Amazon S3 功能

借助 S3 存储桶名称、前缀、对象标签、S3 Metadata 和 S3 清单，您可以通过各种方式来分类和报告数据，然后配置其他 S3 功能以执行操作。无论是存储数千个还是数十亿个对象，Amazon S3 批量操作都可让您轻松管理 Amazon S3 中任意规模的数据。使用 S3 批量操作时，只需一个 S3 API 请求或者在 S3 控制台中操作几步，就可在存储桶之间复制对象，替换对象标签集，修改访问控制，以及从 Amazon S3 Glacier Flexible Retrieval 以及 Amazon S3 Glacier Deep Archive 存储类中恢复归档的对象。您还可以使用 S3 批量操作跨对象运行 AWS Lambda 函数，用于运行自定义的业务逻辑，例如处理数据或者转码图像文件。要开始使用，请选择源存储桶和筛选器，或者使用 S3 清单报告或提供自定义列表来指定目标对象列表，然后从预先填充的菜单中选择所需的操作。S3 分批操作请求完成后，您会收到通知以及有关全部更改的完成报告。观看视频教程以了解有关 S3 批量操作的更多信息。

Amazon S3 Metadata 提供准实时的可查询对象元数据，从而整理数据并加速数据发现。该功能可以帮助您整理和识别 S3 数据，并将这些数据用于业务分析、实时推理应用程序等。S3 Metadata 支持对象元数据，其中包括系统定义的详细信息（例如对象的大小和来源）和自定义元数据，允许您使用标签为对象添加商品 SKU、交易 ID、内容评级等信息作为注释。S3 Metadata 设计为在将对象上传到存储桶时自动捕获对象中的元数据，并使这些元数据可在只读表中查询。随着存储桶中的数据发生更改，S3 Metadata 在几分钟内即可更新表以反映最新更改。

Amazon S3 还支持帮助维护数据的版本控制、防止意外删除以及复制数据到相同或不同 AWS 区域的功能。借助 S3 版本控制，您可以保存、检索和还原存储到 Amazon S3 中的某个对象的每个版本，从而可从意外的用户操作和应用程序故障中进行恢复。要防止意外删除，请在 S3 存储桶上启用“多重身份验证（MFA）删除”功能。如果您在启用了 MFA 删除的存储桶中尝试删除某个存储的对象，存储桶会要求提供两种形式的身份验证：您的 AWS 账户凭证以及有效序列号、空格和显示在已批准身份验证设备（例如，硬件密钥卡或 Universal 2nd Factor (U2F) 安全密钥）上的六位代码的组合。

借助 Amazon S3 复制，您可将对象（及其对应的元数据和对象标签）复制到同一或不同区域的一个或多个目标存储桶，从而满足减少延迟、合规性、安全性、灾难恢复和其他应用场景的需要。您可以配置 S3 跨区域复制（CRR），从而从源 S3 存储桶复制到不同区域中的一个或多个目标存储桶。S3 同区域复制 (SRR) 在同一 AWS 区域内的存储桶之间复制对象。虽然 CRR 和 SRR 等实时复制会在新的已上载对象写入存储桶时自动复制它们，但 S3 批量复制允许您复制现有对象。您可以利用 S3 批量复制来回填新创建的存储桶，重试原先无法复制的对象，在账户之间迁移数据，或者向数据湖添加新的存储桶。 Amazon S3 Replication Time Control（S3 RTC）通过提供 SLA 和对复制时间的可见性，来帮助您满足数据复制的合规性要求。

要跨区域和账户访问 S3 存储桶中的复制数据集，请使用 Amazon S3 多区域接入点为您的应用程序和客户端创建一个全局端点，以供在任何位置使用。此全局端点允许您使用在单区域中采用的相同简单架构来构建多区域应用程序，并且可以在全球任意区域运行这些应用程序。在访问跨多个 AWS 区域和账户复制的数据集时，Amazon S3 多区域接入点可提高性能多达 60%。基于 AWS Global Accelerator，S3 多区域接入点会考虑网络拥塞和请求应用程序的位置等因素，通过 AWS 网络将您的请求动态路由到数据的最低延迟副本。使用 S3 多区域接入点失效转移控制功能，您可以跨区域在复制的数据集之间进行失效转移，从而在几分钟内将 S3 数据请求流量转移到其他 AWS 区域。

