用途：在 AWS Config、Security Hub 报告 S3 公开访问或缺失加密，扫描发现 Principal 为 * 的策略，或发生 S3 数据暴露事件时，按步骤识别并修复 S3 存储桶错误配置，并建立预防控制。不适用于 Azure Blob Storage 或 GCP Cloud Storage，S3 数据分类及非安全相关的访问模式分析另见其他技能。
主要能力：识别公开及错误配置的存储桶（Access Analyzer、AWS Config 规则、Macie）；启用账户级与桶级 Block Public Access（四项设置）；审计并修复桶策略与 ACL，启用 BucketOwnerEnforced；强制默认 KMS 或 AES-256 加密并拒绝未加密上传；启用 S3 服务器访问日志与 CloudTrail S3 数据事件；通过 SCP 与 AWS Config 自动修复部署预防控制。
使用方式：需具备 S3 管理权限、启用 AWS Config、CloudTrail 数据事件与 Macie。按资料中的 AWS CLI 命令执行，如 aws s3control put-public-access-block、aws s3api put-public-access-block、put-bucket-ownership-controls、put-bucket-encryption、put-bucket-logging、aws cloudtrail put-event-selectors、aws organizations create-policy 等。资料包含完整命令示例，此处不重复。
适用场景：公开可读且含 PII 的存储桶数据泄露响应、数据保护审计准备、新桶预防控制、跨 AWS Organization 的安全治理。
限制：仅覆盖 AWS S3；具体命令行参数、区域、账号 ID 与资源 ARN 需按实际替换。资料未提供定价、收费、平台支持或效果保证，也未说明非 AWS 环境的替代方案。