Amazon S3 儲存貯體許可

您選擇的 Amazon S3 儲存貯體必須具有儲存貯體政策，提供對 WorkSpaces 應用程式服務主體的足夠存取權，以便從 Amazon S3 儲存貯體存取和下載物件。您需要修改下列儲存貯體政策，然後將其套用至要用於應用程式圖示、安裝指令碼和 VHD 的 Amazon S3 儲存貯體。如需如何將政策套用至 Amazon S3 儲存貯體的詳細資訊，請參閱使用 Amazon S3 主控台新增儲存貯體政策。

請確定已停用 Amazon S3 儲存貯體的存取控制清單 (ACL)。如需詳細資訊，請參閱停用所有新儲存貯體的 ACL 並強制執行「物件擁有權」。

本節顯示儲存貯體政策之一般使用案例的範例。這些範例政策會使用儲存貯體作為資源值。若要測試這些政策，請將使用者輸入預留位置取代為您自己的資訊 (例如您的儲存貯體名稱)。

注意

WorkSpaces 應用程式不支援應用程式圖示的混淆代理人預防，因此授予應用程式圖示物件存取權的陳述式不能包含條件。如需詳細資訊，請參閱範例：預防 WorkSpaces 應用程式應用程式 Amazon S3 儲存貯體政策跨服務混淆代理人。

{
  "Version": "2012-10-17",
  "Statement": [
      {
       "Sid": "AllowAppStream20ToRetrieveObjects",
       "Effect": "Allow",
       "Principal": {
          "Service": ["appstream.amazonaws.com"]
        },
        "Action": ["s3:GetObject"],
        "Resource": [
           "arn:aws:s3:::bucket/VHD object",
           "arn:aws:s3:::bucket/Setup script object",
           "arn:aws:s3:::bucket/Session scripts zip file object"
         ],
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "111122223333"
          }
        }
      },
      {
       "Sid": "AllowRetrievalPermissionsToS3AppIconsForAppStream",
       "Effect": "Allow",
       "Principal": {
          "Service": ["appstream.amazonaws.com"]
        },
        "Action": ["s3:GetObject"],
        "Resource": "arn:aws:s3:::bucket/Application icon object"
      }
  ]
}

注意

儲存貯體政策範例會在 S3 儲存貯體中定義 WorkSpaces 應用程式可存取的特定物件。您也可以在增加應用程式區塊時，使用前置字元和萬用字元來簡化政策管理。如需儲存貯體政策的詳細資訊，請參閱使用儲存貯體政策。如需常見儲存貯體範例的詳細資訊，請參閱儲存貯體政策範例。

如果您使用的是 WorkSpaces 應用程式區塊，則 WorkSpaces 應用程式需要額外的許可，才能將應用程式套件上傳至適當的 Amazon S3 儲存貯體。如需 WorkSpaces 應用程式區塊的詳細資訊，請參閱 WorkSpaces 應用程式應用程式區塊。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAppStream20ToPutAndRetrieveObjects",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "appstream.amazonaws.com"
        ]
      },
      "Action": [
        "s3:GetObject",
        "s3:ListBucket",
        "s3:PutObject",
        "s3:GetBucketOwnershipControls"
      ],
      "Resource": [
        "arn:aws:s3:::bucket",
        "arn:aws:s3:::bucket/AppStream2/*",
        "arn:aws:s3:::bucket/Setup script object",
        "arn:aws:s3:::bucket/Session scripts zip file object"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        }
      }
    },
    {
      "Sid": "AllowRetrievalPermissionsToS3AppIconsForAppStream",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "appstream.amazonaws.com"
        ]
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::bucket/Application icon object"
    }
  ]
}