AWS 托管服務的訪問控制

Question

我們的組織正計划使用 Rekognition、Textract 等 AWS 托管服務。因為這些服務使用 S3 存儲桶進行人臉比較和分析文檔。 問題是最終用戶不應該能夠訪問我們組織之外的存儲桶，有什么方法可以限制我組織中僅 S3 存儲桶的訪問？ 存儲桶可以由用戶動態創建，因此訪問控制應覆蓋賬戶中的所有存儲桶。 我們還將 VPC 端點用於這些服務。

Answer 1

無法配置 Rekognition，使其只能使用特定 AWS 賬戶中的存儲桶。

默認情況下，Amazon S3 中的對象是私有的。 您組織中的 IAM 用戶將只能訪問已通過其 IAM 用戶的策略或存儲桶本身的存儲桶策略授予他們訪問權限的存儲桶。

如果用戶在調用 Amazon Rekognition 時引用了 S3 object，則用戶必須有權通過 IAM 策略或存儲桶策略訪問存儲桶。 如果他們可以訪問 object，那么他們可以將 object 與 Rekognition 一起使用。

換句話說，如果他們對 object 具有一般訪問權限（例如，下載對象），那么他們可以將 Rekognition 與它一起使用。