Day-331-AWS 存储安全

# Day 348: AWS 存储安全 - S3 安全/加密/访问控制/数据保护

> 云安全系列第 8 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [S3 安全基础](#s3-安全基础)
2. [访问控制](#访问控制)
3. [数据加密](#数据加密)
4. [数据保护](#数据保护)
5. [监控审计](#监控审计)
6. [安全最佳实践](#安全最佳实践)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## S3 安全基础

### S3 安全模型

**安全层次**：
```
账户级别:
- 账户根用户
- IAM 策略
- SCP 策略

桶级别:
- 桶策略
- 桶 ACL
- 桶设置

对象级别:
- 对象 ACL
- 对象标签
- 对象加密
```

**默认安全**：
```
新桶默认:
- 私有访问
- 阻止公共访问
- 版本控制关闭

安全设置:
- 加密默认开启
- 日志默认关闭
- 复制默认关闭
```

### 桶配置

**桶设置**：
```
版本控制:
- 启用版本控制
- 数据恢复
- 防止误删

生命周期:
- 自动转换存储类
- 自动过期删除
- 成本优化

日志记录:
- 访问日志
- 服务器日志
- 审计支持
```

**阻止公共访问**：
```
设置:
- 阻止公共 ACL
- 阻止公共桶策略
- 阻止新公共 ACL
- 阻止新公共策略

最佳实践:
- 默认全部阻止
- 按需开放
- 审计例外
```

---

## 访问控制

### 桶策略

**策略结构**：
```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSpecificAccount",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::account-id:root"
      },
      "Action": [
        "s3:GetObject",
        "s3:PutObject"
      ],
      "Resource": "arn:aws:s3:::bucket-name/*"
    }
  ]
}
```

**常见策略**：
```
只读访问:
{
  "Action": ["s3:GetObject"],
  "Resource": "arn:aws:s3:::bucket/*"
}

写入访问:
{
  "Action": ["s3:PutObject"],
  "Resource": "arn:aws:s3:::bucket/*"
}

完全访问:
{
  "Action": ["s3:*"],
  "Resource": ["arn:aws:s3:::bucket", "arn:aws:s3:::bucket/*"]
}
```

### IAM 策略

**IAM 权限**：
```
S3 操作:
- s3:GetObject
- s3:PutObject
- s3:DeleteObject
- s3:ListBucket

条件控制:
- s3:prefix
- s3:ExistingObjectTag
- aws:PrincipalTag
```

**策略示例**：
```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::example-bucket",
        "arn:aws:s3:::example-bucket/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:PrincipalTag/Department": "Engineering"
        }
      }
    }
  ]
}
```

### ACL 管理

**ACL 类型**：
```
桶 ACL:
- 控制桶访问
- 控制对象列表
- 控制桶设置

对象 ACL:
- 控制对象访问
- 继承桶 ACL
- 单独设置
```

**ACL 权限**：
```
读权限:
- READ: 读取对象
- READ_ACP: 读取 ACL

写权限:
- WRITE: 写入对象
- WRITE_ACP: 写入 ACL

完全控制:
- FULL_CONTROL: 所有权限
```

---

## 数据加密

### 加密选项

**SSE-S3**：
```
特点:
- S3 管理密钥
- AES-256 加密
- 自动轮换

使用:
- 默认加密
- 无需配置
- 透明加密
```

**SSE-KMS**：
```
特点:
- KMS 管理密钥
- 密钥控制
- 审计跟踪

优势:
- 密钥策略
- 使用日志
- 密钥轮换
```

**SSE-C**：
```
特点:
- 客户管理密钥
- 客户提供密钥
- S3 不存储密钥

使用场景:
- 合规要求
- 密钥控制
- 特殊需求
```

### 加密配置

**默认加密**：
```
配置:
{
  "Rules": [
    {
      "ApplyServerSideEncryptionByDefault": {
        "SSEAlgorithm": "aws:kms",
        "KMSMasterKeyID": "arn:aws:kms:region:account-id:key/key-id"
      }
    }
  ]
}
```

**加密策略**：
```
强制加密:
{
  "Effect": "Deny",
  "Action": "s3:PutObject",
  "Resource": "arn:aws:s3:::bucket/*",
  "Condition": {
    "StringNotEquals": {
      "s3:x-amz-server-side-encryption": "aws:kms"
    }
  }
}
```

