策略都适用。限制性更强的访问策略始终优先。

应用多区域接入点策略后，无法删除该策略。您可以编辑策略，也可以创建覆盖现有策略的新策略。

多区域接入点策略示例

Amazon S3 多区域接入点支持 Amazon Identity and Access Management（IAM）资源策略。您可以使用这些策略，按资源、用户或其他条件控制多区域接入点的使用。为了使应用程序或用户能够通过多区域接入点访问对象，多区域接入点和底层桶都必须允许相同的访问权限。

要允许对多区域接入点和底层桶进行相同访问，请执行以下操作之一：

{
    "Version": "2012-10-17",
    "Statement" : [
    {
        "Effect": "Allow",
        "Principal" : { "AWS": "*" },
        "Action" : "*",
        "Resource" : [ "Bucket ARN", "Bucket ARN/*"],
        "Condition": {
            "StringEquals" : { "s3:DataAccessPointArn" : "MultiRegionAccessPoint_ARN" }
        }
    }]
}

{
  "Version":"2012-10-17",
  "Statement": [
    {
       "Effect": "Allow",
       "Principal": {
          "AWS":"arn:aws:iam::123456789012:user/JohnDoe"
       },
       "Action":[
          "s3:ListBucket",
          "s3:GetObject"
       ],
       "Resource":[ 
          "MultiRegionAccessPoint_ARN",
          "MultiRegionAccessPoint_ARN/object/*"
       ]
     }
  ]
}

{
   "Version":"2012-10-17",
   "Statement": [
      {
       "Effect": "Allow",
       "Principal": {
        "AWS": "arn:aws:iam::123456789012:user/JohnDoe"
        },
        "Action": "s3:ListBucket",
        "Resource": "MultiRegionAccessPoint_ARN"
       }
    ]
}