访问点与对象所有权

旧式 ACL（访问控制列表）允许您授予对象级访问权限，但它早于 IAM 和存储桶策略出现，在大规模环境中难以审计。

最大的风险是跨账户上传：由其他账户写入的对象可能归该账户所有，导致存储桶所有者无法控制这些对象。

S3 Object Ownership用于确定上传对象的所有者。其推荐设置Bucket owner enforced会完全停用 ACL，并自动让存储桶所有者拥有每个对象。

关闭 ACL 后，所有访问都由 IAM 和存储桶策略统一控制，更容易理解和审计。

当 Object Ownership 设置为 Bucket owner enforced 时，ACL 不再适用，也完全无法授予访问权限。

这现在是新存储桶的默认设置，也是 AWS 推荐的最佳实践。只需一个设置，就能消除整类令人困惑且容易出错的跨账户所有权问题。

假设账户 A 拥有一个存储桶，而账户 B 向其中上传日志。按照旧式 ACL 行为，这些对象归 B 所有，因此 A 无法读取或删除自己存储桶中的内容。

Bucket owner enforced 可以解决这一问题：无论由谁上传，A 都会自动拥有每个对象，从而让存储桶所有者恢复完整控制权。

S3 Access Points是附加到存储桶的命名网络端点，每个端点都有自己的访问策略。

您不必使用一个庞大而纠缠的存储桶策略为所有应用提供服务，而是可以针对每种使用场景创建专用访问点，并为其配置简单且限定范围的策略，从而更容易管理和审计访问权限。

随着更多团队使用同一个存储桶，单一共享存储桶策略会变得复杂且有风险。访问点可以将其拆分为许多小型策略。

每个访问点都可以限制为某个 VPC，拥有自己的名称和权限，并可独立撤销，因此一个团队的需求不会迫使您为所有人放宽访问权限。

您可以将访问点设置为仅接受来自特定 VPC（虚拟私有云）的请求。这样，通过该访问点访问的对象就完全无法从公共互联网触达。

这是确保敏感数据只能由内部工作负载通过私有网络路径访问的一种简洁方式。

Multi-Region Access Points提供一个统一的全球端点，将请求路由到多个区域中的存储桶。

从安全角度看，它们简化了全球分布式数据的策略管理，并提供自动故障转移，让应用无需硬编码区域存储桶名称也能持续运行。

跨账户共享时，请结合使用存储桶策略、访问点和 Object Ownership，而不要使用 ACL。

设置 Bucket owner enforced，通过限定范围的存储桶策略或访问点策略授予另一个账户访问权限，即可获得可审计、可撤销的跨账户访问，同时避免 ACL 导致的所有权混乱。

每个访问点都带有自己的访问点策略，并与存储桶策略一起进行评估。存储桶策略甚至可以委派给访问点，仅允许通过访问点授予访问权限。

这样，您可以保留一个简单且限制严格的存储桶策略，同时在小型、独立的访问点策略中表达各应用的权限，便于审查和撤销。

现代 S3 访问控制的做法很明确：使用 Bucket owner enforced停用 ACL，通过 IAM 和存储桶策略管理访问，并使用访问点让各应用的策略保持小巧且限定范围。

与旧式 ACL 模式相比，这种组合更安全，也显著更易于审计。

选择最简洁的解决方案。

旧式 ACL会导致跨账户所有权难题，也难以审计。将 S3 的 Object Ownership设置为 Bucket owner enforced，以停用 ACL 并清晰地拥有每个对象，再通过 IAM 和存储桶策略管理访问。使用 S3 Access Points为每个应用提供小型、限定范围且可选择限制到 VPC 的策略，并使用 Multi-Region Access Points 处理全球数据。它们共同用可审计的最小权限访问模型取代 ACL。