Amazon S3 Express 的操作、资源和条件键
Amazon S3 Express（服务前缀:s3express）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。
参考：
-
了解如何配置该服务。
-
了解如何使用 IAM 权限策略保护该服务及其资源。
-
查看此服务的编程服务授权参考
。
Amazon S3 Express 定义的操作
您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予权限以创建新的接入点 |
s3express：AccessPointNetworkOrigin s3express: AccessPointTag /$ {} TagKey |
写入 |
||
授予权限以创建新的存储桶 |
写入 |
|||
授予创建会话令牌的权限，该令牌用于对象 API PutObject，例如 GetObject、等 |
s3express: AccessPointTag /$ {} TagKey |
写入 |
||
|
s3express：AllAccessRestrictedToLocalZoneGroup |
||||
授予权限以删除在 URI 中指定的接入点 |
s3express：AccessPointNetworkOrigin s3express: AccessPointTag /$ {} TagKey |
写入 |
||
授予权限以删除指定接入点上的策略 |
s3express：AccessPointNetworkOrigin s3express: AccessPointTag /$ {} TagKey |
权限管理，写入 |
||
授予权限以删除指定接入点上的范围配置 |
s3express：AccessPointNetworkOrigin s3express: AccessPointTag /$ {} TagKey |
权限管理，写入 |
||
授予权限以删除在 URI 中指定的存储桶 |
写入 |
|||
授予权限以删除指定存储桶上的策略 |
权限管理，写入 |
|||
授予权限以返回有关指定接入点的配置信息 |
s3express：AccessPointNetworkOrigin s3express: AccessPointTag /$ {} TagKey |
读取 |
||
授予权限以返回与指定接入点关联的接入点策略 |
s3express：AccessPointNetworkOrigin s3express: AccessPointTag /$ {} TagKey |
读取 |
||
授予权限以返回与指定接入点关联的范围配置 |
s3express：AccessPointNetworkOrigin s3express: AccessPointTag /$ {} TagKey |
读取 |
||
授予权限以返回指定存储桶的策略 |
读取 |
|||
授予权限以返回目录存储桶的默认加密配置 |
读取 |
|||
授予返回由 S3 目录存储桶的清单配置 ID 标识的清单配置的权限 |
读取 |
|||
授予权限以返回目录存储桶上的生命周期配置信息集 |
读取 |
|||
授予获取目录存储桶指标配置的权限 |
读取 |
|||
授予权限以列出访问点 |
列表 |
|||
授予列出由已通过身份验证的请求发出方拥有的所有目录存储桶的权限 |
列表 |
|||
授予权限以列出指定资源的所有标签 |
列表 |
|||
授予权限以将访问策略与指定接入点关联 |
s3express：AccessPointNetworkOrigin s3express: AccessPointTag /$ {} TagKey |
权限管理，写入 |
||
授予权限以将接入点与指定的接入点范围配置关联 |
s3express：AccessPointNetworkOrigin s3express: AccessPointTag /$ {} TagKey |
权限管理，写入 |
||
授予权限以在存储桶上添加或替换存储桶策略 |
权限管理，写入 |
|||
授予权限以设置目录存储桶的加密配置 |
写入 |
|||
授予权限以向存储桶添加清单配置（由清单 ID 标识） |
s3express: BucketTag /$ {} TagKey |
写入 |
||
授予权限以便为目录存储桶创建新的生命周期配置或替换现有生命周期配置 |
写入 |
|||
授予为目录存储桶的 CloudWatch 请求指标设置或更新指标配置的权限 |
写入 |
|||
授予权限以创建新的用户定义标签或更新现有标签 |
标记、写作 |
|||
授予权限以从 S3 资源中移除指定用户定义的标签 |
标记、写作 |
|||
Amazon S3 Express 定义的资源类型
以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。
| 资源类型 | ARN | 条件键 |
|---|---|---|
arn: $ {Partition}: s3express: $ {Region}: $ {Account}: accesspoint/$ {} AccessPointName |
||
arn: $ {Partition}: s3express: $ {Region}: $ {Account}: bucket/$ {} BucketName |
Amazon S3 Express 的条件键
Amazon S3 Express 定义了以下可以在 IAM policy 的 Condition 元素中使用的条件键。
| 条件键 | 描述 | 类型 |
|---|---|---|
按请求中传递的标签筛选访问权限 |
字符串 |
|
按与资源关联的标签筛选访问权限 |
字符串 |
|
按请求中传递的标签键筛选访问权限 |
ArrayOfString |
|
按网络源（Internet 或 VPC）筛选访问 |
字符串 |
|
按附加到接入点的标签键值对筛选访问权限 |
字符串 |
|
按此条件键中提供的 AWS 本地区域网络边界组筛选访问权限 |
字符串 |
|
按附加到存储桶的标签键值对筛选访问权限 |
字符串 |
|
按拥有接入点的 AWS 账户 ID 筛选访问权限 |
字符串 |
|
按接入点 Amazon Resource Name（ARN）筛选访问 |
进行筛选 |
|
通过限制用户在配置 S3 清单报告时可以添加的可选元数据字段来筛选访问权限 |
ArrayOfString |
|
按特定可用区或本地区域 ID 筛选访问权限 |
字符串 |
|
按接入点范围配置请求的权限筛选访问权限，例如 GetObject， PutObject |
ArrayOfString |
|
按资源所有者 AWS 账户 ID 筛选访问权限 |
字符串 |
|
按照 CreateSession API 请求的权限筛选访问权限，例如 ReadOnly 和 ReadWrite |
字符串 |
|
按客户端使用的 TLS 版本筛选访问 |
数值 |
|
按身份验证方法筛选访问 |
字符串 |
|
按请求签名的生存期（以毫秒为单位）筛选访问 |
数值 |
|
按请求中使用的 AWS 签名版本筛选访问权限 |
字符串 |
|
按存储桶中未签名内容筛选访问权限 |
字符串 |
|
通过服务器端加密来筛选访问 |
字符串 |
|
筛选服务器端 AWS 加密的 KMS 客户托管密钥的访问权限 |
进行筛选 |
