Amazon S3 访问点

每个 S3 访问点都配置有针对用例或应用程序的访问策略。例如，您可以为 S3 存储桶创建一个访问点，为数据湖的用户或应用程序组授予访问权限。访问点可以支持单个用户或应用程序，也可以支持账户内部或跨账户的一组用户或应用程序，因此可以对每个访问点进行单独管理。

每个访问点都与一个存储桶相关联，并包含一个网络源站控件和一个阻止公共访问控件。例如，您可以创建带有网络源站控件的访问点，该控件仅允许从您的 Virtual Private Cloud（AWS 云的逻辑隔离部分）进行存储访问。您还可以创建一个访问点，将访问点策略配置为仅允许访问具有指定前缀的对象或具有特定标签的对象。

您可以使用两种方式之一通过访问点访问共享存储桶中的数据。对于 S3 对象操作，您可以使用访问点 ARN 代替存储桶名称。对于要求存储桶名称使用标准 S3 存储桶名称格式的请求，您可以使用访问点别名。S3 访问点的别名是自动生成的，并且可以在您使用存储桶名称进行数据访问的任何位置与 S3 存储桶名称互换。每次为存储桶创建访问点时，S3 都会自动生成一个新的访问点别名。对于全套可兼容操作和 AWS 服务，请访问 S3 文档。

S3 访问点简化了管理应用程序集对 S3 上共享数据集的数据访问的方式。您不再需要使用数以百计的需要编写、读取、跟踪和审计的不同权限规则来管理单个复杂的存储桶策略。使用 S3 访问点，您现在可以创建特定于应用程序的访问点，从而允许使用针对特定应用程序量身定制的策略来访问共享数据集。

• 大型共享数据集：使用访问点，您可以针对需要访问共享数据集的每个应用程序，将一个大型存储桶策略分解为多个单独的离散访问点策略。这样可以更轻松地集中精力为应用程序制定正确的访问策略，而不必担心打断共享数据集中任何其他应用程序正在执行的操作。
  
• 安全地复制数据：借助使用 AWS 内部网络和 VPC 的 S3 复制 API，在相同区域的访问点之间高速且安全地复制数据。
  
• 将访问方式限于 VPC：S3 访问点可以将所有 S3 存储访问限制为通过 Virtual Private Cloud (VPC) 执行。 您还可以创建服务控制策略 (SCP)，并要求将所有访问点都限制在 Virtual Private Cloud (VPC) 中，从而通过防火墙将数据隔离在专用网络中。
• 测试新的访问策略：使用访问点，您可以在将应用程序迁移到访问点或将策略复制到现有访问点之前，轻松测试新的访问控制策略。
• 将访问方式限于特定账户 ID：使用 S3 访问点，您可以指定 VPC 终端节点策略，该策略仅允许访问特定账户 ID 所拥有的访问点（以及相应的存储桶）。这简化了访问策略的创建，允许访问同一账户中的存储桶，同时拒绝通过 VPC 终端节点进行的任何其他 S3 访问。
• 提供唯一的名称：S3 访问点允许您指定在账户和区域范围内唯一的任何名称。例如，您现在在每个账户和区域中都可以有一个“测试”访问点。

使用 S3 访问点，无论是为数据提取、转换、受限读取访问还是无限制访问创建访问点，都可以更轻松地完成创建、共享和维护共享 S3 存储桶中的数据访问权限的工作。

您可以通过 AWS 管理控制台、AWS 命令行界面 (CLI)、应用程序编程接口 (API) 和 AWS 软件开发工具包 (SDK) 客户端，在新存储桶以及现有存储桶上免费创建访问点。您可以通过 S3 控制台和 CLI 轻松添加、查看和删除访问点以及编辑访问点策略。您可以像使用存储桶策略一样编写访问点策略，使用 IAM 规则来治理权限。

您还可以使用 CloudFormation 模板开始使用访问点。您可以通过 AWS CloudTrail 日志监视和审计访问点操作，例如“创建访问点”和“删除访问点”。您可以使用 AWS Organizations 对 AWS SCP 的支持来控制访问点的使用。

访问 S3 访问点文档以了解更多信息。