您还可以通过 Amazon S3 对象锁定来实施一次写入多次读取（WORM）策略。此 S3 管理功能会在客户定义的保留期内阻止删除对象版本，让您能够通过实施保留策略来进一步保护数据或满足合规性要求。您可将工作负载从现有 WORM 系统迁移到 Amazon S3，并在对象级别或存储桶级别配置 S3 对象锁定，防止在预定义的保留到期日期或法律保留日期之前删除对象版本。具有 S3 对象锁定的对象会保留 WORM 保护，即使对象已经移动到具有 Amazon S3 生命周期策略的不同存储类。要跟踪哪些对象具有 S3 对象锁定，您可以参阅包含对象 WORM 状态的 S3 清单报告。S3 对象锁定可以在两种模式之一中配置。部署在监管模式中时，具有特定 IAM 权限的 AWS 账户可以从对象上移除 S3 对象锁定。如果您需要更强的不变性以遵守法规，可以使用合规模式。在合规模式下，包括根账户在内的任何用户都无法删除保护。

S3 Storage Lens 存储分析功能提供了对对象存储使用情况和活动趋势的组织范围可见性，并提出了可行的建议，以提高成本效益并应用数据保护最佳实践。S3 Storage Lens 是首个能够在组织中为数百到数千个账户提供对象存储使用量和活动单一视图的云存储分析解决方案，并通过深入分析以生成账户、存储桶甚至前缀级别的见解。利用超过 16 年帮助客户优化存储的经验，S3 Storage Lens 存储分析功能分析整个组织的指标以提供基于上下文的建议，从而找到降低存储成本的方法，并应用数据保护方面的最佳实践。 

Amazon S3 存储类分析功能将分析存储访问模式，以帮助您决定何时将相应数据传输给正确的存储类。该 Amazon S3 功能可观察数据访问模式，从而帮助您确定何时将访问频率较低的存储转换为成本较低的存储类。您可以使用结果来帮助改善 S3 生命周期策略。您可以配置存储类分析以分析存储桶中的所有对象。或者，您可以配置筛选条件以将对象分组在一起，以便按常用前缀、对象标签或同时按前缀和标签进行分析。要了解更多信息，请访问存储分析和洞察页面。

Amazon S3 Tables 提供了首款内置开放表格式支持的云对象存储，也是大规模存储表格数据的最简单方法。S3 表类数据存储服务专门针对分析工作负载进行了优化。与非托管式 Iceberg 表相比，查询性能提高多达 3 倍；与存储在通用 S3 存储桶中的 Iceberg 表相比，每秒事务处理量提高多达 10 倍。S3 Tables 支持 Apache Iceberg 标准，可通过常用的 AWS 和第三方查询引擎轻松进行查询。此外，S3 Tables 旨在进行持续的表维护，即使您的数据湖不断扩展和演变，它也能随着时间的推移自动优化查询效率和存储成本。

S3 Tables 使用表存储桶，这是一种专为存储表格数据而构建的存储桶类型。使用表存储桶，您可以轻松创建表并设置表级权限来管理对数据湖的访问权限。然后，您可以使用标准 SQL 加载和查询表中的数据，并利用 Apache Iceberg 的高级分析功能，例如行级事务、可查询快照、架构演变等。表存储桶还提供策略驱动的表维护，帮助您自动执行运营任务，例如压缩、快照管理和未引用文件删除。

当您需要将数据存储在特定数据边界内时，Amazon S3 可支持您的数据驻留和数据隔离用例。如果您的数据驻留要求无法由现有 AWS 区域满足，则可以使用 AWS 专用本地区域的 S3 存储类或 S3 on Outposts 机架将数据存储在特定数据边界内。这扩展了 AWS 数字主权承诺，我们承诺提供云中最先进的主权控制和功能组合。

