理解 ARN 和服务端点

ARN（Amazon Resource Name）是 AWS 中每个资源的唯一 ID。策略和日志都通过 ARN 指向资源，因此学会读取 ARN 至关重要。

ARN 遵循固定的冒号分隔格式：arn:partition:service:region:account-id:resource。每个部分都会进一步限定所命名的对象，因此即使 ARN 很长，也能一眼读懂。请参阅示例。

分区通常是 aws（GovCloud 和中国区域使用特殊分区），服务部分则标明服务，例如 s3 或 iam。这两部分首先确定资源所属的大致范围。

区域部分标明资源所在的区域（全局服务的此部分为空），而 account-id 是 12 位的所有者账户编号。在跨账户操作中，这个数字可以显示资源归谁所有。

最后一部分是资源本身，有时会带有 role/ 这样的前缀。它可以指向一个确切对象，也可以使用通配符指向多个对象。IAM 策略最常针对这一部分进行设置。

IAM 策略会将 ARN 放入 Resource 字段，以准确说明某项操作适用于什么对象。阅读这些 ARN，您可以立即判断权限范围是严格限定的，还是危险地过于宽泛。

ARN 中的通配符（*）可以匹配多个资源：bucket/* 表示其中的每个对象。单独使用 * 会匹配所有内容，几乎总是范围过大。请特别留意这种写法。

服务终端节点是请求实际到达的 URL，例如 s3.us-east-1.amazonaws.com。大多数终端节点都是区域级的，因此覆盖范围也必须按区域设置。

VPC 终端节点允许您的资源私下访问 AWS 服务，而无需经过公共互联网。这样可以让流量留在 AWS 网络中，并减少暴露面。

ARN 说明请求针对的“对象”，终端节点则定义请求前往的“位置”。两者结合起来，您就能编写精确的策略，这通常是最小权限考试题中的关键。

ARN 不仅会出现在 Resource 字段中，也会出现在策略条件和 CloudTrail 日志里。熟练阅读 ARN 有助于编写更严格的规则，并追踪谁执行了什么操作。

解读一个 ARN。

ARN 为每个资源提供唯一名称，策略会在 Resource 字段中针对 ARN 设置权限；范围过宽的通配符会破坏最小权限原则。VPC 终端节点可以私下访问服务。