S3 恶意软件防护配额

本节提供默认配额，通常称为限制。除非指定，否则每个配额都是特定于区域的。要查看特定于使用基础（或核心） GuardDuty 服务的默认配额，请参阅亚马逊 GuardDuty 配额。

下表描述了适用于您的多个配额 AWS 账户。

一般配额
限额名称	AWS 默认配额值	它是否可以调节？	描述
S3 对象的最大大小	5 GB	否	尝试扫描恶意软件的最大 S3 对象大小。 GuardDuty
提取的存档字节	5 GB	否	GuardDuty 可以从存档文件中提取和分析的最大数据量（以 GB 为单位）。即使存档文件包含的容量超过 5 GB， GuardDuty 也会跳过超过此值的内容。
提取的存档文件	1000	否	存档文件中 GuardDuty 可以提取和分析的最大文件数。如果文件包含 1,000 个以上的文件， GuardDuty 则必须跳过存档的文件。
最大存档深度级别	5	否	GuardDuty 可以提取的最大嵌套存档级别。如果存档中包含嵌套超出此值的文件，则 GuardDuty 将跳过这些嵌套文件。
最大受保护存储桶数	10	否	可以为 S3 启用恶意软件防护的 S3 存储桶的最大数量。此配额值适用于区域级别。
每秒控制平面的最大操作数	25	在账户层面	每个区域每秒可以启动的最大控制平面操作数。API 操作包括创建、读取、更新和删除资源。此配额值适用于 AWS 账户 级别。

正在进行恶意软件扫描的文件
文件类型	支持是否可用？	描述
受密码保护的存档文件	否	如果文件是受密码保护的存档，则将扫描加密的字节。存档不会被提取或解压缩。

Amazon S3 功能
S3 功能名称	支持是否可用？	描述
S3 存储类别-S3 标准版 S3 存储类别-S3 标准-不频繁访问 S3 存储类别-S3 单区域-不频繁访问 S3 存储类别-S3 Glacier 即时检索	是	无需异步还原即可检索 S3 对象。
S3 存储类别-S3 智能分层	条件	智能分层支持位于 “频繁”、“不频繁” 和 “存档实例访问” 层中的 S3 对象。 不支持选择加入的存档和深度存档层。 智能分层总是在频繁访问层中创建新对象。因此，支持在创建时扫描对象。 未来的智能分层功能可能会从存档中的对象开始。因此，不支持此功能。
S3 存储类别-S3 Express One 区域（目录存储桶）	否	GuardDuty 仅支持 S3 恶意软件防护的通用存储桶。
S3 存储类别-S3 Glacier 灵活检索 S3 存储类——S3 Glacier Deep Archive	否	必须先恢复 S3 对象，然后才能对其进行访问。
Amazon S3 on Outposts	否	Outposts 不支持 S3 的恶意软件防护。
S3 版本控制	是	所有上传的 S3 对象都经过恶意软件扫描。如果您上传了文件版本 v1 的对象，并立即上传了另一个版本替换为 v2，则 GuardDuty 将同时扫描目标文件版本 v1 和 v2。但是，扫描开始时间的顺序可能不同。
S3 复制-扫描复制的对象	是	如果目标存储桶是受保护的资源，则 GuardDuty 将扫描所有复制到受保护和监控的前缀的 S3 对象。
S3 复制：在扫描结果标签上复制	否	您无法根据扫描结果标签定义复制规则。Amazon S3 不支持对标签进行复制，但创建时除外。
数据加密-S3-SSE 数据加密-SSE-KMS 数据加密-DSSE-KMS	是	GuardDuty 支持对使用托管密钥和客户托管密钥加密的 S3 对象进行恶意软件扫描。确保 IAM 密码包含使用密钥的权限。有关更多信息，请参阅 添加 IAM 策略权限。
数据加密-SSE-C	否	S3 恶意软件防护不支持扫描使用不可访问的密钥加密的 S3 对象。
客户端加密	否	使用 Amazon S3 加密客户端对您的 S3 对象进行加密时，您的对象不会暴露给任何第三方，包括 AWS。有关不支持此功能的原因的更多信息，请参阅 Amazon S3 用户指南中的使用客户端加密保护数据。
S3 对象锁定和合法保留	是	锁定的 S3 对象是基于 WORM-一次写入多次读取来锁定的。适用于 S3 的恶意软件防护可以访问和扫描对象。
申请者付款	是	适用于 S3 的恶意软件防护可以扫描使用申请方付款设置的存储桶。请求者将为 S3 通话付费。有关更多信息，请参阅《Amazon S3 用户指南》中的使用申请方付款存储桶进行存储传输和使用。
S3：存储生命周期	是	您可以根据扫描结果标签定义生命周期策略。例如，自动删除恶意对象。有关生命周期配置的更多信息，请参阅 Amazon S3 用户指南中的管理存储生命周期。
S3：基于标签的访问控制 (TBAC)	是	您可以基于 S3 对象扫描结果标签定义存储桶资源策略。例如，阻止访问尚未扫描的 S3 对象或 GuardDuty 检测到的威胁。有关更多信息，请参阅 使用基于标签的访问控制 (TBAC) 和 S3 的恶意软件防护。

适用于 S3 区域配额的恶意软件防护
限额类型	支持是否可用？	描述
存储桶账户和区域中的恶意软件防护	是	拥 AWS 账户 有 S3 存储桶的还拥有恶意软件防护计划资源。两种资源都是一样的 AWS 区域。
跨账户恶意软件防护计划资源	否	恶意软件防护计划资源不能跨越多个 AWS 账户。 如果有权在拥有 S3 存储桶的另一个 AWS 账户 账户中创建恶意软件防护计划资源 (DOC-EXAMPLE-BUCKET1)，则前一个账户可以为 DOC-EXAMPLE-BUCKET1 设置计划资源。 AWS 账户
跨区域恶意软件防护计划资源	否	您无法跨区域设置恶意软件防护计划资源。