为了保护您在 Amazon S3 中的数据，默认情况下用户只有自己所创建 S3 资源的访问权限。您可以使用以下访问管理功能之一或者功能组合来向其他用户授予访问权限：AWS Identity and Access Management（IAM），用于创建用户并管理其各自的访问权限）；访问控制列表（ACL），用于使授权用户可访问单个对象；存储桶策略，用于配置单个 S3 存储桶内所有对象的权限；S3 接入点，用于通过创建具有特定于每个应用程序或应用程序集的名称和权限的接入点来简化对共享数据集的数据访问的管理；S3 访问授权，用于通过根据最终用户的公司身份自动授予其 S3 访问权限来大规模管理数据权限；以及查询字符串身份验证，用于使用临时 URL 向其他人授予限时访问权限。Amazon S3 还支持审核日志，其中列出对您 S3 资源发出的请求，从而清楚地了解谁访问了哪些数据。

Amazon S3 提供了灵活的安全功能，用于阻止未经授权的用户访问数据。使用 VPC 端点从您的 Amazon Virtual Private Cloud（Amazon VPC）以及本地连接到 S3 资源。Amazon S3 会加密上传到任何存储桶的所有新数据（截至 2023 年 1 月 5 日）。Amazon S3 支持服务器端加密（具有四个密钥管理选项）和数据上传的客户端加密（有关使用 S3 进行数据加密的更多信息，请参阅《Amazon S3 用户指南》）。使用 S3 清单可以检查 S3 对象的加密状态（有关 S3 清单的更多信息，请参阅存储管理）。

S3 屏蔽公共访问权限是一组安全控制功能，可确保 S3 存储桶和对象不会受到公共访问。默认情况下，所有新存储桶的“屏蔽公共访问权限”均处于启用状态。只需在 Amazon S3 管理控制台中单击几次，即可对 AWS 账户内的所有存储桶或特定 S3 存储桶应用 S3 屏蔽公共访问权限设置。将设置应用到某个 AWS 账户之后，与该账户关联的任何现有或新的存储桶及对象将继承屏蔽公共访问权限的设置。S3 阻止公有访问设置会覆盖其他 S3 访问权限，使账户管理员能够轻松实施“无公有访问”策略，而不管如何添加对象、如何创建存储桶或者是否存在现有的访问权限。S3 阻止公有访问控制是可审核的，这带来更进一步的控制，并可使用 AWS Trusted Advisor 存储桶权限检查、AWS CloudTrail 日志和 Amazon CloudWatch 警报。 您应该为不希望公开访问的所有账户和存储桶启用阻止公共访问。

S3 对象所有权功能禁用了访问控制列表（ACL），将所有对象的所有权更改为存储桶拥有者，并简化了对存储在 S3 中的数据的访问管理。 当您配置 S3 对象所有权存储桶拥有者强制设置时，ACL 将不再影响您的存储桶及其中对象的权限。所有访问控制都将使用基于资源的策略、用户策略或这些策略的某种组合来定义。 在禁用 ACL 前，请检查存储桶和对象 ACL。要识别需要 ACL 授权的 Amazon S3 请求，您可以使用 Amazon S3 服务器访问日志或 AWS CloudTrail 中的 aclRequired 字段。

借助仅限于虚拟私有云（VPC）的 S3 接入点，您可以在您的私有网络内轻松为 S3 数据设置防火墙。此外，您可以使用 AWS 服务控制策略，要求组织中的任何新 S3 访问点仅支持 VPC 访问。

IAM Access Analyzer for S3 功能可帮助您在为 S3 存储桶和接入点设置、验证和优化策略时简化权限管理。Access Analyzer for S3 可监控您现有的存储桶访问策略，以验证它们是否仅提供对 S3 资源的必要访问权限。Access Analyzer for S3 会评估您的存储桶访问策略，以便您可以快速修复任何具有不必要访问权限的存储桶。在查看显示对存储桶的潜在共享访问权限的结果时，只需单击 S3 控制台，即可阻止对存储桶的公共访问。出于审核目的，您可将 S3 访问分析器的结果下载为 CSV 报告。 此外，S3 控制台可以在您编写 S3 策略时报告 IAM Access Analyzer 中的安全警告、错误和建议。该控制台将会自动运行 100 多项策略检查，以验证您的策略。这些检查可以为您节约时间，指导您解决错误，并帮助您应用安全最佳实践。

