我们应该如何保护AmazonS3存储桶上的云端数据呢？

一起来了解下亚马逊云科技的基本权限，如何为用户定义特定服务权限，AmazonS3存储桶的策略，如何在存储桶层面定义相关权限，以及AmazonS3存储桶版本管理的使用方法。

先了解使用身份和访问管理IAM。

IAM是通过对用户的一般定义完成。它不仅适用于AmazonS3存储桶上，而是可以全面控制亚马逊云科技中的权限。

默认情况下用户是没有任何权限的，必须先完成权限设置，否则无法进行任何操作。

AmazonS3存储桶策略可以决定谁能访问以及其操作权限，并且进行更为细致的权限管理。

IAM允许用户在亚马逊云科技上的不同服务进行细化访问，不局限于AmazonS3存储桶。

当你需要为一个用户组设置权限时，首先要明确允许什么以及拒绝什么。需要注意，拒绝具有优先权，当拒绝条件被满足时，它会首先被执行，其余的都有可能被终止。当然，你也可以使用一些预设置。

其次，我们需要明确用户的属性，这是可以多个动作的。举个例子，你可以明确定义资源、哪个用户或用户组可以访问那个资源。同时，你也可以添加一些额外条件，比如带有“BLUE”标签的文件、今天的某个时间或者IP地址等。

如何使用IAM用户和策略优化个人云端账户？

你可以通过权限设置，更改其他用户的访问权限，比如为其设置只读权限，这会使得其他用户无法进行阅读之外的行为，这样也就无法造成误删操作。

我们甚至可以通过制定合适的“拒绝”策略，规定不管用户的权限是如何，都不能执行删除操作。即使你拥有账户的管理权限，也是无法删除。

如何使用AmazonS3存储桶的版本管理功能防止误删？

答案是在存储桶上定义版本管理，这会使得每一个你上传、再次上传的文件或者要删除的文件都在存储桶中保留它的所有版本，并且你可以查看之前的版本。

这样在当你删除一个文件时，只是在文件上添加了一个删除标记，文件并没有被真正删除。你可以通过删除Delete标记恢复这个文件。这就是存储桶的逻辑定义，它告诉系统不向你显示这个文件，并在有人请求查看时，给到一个440的提示，但其实这个文件时存在的。

但是，如果你删除一个具有特定版本ID的文件，就会真的删除，而且无法恢复。

具体操作如下：

1.从存储桶属性进入存储桶版本管理。一但你启动了版本管理功能，将无法禁用它。

2.启用存储桶版本管理功能。存储桶将能够进入反转状态。此时你可以访问不同版本的文件，下载之前版本，甚至进行恢复操作。

3.当你删除这个文件时，它会从你的存储桶中消失，但你可以从列表中的版本找到它，你可以通过删除Delete标记将文件放回去。

简单总结一下，如何保护你在AmazonS3上的数据：

• 使用最小权限分离你的用户；
• 为每个用户指定IAM策略，根据他们需求分配权限；
• 执行存储桶策略，启用存储桶的版本管理功能。

更多AI/ML、大数据/数据库、现代应用开发、IoT等热门产品技术分享，欢迎访问亚马逊云科技开发者社区。

亚马逊云科技开发者社区一站式平台，包含了为全球开发者所提供的开发技术资源，技术文档、开发案例、技术专栏、培训视频、活动与竞赛、常见问题等。帮助中国开发者更便捷的获取全球云计算技术内容来学习交流，更优地做云上构建。同时为中国开发者打通链接世界的桥梁，致力于帮助中国技术企业与开发团队打造自身技术品牌并让全球亚马逊云科技的开发者们了解源于中国的产品技术。