管理目录用户和组的 S3 权限
Amazon S3 Access Grants 可将 Microsoft Entra ID 等目录中的身份或 Amazon Identity and Access Management（IAM）主体映射至 S3 中的数据集。这可以根据最终用户的企业身份，自动向其授予 S3 访问权限，从而帮助您大规模管理数据权限。此外，S3 Access Grants 还会在 Amazon CloudTrail 中记录最终用户身份和用于访问 S3 数据的应用程序。这有助于提供直至最终用户身份级别的详细审核历史记录，以供您了解对 S3 存储桶中数据的所有访问情况。
优势
管理目录用户和组的 S3 权限
S3 Access Grants 建立在 Amazon IAM Identity Center 的可信身份传播功能之上，允许 S3 直接对目录用户和组进行身份验证和授权。通过与 IAM Identity Center 集成，S3 Access Grants 可支持广泛的企业身份提供商，如 Entra ID、Okta 或任何其他外部身份提供商。
最终用户的可审核性
通过与 CloudTrail 的增强集成，您可在 CloudTrail 中审核最终用户通过 S3 Access Grants 对 S3 的访问，并且可以追溯至目录用户身份级别。
扩展 Amazon S3 权限
您可以使用 S3 Access Grants 扩展您的 S3 权限，以强制执行精细的 S3 权限。使用 S3 Access Grants，您可以用直观的授权方式定义 S3 访问权限（每个账户每个区域最多可定义 10 万个授权），从而仅向用户和应用程序提供其所需的 S3 数据。
