防止私有 VPC 中的資料洩漏

開啟 Amazon VPC 主控台：

1. 登入 AWS 管理主控台。

2. 開啟位於 https：//https://console.aws.amazon.com/vpcconsole/ 的 Amazon VPC 主控台。

建立 S3 的 VPC 端點：

1. 在左側導覽窗格中選擇 Endpoints (端點)。

2. 選擇建立端點。

3. 請確定在 Service category (服務類別) 欄位，您已選擇 AWS services (AWS 服務)。

4. 在服務名稱欄位中，輸入 com.amazonaws.<region>.s3(<region>取代您的 AWS 區域） 或搜尋 "S3"。

5. 從清單中選擇 S3 服務。

設定端點設定：

1. 針對 VPC，選取您要建立端點的 VPC。

2. 針對子網路，選取部署期間用於 VDI 子網路的兩個私有子網路。

3. 針對啟用 DNS 名稱，請確定已勾選 選項。這可讓私有 DNS 主機名稱解析為端點網路介面。

設定政策以限制存取：

1. 在政策下，選擇自訂。

2. 在政策編輯器中，輸入限制存取您帳戶或特定帳戶內資源的政策。以下是範例政策 （將 amzn-s3-demo-bucket 取代為您的 S3 儲存貯體名稱，並將 111122223333 和 444455556666 取代為您想要存取的適當 AWS 帳戶 IDs)：

   注意

   此範例政策使用 s3:* 且不限制 S3 控制平面操作，例如事件通知組態、複寫或庫存。這些操作可以允許將物件中繼資料 （例如儲存貯體名稱和物件金鑰） 傳送至跨帳戶目的地。如果這是問題，請在 VPC 端點政策中新增相關 S3 控制平面動作的明確拒絕陳述式。

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:PrincipalAccount": [
                           "111122223333",
                           "444455556666"
                       ]
                   }
               }
           }
       ]
   }
   

建立端點：

1. 檢閱您的設定。

2. 選擇建立端點。

驗證端點：

1. 建立端點後，導覽至 VPC 主控台中的端點區段。

2. 選取新建立的端點。

3. 驗證狀態是否可用。