Modifica del proprietario della replica

Per modificare la proprietà della replica quando i bucket di origine e di destinazione sono di proprietà di diversi () Account AWSAWS CLI

Per utilizzare i AWS CLI comandi di esempio in questa procedura, sostituiscili user input placeholders con le tue informazioni.

1. In questo esempio, si creano i bucket di origine e di destinazione in due diversi Account AWS. Per utilizzare questi due account, configurali AWS CLI con due profili denominati. Questo esempio utilizza profili denominati AcctA e AcctB, rispettivamente. Per informazioni sull'impostazione dei profili di credenziali e sull'utilizzo di profili denominati, vedere Configurazione e impostazioni dei file di credenziali nella Guida per l'AWS Command Line Interface utente.

   Importante

   I profili utilizzati per questa procedura devono disporre delle autorizzazioni necessarie. Ad esempio, nella configurazione di replica, si specifica il IAM ruolo che Amazon S3 può assumere. Puoi farlo solo se il profilo che usi dispone dell'iam:PassRoleautorizzazione. Se si utilizzano le credenziali utente di amministratore per creare un profilo denominato, è possibile eseguire tutte le attività descritte in questa procedura. Per ulteriori informazioni, vedere Concessione a un utente delle autorizzazioni per il trasferimento di un ruolo a un utente Servizio AWS nella Guida per l'IAMutente.

2. Creare il bucket di origine e abilitare la funzione Controllo delle versioni. Questo esempio crea un bucket di origine denominato amzn-s3-demo-source-bucket nella regione Stati Uniti orientali (Virginia settentrionale) (). us-east-1

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. Creare un bucket di destinazione e abilitare la funzione Controllo delle versioni. Questo esempio crea un bucket di destinazione denominato amzn-s3-demo-destination-bucket nella regione Stati Uniti occidentali (Oregon) (). us-west-2 Utilizzate un Account AWS profilo diverso da quello utilizzato per il bucket di origine.

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctB

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctB

4. Devi aggiungere l'autorizzazione alla policy del bucket di destinazione per consentire la modifica della proprietà della replica.

   1. Salva la seguente politica in un file denominatodestination-bucket-policy.json. Assicurati di sostituire il segnaposti di input dall'utente con le tue informazioni.

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "destination_bucket_policy_sid",
            "Principal": {
              "AWS": "source-bucket-owner-account-id"
            },
            "Action": [
              "s3:ReplicateObject",
              "s3:ReplicateDelete",
              "s3:ObjectOwnerOverrideToBucketOwner",
              "s3:ReplicateTags",
              "s3:GetObjectVersionTagging"
            ],
            "Effect": "Allow",
            "Resource": [
              "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
            ]
          }
        ]
      }                             
                                

   2. Aggiungi la politica precedente al bucket di destinazione utilizzando il seguente comando: put-bucket-policy

      aws s3api put-bucket-policy --region $ {destination-region} --bucket $ {amzn-s3-demo-destination-bucket} --policy file://destination_bucket_policy.json

5. Crea un IAM ruolo. Specifica questo ruolo nella configurazione di replica che aggiungi al bucket source in un secondo momento. Amazon S3 assume questo ruolo per replicare gli oggetti per tuo conto. Puoi creare un IAM ruolo in due passaggi:

   • Crea il ruolo.

   • Collegare una policy di autorizzazione al ruolo.

   1. Crea il IAM ruolo.

      1. Copiare la seguente policy di attendibilità e salvarla in un file denominato s3-role-trust-policy.json nella directory corrente sul computer locale. Questa policy concede ad Amazon S3 le autorizzazioni per assumere il ruolo.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. Esegui il AWS CLI create-role comando seguente per creare il IAM ruolo:

         $ aws iam create-role \
         --role-name replicationRole \
         --assume-role-policy-document file://s3-role-trust-policy.json  \
         --profile acctA

         Prendi nota dell'Amazon Resource Name (ARN) del IAM ruolo che hai creato. Ti servirà ARN in una fase successiva.

   2. Collegare una policy di autorizzazione al ruolo.

      1. Copiare la seguente policy di autorizzazioni e salvarla in un file denominato s3-role-perm-pol-changeowner.json nella directory corrente sul computer locale. Questa policy di accesso concede le autorizzazioni per varie operazioni su oggetti e bucket Amazon S3. Nei passaggi seguenti, alleghi questa politica al IAM ruolo creato in precedenza.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl"
                  ],
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration"
                  ],
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket"
                  ]
               },
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ObjectOwnerOverrideToBucketOwner",
                     "s3:ReplicateTags",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               }
            ]
         }

      2. Per allegare la politica di autorizzazioni precedente al ruolo, esegui il comando seguente: put-role-policy

         $ aws iam put-role-policy \
         --role-name replicationRole \
         --policy-document file://s3-role-perm-pol-changeowner.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

6. Aggiungere una configurazione di replica al bucket di origine.

   1. AWS CLI Richiede di specificare la configurazione di replica come. JSON Salvate quanto segue JSON in un file denominato replication.json nella directory corrente sul computer locale. Nella configurazione, AccessControlTranslation specifica la modifica della proprietà della replica dal proprietario del bucket di origine al proprietario del bucket di destinazione.

      {
         "Role":"IAM-role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
               },
               "Status":"Enabled",
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "Account":"destination-bucket-owner-account-id",
                  "AccessControlTranslation":{
                     "Owner":"Destination"
                  }
               }
            }
         ]
      }

   2. Modifica il JSON specificando i valori per il nome del bucket di destinazione, l'ID account del proprietario del bucket di destinazione e il. IAM-role-ARN Replace (Sostituisci) IAM-ruolo- ARN con il ARN IAM ruolo che hai creato in precedenza. Salvare le modifiche.

   3. Per aggiungere la configurazione di replica al bucket di origine, esegui il comando seguente:

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

7. Testa la tua configurazione di replica controllando la proprietà della replica nella console Amazon S3.

   1. Accedi a AWS Management Console e apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/

   2. Aggiungere oggetti al bucket di origine . Verifica che il bucket di destinazione contenga le repliche degli oggetti e che la proprietà delle repliche sia passata a Account AWS quella proprietaria del bucket di destinazione.