Amazon S3 的终端节点

您可以创建一个策略来仅允许访问特定 S3 存储桶。如果您的 VPC 中有使用 S3 存储桶的其他 Amazon 服务，这会非常有用。以下是仅允许访问指定存储桶的策略的示例。

{
  "Sid": "AccessToSpecificBucket",
  "Effect": "Allow",
  "Principal": "*",
  "Action": [
     "s3:ListBucket",
     "s3:GetObject",
     "s3:PutObject"
  ],
  "Resource": [
     "arn:aws:s3:::example-bucket",
     "arn:aws:s3:::example-bucket/*"
  ]
}		

您可以创建将 VPC 终端节点的使用限制为特定 IAM 角色的策略。以下是仅允许访问指定账户中指定角色的示例。

{
  "Sid": "Restrict-acess-to-specific-IAM-role",
  "Effect": "Allow",
  "Principal": "*",
  "Action": "*",
  "Resource": "*",
  "Condition": {
    "ArnEquals": {
      "aws:PrincipalArn": "arn:aws:iam::111122223333:role/SomeRole"
    }
  }
}		

您可以创建将 VPC 终端节点的使用限制为特定账户的策略。以下是仅允许访问指定账户中用户的示例。

{
  "Sid": "AllowCallersFromAccount111122223333",
  "Effect": "Allow",
  "Principal": "*",
  "Action": "*",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:PrincipalAccount": "111122223333"
    }
  }
}  	

每个区域中的 Amazon Linux AMI 存储库都是 Amazon S3 存储桶。如果您希望 VPC 中的实例通过终端节点访问该存储库，请创建终端节点策略以允许对这些存储桶进行访问。

以下策略授予对 Amazon Linux 存储库的访问权限。

您需要将 region 替换为您的Amazon区域，例如 us-east-1。

{
  "Statement": [
    {
      "Sid": "AmazonLinuxAMIRepositoryAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*"
      ]
    }
  ]
}

以下策略授予对 Amazon Linux 2 存储库的访问权限。

您需要将 region 替换为您的Amazon区域，例如 us-east-1。

{
  "Statement": [
    {
      "Sid": "AmazonLinux2AMIRepositoryAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*"
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}

您可以使用 aws:sourceVpce 条件来创建用于限制对特定端点的访问的存储桶策略。下面是一个 S3 存储桶策略示例，该存储桶仅允许从端点 vpce-1a2b3c4d 访问存储桶 example_bucket。如果未使用指定的终端节点，则该策略会拒绝对存储桶的所有访问。aws:sourceVpce 条件不需要 VPC 终端节点资源的 ARN，而只需要终端节点 ID。此示例假设还有一个允许您的使用案例所需访问权限的策略语句。

{
  "Version": "2012-10-17",
  "Id": "Access-to-bucket-using-specific-endpoint",
  "Statement": [
    {
      "Sid": "Access-to-specific-VPCE-only",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": ["arn:aws:s3:::example_bucket",
                   "arn:aws:s3:::example_bucket/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpce": "vpce-1a2b3c4d"
        }
      }
    }
  ]
}

您可以使用 aws:sourceVpc 条件来创建存储桶策略，用于限制对特定 VPC 的访问。如果您在同一 VPC 中配置了多个终端节点，并且您希望管理对所有终端节点的 S3 存储桶的访问，这会非常有用。下面是允许 VPC vpc-111bbb22 访问 example_bucket 及其对象的策略的示例。如果未使用指定的 VPC，则该策略拒绝对存储桶的所有访问。aws:sourceVpc 条件不需要 VPC 资源的 ARN，而只需要 VPC ID。此示例假设还有一个允许您的使用案例所需访问权限的策略语句。

{
  "Version": "2012-10-17",
  "Id": "Access-to-bucket-using-specific-VPC",
  "Statement": [
    {
      "Sid": "Access-to-specific-VPC-only",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": ["arn:aws:s3:::example_bucket",
                   "arn:aws:s3:::example_bucket/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpc": "vpc-111bbb22"
        }
      }
    }
  ]
}

您可以使用 aws:VpcSourceIp 条件来创建策略，用于限制对特定 IP 地址范围的访问。下面是允许 172.31.0.0/16 访问 example_bucket 及其对象的策略的示例。该策略拒绝从其他 IP 地址范围访问存储桶。此示例假设还有一个允许您的使用案例所需访问权限的策略语句。

{
  "Version": "2012-10-17",
  "Id": "Policy1415115909152",
  "Statement": [
    {
      "Sid": "Access-to-specific-VPC-CIDR-only",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": ["arn:aws:s3:::example_bucket",
                   "arn:aws:s3:::example_bucket/*"],
      "Condition": {
        "NotIpAddress": {
          "aws:VpcSourceIp": "172.31.0.0/16"
        }
      }
    }
  ]
}

您可以使用 s3:ResourceAccount 条件来创建策略，用于限制对特定 Amazon Web Services 账户 中 S3 存储桶的访问。如果您希望限制 VPC 内的客户端访问您不拥有的存储桶，这将非常有用。以下是一个策略示例，该策略限制对单个 Amazon Web Services 账户（账户 ID 为 111122223333）所拥有的资源的访问。此示例假设还有一个允许您的使用案例所需访问权限的策略语句。

{
  "Version": "2012-10-17",
  "Id": "Policy1415115909152",
  "Statement": [
    {
      "Sid": "Access-to-bucket-in-specific-account-only",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "s3:GetObject",
        "s3:PutObject"
      ],
      "Resource": "arn:aws:s3:::*",
      "Condition": {
        "StringNotEquals": {
          "s3:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}