联想 Filez 云和 AWS 云融合解决方案，为企业文档管理及协作降本增效（第七部分）

• VPC 端点限制数据访问和阻止数据泄漏

Amazon S3 的 VPC 端点提供多种方式来控制对 Amazon S3 数据的访问：

1. 可以控制允许通过特定 VPC 端点访问的请求、用户或组。
2. 可以使用 S3 存储桶策略控制哪些 VPC 或 VPC 端点有权访问 S3 存储桶。
3. 使用没有 Internet 网关的 VPC 来阻止数据泄露。

• 访问控制列表（ACL）

Amazon S3 对象所有权禁用了访问控制列表（ACL），将所有对象的所有权更改为存储桶拥有者，并简化了对存储在 S3 中的数据的访问管理。 配置 S3 对象所有权存储桶拥有者强制设置时，ACL 不存储桶及其中对象的权限。所有访问控制都将使用基于资源的策略、用户策略或这些策略的某种组合来定义。

• AWS CloudWatch 实施监控和 Macie 敏感数据保护

CloudWatch 监控是保证 Amazon S3 和 AWS 解决方案的可靠性、安全性、可用性和性能的重要部分。AWS 提供了一些可用来监控 Amazon S3 和其他 AWS 服务的工具和服务。例如，可以监控 Amazon S3 的 CloudWatch 指标，特别是 PutRequests、GetRequests、4xx Errors 和 DeleteRequests。

Amazon Macie 大规模探索和保护 Amazon S3 中的敏感数据。Macie 通过扫描存储桶来识别和分类数据，从而自动提供完整的 S3 存储桶清单。列举出符合这些敏感数据类型的任何数据的可行性的安全发现，包括个人身份信息（PII）（例如客户姓名和信用卡号码）和隐私法规（如 GDPR 和 HIPAA）定义的类别。Macie 还可以自动并持续评估任何未加密、可公开访问或与组织外的账户共享的存储桶的存储桶级预防控制措施，从而快速解决存储桶上的意外设置。