aws:sourceVpce 过滤器是否请求不使用 VPC？

Question

我想过滤从特定 VPC 外部对 S3 的访问，并计划应用 this article 之类的策略。

在这种情况下，通过在Condition 中使用aws:sourceVpce，我们可以过滤掉除特定VPC 端点之外的访问。

但我的 S3 存储桶有另一个策略允许从其他 AWS 服务访问以存储日志。而且我担心这些访问权限是否也会被过滤。
我读了document about aws:sourceVpce，上面写着This key is included in the request context only if the requester uses a VPC endpoint to make the request.。

这是否意味着aws:sourceVpce 不会过滤不使用 VPC 端点的请求，或者过滤除使用特定 VPC 端点之外的任何类型的请求？

Answer 1

如果有任何权限明确声明Deny，如果请求匹配拒绝，则输出将始终为拒绝。

如果您想阻止所有访问，除非满足多个条件之一，您需要在拒绝语句中包含所有这些条件。

然后根据条件为特定策略添加额外的允许语句。您将获得全局拒绝，然后是 VPCE 的允许和服务的允许语句。