本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

管理存取點存取

您可以使用不同的許可和網路控制來設定每個 S3 存取點，S3許可和網路控制適用於使用該存取點提出的任何請求。S3 存取點支援 AWS Identity and Access Management (IAM) 資源政策，可用來依資源、使用者或其他條件控制存取點的使用。若要讓應用程式或使用者透過存取點存取檔案，存取點和基礎磁碟區都必須允許請求。如需詳細資訊，請參閱IAM 存取點政策。

FSx for ONTAP 的 Amazon S3 存取點使用雙層授權模型，將 AWS IAM 許可與檔案系統層級許可結合。此方法可確保資料存取請求在 AWS 服務層級和基礎檔案系統層級獲得適當授權。

若要讓應用程式或使用者成功透過存取點存取資料，S3 存取點政策和基礎 FSx for ONTAP 磁碟區都必須允許請求。

檔案系統使用者身分和授權

當您為 FSx for ONTAP 磁碟區建立 S3 存取點時，您可以指定檔案系統身分，用來授權透過該存取點提出的所有檔案系統請求。此檔案系統身分會根據檔案系統的許可模型，決定授予基礎檔案和目錄的存取層級。檔案系統使用者是基礎 Amazon FSx 檔案系統上的使用者帳戶。如果檔案系統使用者具有唯讀存取權，則只會授權使用存取點提出的讀取請求，並封鎖寫入請求。如果檔案系統使用者具有讀寫存取權，則會授權使用存取點對連接磁碟區的讀寫請求。

檔案系統身分可以是兩種類型之一：

當您指定 UNIX 或 Windows 身分時，透過存取點執行的所有 S3 API 操作都會使用該使用者的 檔案系統許可進行授權。

您與存取點建立關聯的檔案系統身分會決定檔案和目錄的存取層級。例如，如果您將存取點與根 UNIX 身分 (UID 0) 建立關聯，通常在檔案系統上具有完整的檔案存取許可，則所有檔案操作都會獲得授權。相反地，如果您將存取點與受限的使用者身分建立關聯，檔案操作會受限於該使用者根據檔案系統的許可模型可以存取的內容。

對於具有 UNIX 安全樣式的磁碟區，您應該使用 UNIX 檔案系統身分類型，對於具有 NTFS 安全樣式的磁碟區，則應使用 Windows 身分類型。此對齊可確保授權模型符合磁碟區的安全組態。

對於 UNIX 安全樣式磁碟區，檔案系統使用 mode-bits 或 NFSv4 ACLs來控制存取。對於 NTFS 安全樣式磁碟區，檔案系統使用 Windows ACLs來控制存取。

S3 API 請求授權

當您透過連接至 FSx for NetApp ONTAP 磁碟區的存取點提出 S3 API 請求時，Amazon S3 會根據存取點的 IAM 資源政策評估呼叫主體的 IAM 許可。IAM 主體發起人必須擁有透過其身分型政策授予的必要許可，且存取點的資源政策也必須允許請求的動作。

Amazon S3 會評估所有相關政策，包括使用者政策、存取點政策、VPC 端點政策和服務控制政策，以決定是否授權請求。

您也可以將 S3 存取點設定為僅接受來自特定虛擬私有雲端 (VPC) 的請求，以限制資料存取。如需詳細資訊，請參閱建立受限於 Virtual Private Cloud 的存取點。

S3 封鎖公有存取權

連接至 FSx for ONTAP 磁碟區的 Amazon S3 存取點會自動設定為啟用封鎖公開存取，您無法變更。

IAM 存取點政策

Amazon S3 存取點支援 AWS Identity and Access Management (IAM) 資源政策，可讓您依資源、使用者或其他條件控制存取點的使用。若要讓應用程式或使用者能夠透過存取點存取物件，存取點和基礎資料來源都必須允許請求。

建立選用存取點政策需要 s3:PutAccessPointPolicy許可。

將 S3 存取點連接至 Amazon FSx 磁碟區後，針對磁碟區的所有現有操作將繼續如往常般運作。您在存取點政策中包含的限制僅適用透過該存取點進行的請求。如需詳細資訊，請參閱《Amazon Simple Storage Service 使用者指南》中的設定 IAM 政策以使用存取點。

當您使用 Amazon FSx 主控台建立連接至 FSx for ONTAP 磁碟區的存取點時，您可以設定存取點政策。 FSx 若要在現有 S3 存取點上新增、修改或刪除存取點政策，您可以使用 S3 主控台、CLI 或 API。