适用于 Amazon S3 的网关端点

您可以使用 aws:sourceVpce 条件键来创建限制对特定端点的访问的存储桶策略。除非使用了指定的网关端点，否则以下策略会拒绝对指定存储桶的访问。此示例假设还有一个允许您的使用案例所需访问权限的策略语句。

{
  "Version": "2012-10-17",
  "Id": "Access-to-bucket-using-specific-endpoint",
  "Statement": [
    {
      "Sid": "Access-to-specific-VPCE-only",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpce": "vpce-1a2b3c4d"
        }
      }
    }
  ]
}

您可以使用 aws:sourceVpc 条件键来创建存储桶策略，用于限制对特定 VPC 的访问。如果您在同一 VPC 中配置了多个端点，这会非常有用。以下策略拒绝对指定存储桶及其并非来自指定 VPC 的对象的访问。此示例假设还有一个允许您的使用案例所需访问权限的策略语句。

{
  "Version": "2012-10-17",
  "Id": "Access-to-bucket-using-specific-VPC",
  "Statement": [
    {
      "Sid": "Access-to-specific-VPC-only",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": ["arn:aws:s3:::example_bucket",
                   "arn:aws:s3:::example_bucket/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpc": "vpc-111bbb22"
        }
      }
    }
  ]
}

您可以使用 aws:VpcSourceIp 条件键来创建策略，用于限制对特定 IP 地址范围的访问。以下策略拒绝对指定存储桶及其并非来自指定 IP 地址的对象的访问。此示例假设还有一个允许您的使用案例所需访问权限的策略语句。

{
  "Version": "2012-10-17",
  "Id": "Policy1415115909152",
  "Statement": [
    {
      "Sid": "Access-to-specific-VPC-CIDR-only",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "NotIpAddress": {
          "aws:VpcSourceIp": "172.31.0.0/16"
        }
      }
    }
  ]
}

您可以使用 s3:ResourceAccount 条件键来创建策略，用于限制对特定 Amazon Web Services 账户 中 S3 存储桶的访问。以下策略拒绝对非由指定 Amazon Web Services 账户 所有的资源进行访问。此示例假设还有一个允许您的使用案例所需访问权限的策略语句。

{
  "Version": "2012-10-17",
  "Id": "Policy1415115909152",
  "Statement": [
    {
      "Sid": "Access-to-bucket-in-specific-account-only",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "s3:GetObject",
        "s3:PutObject"
      ],
      "Resource": "arn:aws:s3:::*",
      "Condition": {
        "StringNotEquals": {
          "s3:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}

您可以创建一个策略来仅允许访问特定 S3 存储桶。如果您的 VPC 中有使用 S3 存储桶的其他 Amazon Web Services，这会非常有用。

{
  "Sid": "AccessToSpecificBucket",
  "Effect": "Allow",
  "Principal": "*",
  "Action": [
     "s3:ListBucket",
     "s3:GetObject",
     "s3:PutObject"
  ],
  "Resource": [
     "arn:aws:s3:::bucket_name",
     "arn:aws:s3:::bucket_name/*"
  ]
}

您可以创建限制对特定 IAM 角色的访问权限的策略。必须使用 aws:PrincipalArn 向主体授予访问权限。

{
  "Sid": "Restrict-access-to-specific-IAM-role",
  "Effect": "Allow",
  "Principal": "*",
  "Action": "*",
  "Resource": "*",
  "Condition": {
    "ArnEquals": {
      "aws:PrincipalArn": "arn:aws:iam::111122223333:role/role_name"
    }
  }
}

您可以创建限制对特定账户的访问权限的策略。必须使用 aws:PrincipalArn 向主体授予访问权限。

{
  "Sid": "AllowCallersFromAccount111122223333",
  "Effect": "Allow",
  "Principal": "*",
  "Action": "*",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:PrincipalArn": "111122223333"
    }
  }
}