IAM 通过提供某用户或角色上次使用 S3 及执行相关操作的时间戳，让您可以更轻松地分析访问与降低权限，以便实施最低权限原则。使用此“上次访问”信息来分析 S3 访问，确定未被使用的权限，并且秘密地将其移除。要了解更多信息，请参阅使用上次访问的数据优化权限。

您可以使用 Amazon Macie 来发现和保护存储在 Amazon S3 中的敏感数据。Macie 可以自动收集完整的 S3 清单，并且持续地评估每个存储桶，以便在有任何可公开访问的存储桶、未加密的存储桶或与贵组织之外的 AWS 账户共享或复制的存储桶时发出提醒。然后，Macie 将机器学习和模式匹配技术应用于您选择的存储桶，以识别敏感数据，并向您发出警报，例如个人身份信息 (PII)。安全性结果生成后，它们将被推送到 Amazon CloudWatch Events 之外，这使您可以轻松与现有工作流程系统集成，并使用 AWS Step Functions 等服务触发自动修复，以执行操作，例如关闭公有存储桶或添加资源标签。

适用于 S3 的 AWS PrivateLink 在 Amazon S3 与本地之间提供私有连接。您可以在 VPC 中为 S3 预置接口 VPC 端点，以通过 AWS Direct Connect 或 AWS VPN 将本地应用程序直接与 S3 连接。为 S3 发送到接口 VPC 终端节点的请求会通过 Amazon 网络自动路由到 S3。您可以设置安全组并为接口 VPC 终端节点配置 VPC 终端节点策略，以进行其他访问控制。

通过访问 S3 访问管理和安全、S3 安全和数据保护电子书以及保护 Amazon S3 中的数据来了解更多信息。

AWS Data Exchange for Amazon S3 通过直接访问数据提供商的 Amazon S3 数据来加速获得洞察。AWS Data Exchange for Amazon S3 可帮助您轻松查找、订阅和使用第三方数据文件，以优化存储成本、简化数据许可管理等。它适用于希望通过 AWS 服务轻松使用第三方数据文件进行数据分析，而无需创建或管理数据副本的订阅者。对于希望提供对其 Amazon S3 存储桶中托管的数据的就地访问权限的数据提供商，它也很有帮助。

一旦数据订阅者有权使用 AWS Data Exchange for Amazon S3 数据集，他们就可以开始进行数据分析，而无需设置自己的 S3 桶、将数据文件复制到这些 S3 桶中或支付相关的存储费用。他们可以通过 AWS 服务（例如 Amazon Athena、Amazon SageMaker Feature Store 或 Amazon EMR）完成数据分析。订阅者可以访问数据提供者维护的相同 S3 对象，从而始终使用最新的可用数据，而无需完成额外的工程或操作工作。数据提供者可以轻松地在现有 S3 存储桶上设置 AWS Data Exchange for Amazon S3，以共享对整个 S3 存储桶或特定前缀和 S3 对象的直接访问权限。设置完成后，AWS Data Exchange 会自动管理订阅、授权、账单和付款。

Amazon S3 提供行业领先的云对象存储性能。Amazon S3 对并行请求的支持意味着您可以按照计算集群的系数扩展 S3 性能，而无需对应用程序进行任何自定义。性能按前缀扩展，因此您可以并行使用尽可能多的前缀，从而实现所需的吞吐量。前缀的数量没有限制。Amazon S3 性能每秒至少支持 3500 个添加数据请求，每秒至少支持 5500 个检索数据请求。每个 S3 前缀均支持这些请求速率，因此可以轻松实现显著的性能提升。

要实现此 S3 请求速率性能，您无需随机化对象前缀即可实现更快的性能。也就是说，您现在可以在 S3 对象命名中使用逻辑或顺序命名模式，而不会产生任何性能影响。有关 Amazon S3 性能优化的最新信息，请参阅 Amazon S3 性能指南和 Amazon S3 性能设计模式。