Amazon Quick 推出 S3 知识库文档级 ACL 控制，实现细粒度权限管理
AWS 为 Amazon Quick 的 S3 知识库新增文档级 ACL 功能，支持按文档或文件夹设置访问权限，确保敏感内容仅对授权用户可见。本文详解两种配置方法（全局 ACL 文件与文档级元数据文件）及操作步骤，帮助组织在合规前提下安全使用 AI 搜索与聊天。
一句话看懂
AWS 为 Amazon Quick 的 S3 知识库新增文档级 ACL，支持按文档或文件夹设置权限，查询时自动过滤未授权内容。
详细发生了什么
Amazon Quick 是 AWS 的 AI 驱动搜索与聊天服务，帮助企业员工从海量文档中快速获取答案。此前权限控制仅到知识库级别，无法满足敏感文档的细粒度管理需求。新推出的文档级 ACL 支持针对 S3 知识库中的单个文档或文件夹设置 ALLOW/DENY 策略，用户提问时系统会基于其身份自动过滤结果。
配置方式有两种：全局 ACL 文件（如 ACL.json）适用于文件夹级权限稳定的场景，只需维护单一文件；文档级元数据文件则适合权限频繁变动的情况，修改后仅需重新索引受影响文档。默认采用拒绝策略（deny-by-default），未显式授权的文档或文件夹自动不可见。IAM 策略还可限制哪些用户能创建知识库，防止绕过 ACL。
中文圈视角
对于国内使用 AWS 的企业用户，这一功能直接解决了合规与数据安全痛点。许多组织因担心敏感信息泄露而不敢将完整文档库接入 AI 搜索，文档级 ACL 让 HR、法务、财务等部门的机密文件可以安全共存于同一知识库。
国内同类产品如阿里云百炼、百度智能云千帆等，目前尚未提供同等粒度的文档级权限控制。企业若需类似能力，通常需自行开发权限过滤层，成本较高。Amazon Quick 的 ACL 功能开箱即用，但需注意：用户邮箱必须与 ACL 文件中身份匹配，且启用 ACL 后不可逆，建议先在测试环境验证。
此外，对于数据出境敏感的企业，S3 存储区域可选择中国区（如北京、宁夏），但 Amazon Quick 在中国区的可用性需确认。若无法使用，可考虑自建 RAG 系统结合开源权限框架（如 Apache Ranger）实现类似效果。
几条值得记住的细节
- 两种 ACL 配置方法：全局 ACL 文件（文件夹级）和文档级元数据文件（文档级），按权限变更频率选择。
- 默认拒绝策略：未在 ACL 中显式授权的文档或文件夹自动不可见，DENY 规则优先级高于 ALLOW。
- 启用 ACL 后不可逆，务必先在测试知识库验证配置。
- IAM 策略可限制特定用户/组只能对指定 S3 桶创建知识库，防止绕过 ACL。
- 权限变更时，全局 ACL 文件需重新索引整个前缀，文档级元数据仅重索引受影响文档。
一句话总结
文档级 ACL 让 Amazon Quick 的 S3 知识库在合规与安全前提下实现细粒度权限控制，适合对敏感数据有严格管理需求的企业。