本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 流式传输表和 Amazon S3 交付的访问控制
<a name="controlling-access-data-delivery"></a>

 流式传输表和 Amazon S3 交付使用 Amazon Kinesis Data Streams 假设的 IAM 服务执行角色将数据写入您的目标。请遵循以下访问控制实践：
+ **最低权限**-仅授予服务执行角色所需的最低权限。将 Amazon S3 权限的范围限定为特定的存储桶和前缀，而不是使用通配符。
+ **特定资源的范围**-限制对交付写入的特定存储桶、表存储桶或表的权限。避免使用 `Resource: "*"`。
+ **混乱的副手预防** — 在服务执行角色信任策略中包含`aws:SourceArn`和`aws:SourceAccount`条件，以便只有您的交付资源才能担任该角色。
+ **源流加密**-如果您的直播使用 Amazon 托管式密钥 （`aws/kinesis`别名）加密，则无法创建分发。改为使用客户管理的密钥进行直播加密。

 有关完整的服务执行角色策略，请参阅[用于数据传输的 IAM 权限](data-delivery-iam.md)。有关加密的详细信息和审核日志，请参阅[数据传输的安全性](data-delivery-security.md)。