用途：当 AWS Config 或 Security Hub 报告 S3 桶存在公开访问或缺少加密、扫描发现桶策略向 Principal "*" 授权、需为数据保护审计提供存储安全证据、响应 S3 对象公开暴露事件，或需为组织内新建桶建立预防性控制时使用。不适用于 Azure Blob Storage 或 GCP Cloud Storage，也不用于 S3 数据分类或与安全无关的访问模式分析。
主要能力与流程：
- 识别公开与错误配置的桶：启用 S3 Access Analyzer，遍历桶检查 get-public-access-block 与桶策略中的 Principal "*"，并用 AWS Config 规则 s3-bucket-public-read-prohibited 查询不合规资源。
- 账户级启用 Block Public Access 四项设置（BlockPublicAcls、IgnorePublicAcls、BlockPublicPolicy、RestrictPublicBuckets），并在桶级重复配置以实现纵深防御。
- 审计并整改桶策略与 ACL：删除公开策略、替换为限制性策略（如拒绝非加密传输、仅允许 VPC 终端节点），并通过 put-bucket-ownership-controls 设置 BucketOwnerEnforced 禁用 ACL。
- 强制默认加密：配置 SSE-KMS 或 AES-256，并用桶策略拒绝未加密上传。
- 启用访问日志与监控：配置服务器访问日志、CloudTrail S3 数据事件，并可结合 EventBridge 告警。
- 预防性控制：用 SCP 阻止非安全管理员修改 Block Public Access，配合 AWS Config 自动修复。
前提条件：具备 S3 管理权限的 AWS 账户、启用 AWS Config、CloudTrail 记录 S3 数据事件、启用 Macie 用于敏感数据发现。
限制与注意：资料未提供具体收费、价格或平台支持范围；整改前应保留访问日志证据，并通知相关团队，避免中断既有工作流。输出为 S3 桶安全修复报告格式。