---

## 数据保护

### 版本控制

**版本控制优势**：
```
数据恢复:
- 恢复误删
- 恢复旧版本
- 防止覆盖

数据保护:
- 保留历史
- 审计跟踪
- 合规支持
```

**生命周期管理**：
```
转换规则:
- STANDARD → IA (30 天)
- IA → Glacier (90 天)
- Glacier → 删除 (365 天)

过期规则:
- 非当前版本过期
- 删除标记过期
- 对象过期
```

### 复制

**跨区复制**：
```
使用场景:
- 灾难恢复
- 数据本地化
- 访问优化

配置:
- 源桶配置
- 目标桶配置
- 复制规则
```

**复制加密**：
```
加密要求:
- 源对象加密
- 目标加密
- 密钥管理

密钥选项:
- SSE-S3
- SSE-KMS
- SSE-C
```

---

## 监控审计

### 访问日志

**服务器访问日志**：
```
日志内容:
- 请求者
- 操作
- 时间
- 响应状态

日志配置:
- 目标桶
- 日志前缀
- 日志格式
```

**CloudTrail 集成**：
```
S3 数据事件:
- 对象级操作
- 桶级操作
- 详细日志

监控重点:
- 敏感操作
- 异常访问
- 权限变更
```

### 安全监控

**Macie 使用**：
```
功能:
- 敏感数据发现
- 数据分类
- 异常检测

监控内容:
- PII 数据
- 凭证泄露
- 异常访问
```

**Config 规则**：
```
合规规则:
- s3-bucket-public-read-prohibited
- s3-bucket-public-write-prohibited
- s3-bucket-encryption-enabled

自动修复:
- 自动启用加密
- 自动阻止公共
- 自动启用日志
```

---

## 安全最佳实践

### 访问控制

**最小权限**：
```
原则:
- 最小必要权限
- 按需授权
- 定期审查

实施:
- 从只读开始
- 按需增加
- Access Analyzer
```

**公共访问控制**：
```
默认阻止:
- 阻止所有公共访问
- 按需开放
- 审计例外

监控:
- 公共桶检测
- 公共对象检测
- 自动告警
```

### 数据保护

**加密最佳实践**：
```
默认加密:
- 所有桶启用加密
- 使用 KMS 密钥
- 密钥轮换

传输加密:
- 强制 HTTPS
- TLS 1.2+
- 证书验证
```

**备份恢复**：
```
备份策略:
- 跨区复制
- 版本控制
- 定期备份

恢复测试:
- 定期测试
- 恢复流程
- RTO/RPO
```

### 合规支持

**合规配置**：
```
日志记录:
- 启用访问日志
- CloudTrail 集成
- 日志保护

数据保留:
- 生命周期策略
- 合规保留
- 法律保留
```

---

## 总结与思考

### 核心要点回顾

1. **S3 基础**：安全模型、桶配置、默认安全
2. **访问控制**：桶策略、IAM 策略、ACL 管理
3. **数据加密**：SSE-S3/KMS/C、加密配置
4. **数据保护**：版本控制、生命周期、复制
5. **监控审计**：访问日志、Macie、Config
6. **最佳实践**：访问控制、数据保护、合规

### 深入思考

**安全挑战**：
- 配置复杂
- 公共访问风险
- 数据泄露

**发展趋势**：
- 自动加密
- 智能监控
- 零信任存储

### 最佳实践

**配置**：
- 默认加密
- 阻止公共
- 启用日志

**监控**：
- 持续监控
- 异常检测
- 自动响应

---

## 参考资料

### 学习资源

- **AWS S3 Security**: https://docs.aws.amazon.com/AmazonS3/latest/userguide/security.html
- **AWS Encryption**: https://docs.aws.amazon.com/AmazonS3/latest/userguide/serv-side-encryption.html
- **AWS Macie**: https://aws.amazon.com/macie/

### 工具资源

- **S3 Access Analyzer**: https://aws.amazon.com/s3/features/access-analyzer/
- **AWS Macie**: https://aws.amazon.com/macie/
- **AWS Config**: https://aws.amazon.com/config/

---

*Day 348 完成 | AWS 存储安全详解 | 字数：约 15,000 字*