使用 S3 on Outposts 设置 IAM

Amazon Identity and Access Management (IAM) 是一项 Amazon Web Service，可以帮助管理员安全地控制对 Amazon 资源的访问。IAM 管理员控制谁可以通过身份认证（登录）并获得使用 Amazon 资源的授权（具有权限）。您可以通过 IAM 在您的 Amazon Web Services 账户下创建用户和组。您可以控制用户使用 Amazon 资源执行任务所具有的权限。使用 IAM 不会产生额外的费用。

原定设置情况下，IAM 用户不拥有针对 Amazon S3 on Outposts 资源和操作的权限。要允许 IAM 用户管理 S3 on Outposts 资源，您必须执行以下操作：

除 IAM policy 外，S3 on Outposts 还同时支持桶和访问点策略。存储桶策略和访问点策略是附加到 S3 on Outposts 资源的基于资源的策略。

访问点策略可与附加到底层 S3 on Outposts 存储桶的存储桶策略结合使用。要使应用程序或用户能够通过某个 S3 on Outposts 访问点访问某个 S3 on Outposts 桶中的对象，访问点策略和桶策略都必须允许该请求。

您在访问点策略中包括的限制仅适用于通过该访问点发出的请求。例如，如果将某个访问点附加到某个桶，则无法使用访问点策略来允许或拒绝直接对该桶发出的请求。但是，应用到存储桶策略的限制可能会允许或拒绝直接对该存储桶或通过该访问点发出的请求。

在 IAM policy 或基于资源的策略中，您可以定义要允许或拒绝的 S3 on Outposts 操作。S3 on Outposts 操作对应于特定的 S3 on Outposts API 操作。S3 on Outposts 操作使用 s3-outposts: 命名空间前缀。对 Amazon Web Services 区域中的 Amazon S3 on Outposts 控制 API 发出的请求，以及对 Outpost 上的对象 API 端点发出的请求，都将使用 IAM 进行身份认证并根据 s3-outposts: 命名空间前缀进行授权。要使用 S3 on Outposts，请配置您的 IAM 用户并针对 s3-outposts: IAM 命名空间对其进行授权。

有关更多信息，请参阅《服务授权参考》中的 Amazon S3 on Outposts 的操作、资源和条件键。

有关为 S3 on Outposts 设置 IAM 的更多信息，请参阅以下主题。

S3 on Outposts 策略的主体

创建基于资源的策略以授予对 S3 on Outposts 存储桶的访问权限时，您必须使用 Principal 元素来指定可请求对该资源执行某个操作或运算的人员或应用程序。对于 S3 on Outposts 策略，您可以使用下面的一个主体：

有关 Principal 元素的更多信息，请参阅《IAM 用户指南》中的 Amazon JSON 策略元素：Principal。

S3 on Outposts 的资源 ARN

S3 on Outposts 的 Amazon 资源名称 (ARN) 除了包含 Outpost 归属的 Amazon Web Services 区域、Amazon Web Services 账户 ID 和资源名称外，还包含 Outpost ID。要访问 Outposts 存储桶和对象并对它们执行操作，您必须使用下表中显示的一种 ARN 格式。

ARN 中的 partition 值是指一组 Amazon Web Services 区域。每个 Amazon Web Services 账户 的作用域为一个分区。以下是支持的分区：

S3 on Outposts 的示例策略

{
   "Version":"2012-10-17",
   "Id":"ExampleBucketPolicy1",
   "Statement":[
      {
         "Sid":"statement1",
         "Effect":"Allow",
         "Principal":{
            "AWS":"123456789012"
         },
         "Action":"s3-outposts:*",
         "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outpost-bucket"
      }
   ]
}

{
    "Version": "2012-10-17",
    "Id": "ExampleBucketPolicy2",
    "Statement": [
        {
            "Sid": "statement1",
            "Effect": "Allow",
            "Principal": { "AWS" : "*" },
            "Action":"s3-outposts:*",
            "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outpost-bucket",
            "Condition" : {
                "IpAddress" : {
                    "aws:SourceIp": "192.0.2.0/24" 
                },
                "NotIpAddress" : {
                    "aws:SourceIp": "198.51.100.0/24" 
                } 
            } 
        } 
    ]
} 

S3 on Outposts 端点的权限

S3 on Outposts 需要 IAM 中它自己的权限，来管理 S3 on Outposts 端点操作。