本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
流式传输表和 Amazon S3 交付的访问控制
流式传输表和 Amazon S3 交付使用 Amazon Kinesis Data Streams 假设的 IAM 服务执行角色将数据写入您的目标。请遵循以下访问控制实践：
-
最低权限-仅授予服务执行角色所需的最低权限。将 Amazon S3 权限的范围限定为特定的存储桶和前缀，而不是使用通配符。
-
特定资源的范围-限制对交付写入的特定存储桶、表存储桶或表的权限。避免使用
Resource: "*"。 -
混乱的副手预防 — 在服务执行角色信任策略中包含
aws:SourceArn和aws:SourceAccount条件，以便只有您的交付资源才能担任该角色。 -
源流加密-如果您的直播使用 Amazon 托管式密钥 （
aws/kinesis别名）加密，则无法创建分发。改为使用客户管理的密钥进行直播加密。
有关完整的服务执行角色策略，请参阅用于数据传输的 IAM 权限。有关加密的详细信息和审核日志，请参阅数据传输的安全性。