什麼是S3？
在雲端運算的世界中，資料儲存是核心基礎設施之一。Amazon Simple Storage Service，簡稱S3，是亞馬遜網路服務（AWS）提供的一種物件儲存服務。它被設計用來在網際網路上儲存和檢索任意數量的資料，無論是從任何地方。S3的「物件」儲存概念，有別於傳統的檔案系統（檔案與資料夾）或區塊儲存，它將資料（如文件、圖片、影片、資料庫備份等）視為一個個帶有唯一識別碼（Key）的物件，並將其與描述該物件的後設資料（Metadata）一同存放在稱為「儲存桶」（Bucket）的容器中。這種設計使其非常適合存放非結構化資料，並透過標準的RESTful API進行存取，實現了極高的靈活性與整合度。
S3的主要用途極為廣泛，從靜態網站託管、行動應用程式後端資料儲存、大數據分析資料湖的建置、備份與歸檔，到災難復原解決方案，都能看到它的身影。對於香港的企業而言，無論是金融科技公司需要安全地存放交易記錄，還是媒體公司需要高效能地串流影片內容，S3都提供了堅實的基礎。特別是對於正在學習雲端技術的專業人士，透過系統性的aws課程深入理解S3的運作原理與應用場景，是掌握AWS核心服務的關鍵一步。
S3的優勢體現在幾個關鍵面向：首先是高可用性與高耐用性。AWS官方承諾S3的設計耐用性達到99.999999999%（11個9），這意味著存入10,000個物件，在1,000年內平均只可能遺失1個物件。其高可用性則是透過在一個AWS區域內自動將資料複寫到多個可用區域（Availability Zones）來實現，確保服務中斷時資料仍可存取。其次是近乎無限的可擴展性，使用者無需事先規劃儲存容量，系統會自動擴展以滿足需求。最後是成本效益，採用「按用量付費」模式，且提供多種儲存類別以優化不同存取模式下的成本。這些特性共同構成了S3作為企業級物件儲存首選的權威地位。
S3的儲存類型
為滿足從熱資料到冷歸檔資料的不同存取需求與成本考量，AWS S3提供了多樣化的儲存類別。選擇合適的儲存類別是優化雲端儲存成本的關鍵。以下將詳細介紹主要的S3儲存類型：
- S3 Standard：這是預設的通用儲存類別，專為需要頻繁存取的資料設計。它提供低延遲和高吞吐量的效能，並具備前述的高可用性與耐用性。適合用於網站內容、內容分發、行動應用程式、大數據分析等場景。
- S3 Intelligent-Tiering：這是一種智慧型儲存類別，能自動將資料在兩個存取層（頻繁存取層與不常存取層）之間移動，無需人工干預。它會監控物件的存取模式，若物件連續30天未被存取，則自動移至成本較低的不常存取層；一旦被存取，則移回頻繁存取層。此類別非常適合存取模式未知或變化不定的資料，只需支付少量的監控與自動化費用。
- S3 Standard-IA (Infrequent Access)：專為不常存取但需要即時檢索的資料設計，例如長期備份、災難復原檔案等。其儲存費用低於S3 Standard，但會收取資料檢索費用。它同樣具備高可用性和高耐用性。
- S3 One Zone-IA：與Standard-IA類似，但資料只儲存在單一可用區域內。因此，其耐用性略低（仍達99.999999999%），但儲存成本更低。適用於可以重建的次要備份副本，或相容性資料儲存等場景。需注意，若該可用區域受損，資料可能暫時無法使用。
- S3 Glacier：專為長期歸檔和備份設計，檢索時間從數分鐘到數小時不等，成本極低。適合必須保留多年以符合法規要求的資料，例如醫療記錄、財務檔案等。它進一步分為三種檢取選項：快速（1-5分鐘）、標準（3-5小時）和大量（5-12小時）。
- S3 Glacier Deep Archive：這是S3中最經濟實惠的儲存類別，檢索時間為12小時。專為很少存取（例如一年一次或更少）且需要保留10年以上的資料所設計，例如金融業或公共事業的法定歸檔資料。
理解這些儲存類別的差異，並結合業務需求進行規劃，是雲端架構師的重要職責。這與itil香港實踐中強調的「服務等級管理」與「容量管理」等流程不謀而合，都是為了在效能、可用性與成本間取得最佳平衡。
如何使用S3？
開始使用S3的第一步是建立一個「儲存桶」（Bucket）。儲存桶是物件的頂層容器，其名稱在整個AWS所有區域中必須是全域唯一的。您可以透過AWS管理主控台、AWS CLI命令列工具或各種AWS SDK來建立。在建立時，需要選擇儲存桶所在的AWS區域，這會影響資料的延遲、成本以及法規合規性（例如，香港的企業可能傾向選擇「亞太區域（香港）」ap-east-1）。建立後，便可以開始上傳物件。
上傳和下載物件的過程非常直觀。在管理主控台中，您可以透過拖放或點選上傳檔案。每個物件都可以設定一個「鍵」（Key），這實際上是其在儲存桶中的完整路徑名稱（例如 `projects/report2023.pdf`）。您也可以為物件設定後設資料、儲存類別（預設為S3 Standard）以及加密選項。下載物件同樣簡單，可以透過主控台直接下載，或生成具有時效性的預先簽署URL分享給他人，而無需公開儲存桶。
設定權限是S3安全管理的核心。AWS採用「預設拒絕」原則，新建的儲存桶和物件預設都是私有的。權限主要透過以下幾種方式管理：首先是IAM（身分識別與存取管理）政策，用於控制AWS使用者、群組或角色對特定S3資源（如儲存桶或物件）的存取權限。例如，您可以建立一個政策，只允許某個IAM角色讀取特定儲存桶中的物件。其次是儲存桶政策（Bucket Policy），這是一種附加到儲存桶本身的JSON格式政策，用於定義允許或拒絕哪些主體（可以是IAM角色、其他AWS帳戶，甚至是公開網際網路）對該儲存桶及其物件執行哪些動作（如GetObject、PutObject）。最後是存取控制清單（ACL），這是一種較舊的、較不精細的權限控制機制，AWS目前建議優先使用IAM政策和儲存桶政策。正確配置這些權限，是防止資料外洩的關鍵。許多香港的aws課程都會花費大量時間講解這些安全設定，因為實作中的疏漏往往導致嚴重後果。
S3的版本控制與生命週期管理
在資料管理實務中，防止意外覆寫或刪除是至關重要的。S3的版本控制功能正是為此而生。當對儲存桶啟用版本控制後，S3會為桶內每個物件的每次修改（上傳、覆寫、刪除）保留一個獨特的版本ID。這意味著，如果您不小心用錯誤的檔案覆蓋了重要文件，或者誤刪了某個物件，都可以輕鬆地還原到之前的任何一個版本。版本控制不僅提供了資料保護，也為協作和審計追蹤帶來了便利。每個版本都會被完整儲存，因此需要留意儲存成本，這就引出了生命週期管理的重要性。
生命週期管理允許您定義一系列基於規則的自動化動作，以管理物件的整個生命週期，從而優化成本。您可以為當前版本物件或過去的版本（非當前版本）設定規則。常見的生命週期規則動作包括：
- 轉換動作：在物件建立一段指定天數後，將其儲存類別轉換為更經濟的類型。例如，將日誌檔案在建立30天後從S3 Standard轉換為S3 Standard-IA，並在90天後轉換為S3 Glacier。
- 過期動作：在物件達到指定壽命後使其過期。對於啟用版本控制的儲存桶，過期動作可以永久刪除非當前版本物件，或是在刪除標記（代表刪除動作的版本）變成非當前版本一段時間後將其刪除。
透過生命週期管理，企業可以自動化執行資料歸檔與清理策略，無需手動操作，既節省人力也避免人為錯誤。這與itil香港社群中廣泛討論的IT服務管理最佳實踐——將例行性、重複性的操作自動化以提升效率與可靠性的理念完全一致。例如，一家香港的電信公司可以為用戶通話記錄設定生命週期規則：熱查詢期內保留在標準層，法規要求期內轉至歸檔層，超過保留期限後自動安全刪除。
S3的安全最佳實踐
將敏感資料存放於雲端，安全性必然是首要考量。AWS提供了一個共擔責任模型，AWS負責「雲端本身的安全」（如基礎設施），而客戶則負責「雲端內部的安全」（如資料、權限設定）。以下是針對S3的幾項關鍵安全最佳實踐：
首先，最小權限原則與IAM政策是基石。絕對避免使用根帳戶進行日常操作，也應避免授予過於寬鬆的權限（如`s3:*`）。應為不同的使用者或應用程式建立具有特定職責的IAM角色，並透過精細的IAM政策，僅授予完成任務所必需的最低權限。例如，一個僅需讀取特定資料夾的應用程式，其政策應只包含對該路徑的`GetObject`動作。
其次，啟用伺服器端加密（SSE）以保護靜態資料。S3支援多種加密方式：SSE-S3使用由AWS管理並定期輪換的AES-256金鑰；SSE-KMS使用AWS Key Management Service管理的金鑰，提供更細緻的存取控制與審計日誌；SSE-C則允許客戶自行管理加密金鑰。預設啟用加密可以確保所有新上傳的物件都自動被加密。對於已存在的未加密物件，可以透過批次操作或生命週期規則來套用加密。
第三，謹慎使用並定期審查儲存桶政策。雖然儲存桶政策功能強大，但一個配置錯誤的政策可能導致儲存桶被公開訪問。務必避免使用將`Principal`設定為`"*"`（代表所有人）且`Effect`為`"Allow"`的寬鬆政策，除非您確切知曉其後果。AWS提供了「S3封鎖公開存取」帳戶層級設定，這是一道重要的安全防線，即使政策配置錯誤，也能阻止儲存桶被公開。
此外，其他重要實踐還包括：啟用S3存取日誌記錄以監控所有請求、使用VPC端點（Gateway Endpoint）讓EC2執行個體在不經過網際網路的情況下私密存取S3、以及定期進行安全審計與合規性檢查。對於希望系統性提升雲端安全能力的IT管理者，參與結合了雲端安全與服務管理框架（如ITIL）的itil香港相關進修或aws課程，將能獲得更全面的視野與實用技能，從而為企業構建既高效又安全的雲端儲存架構。
