Erstellen eines S3-Batch-Vorgangsauftrags

Verwenden Sie die folgenden Befehle, um eine AWS Identity and Access Management (IAM)-Rolle zu erstellen und erstellen Sie anschließend eine IAM-Richtlinie, um die relevanten Berechtigungen zuzuweisen. Die folgende Rolle und die folgende Richtlinie gewähren Amazon S3 die Berechtigung zum Hinzufügen von Objekt-Tags, was Sie benötigen, wenn Sie in einem nachfolgenden Schritt den Auftrag erstellen.

1. Verwenden Sie den folgenden Beispielbefehl, um eine IAM-Rolle für Batch Operations zu erstellen. Ersetzen Sie S3BatchJobRole durch den Namen, den Sie der Rolle geben möchten, um diesen Beispielbefehl zu verwenden.

   aws iam create-role \
    --role-name S3BatchJobRole \
    --assume-role-policy-document '{
      "Version":"2012-10-17",
      "Statement":[
         {
            "Effect":"Allow",
            "Principal":{
               "Service":"batchoperations.s3.amazonaws.com"
            },
            "Action":"sts:AssumeRole"
         }
      ]
   }'

   Notieren Sie sich den Amazon-Ressourcenname (ARN) der Rolle. Sie benötigen den ARN zum Erstellen eines Auftrags.

2. Verwenden Sie den folgenden Beispielbefehl zum Erstellen einer IAM-Richtlinie mit den erforderlichen Berechtigungen und fügen Sie sie der im vorherigen Schritt erstellten IAM-Rolle an. Weitere Informationen zu den erforderlichen Berechtigungen finden Sie unter Gewähren von Berechtigungen für Batchoperationen.

   Anmerkung

   Batch-Operations-Aufträge, die Aktionen für Verzeichnis-Buckets ausführen, erfordern bestimmte Berechtigungen. Weitere Informationen finden Sie unter AWS Identity and Access Management (IAM) für S3 Express One Zone.

   Um diesen Beispielbefehl zu verwenden, ersetzen Sie die user input placeholders wie folgt:

   • Ersetzen Sie S3BatchJobRole durch den Namen Ihrer IAM-Rolle. Stellen Sie sicher, dass dieser Name mit dem Namen übereinstimmt, den Sie zuvor verwendet haben.

   • Ersetzen Sie PutObjectTaggingBatchJobPolicy durch den Namen, den Sie Ihrer IAM-Richtlinie geben möchten.

   • Ersetzen Sie amzn-s3-demo-destination-bucket durch den Namen des Buckets, der die Objekte enthält, auf die Sie Tags anwenden möchten.

   • Ersetzen Sie amzn-s3-demo-manifest-bucket durch den Namen des Buckets, der das Manifest enthält.

   • Ersetzen Sie amzn-s3-demo-completion-report-bucket durch den Namen des Buckets, an den der Abschlussbericht übermittelt werden soll.

   aws iam put-role-policy \
     --role-name S3BatchJobRole \
     --policy-name PutObjectTaggingBatchJobPolicy \
     --policy-document '{
     "Version":"2012-10-17",
     "Statement":[
       {
         "Effect":"Allow",
         "Action":[
           "s3:PutObjectTagging",
           "s3:PutObjectVersionTagging"
         ],
         "Resource": "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion",
           "s3:GetBucketLocation"
         ],
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket",
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*"
         ]
       },
       {
         "Effect":"Allow",
         "Action":[
           "s3:PutObject",
           "s3:GetBucketLocation"
         ],
         "Resource":[
           "arn:aws:s3:::amzn-s3-demo-completion-report-bucket",
           "arn:aws:s3:::amzn-s3-demo-completion-report-bucket/*"
         ]
       }
     ]
   }'

Verwenden Sie den folgenden Beispielbefehl, um einen S3PutObjectTagging-Auftrag zu erstellen.

Die manifest.csv-Datei stellt eine Liste mit Bucket- und Objektschlüsselwerten bereit. Der Auftrag wendet die angegebenen Tags auf Objekte an, die im Manifest aufgelistet sind. ETag ist das ETag des manifest.csv-Objekts, das Sie mit der Amazon-S3-Konsole abrufen können. Diese Anforderung enthält den no-confirmation-required-Parameter, damit Sie den Job ausführen können, ohne ihn mit dem update-job-status-Befehl bestätigen zu müssen. Weitere Informationen finden Sie unter create-job in der Referenz zum AWS CLI-Befehl.

Wenn Sie diesen Beispielbefehl verwenden möchten, ersetzen Sie user input placeholders durch Ihre Informationen. Ersetzen Sie IAM-role durch den ARN des Buckets, den Sie zuvor erstellt haben.

aws s3control create-job \
    --region us-west-2 \
    --account-id acct-id \
    --operation '{"S3PutObjectTagging": { "TagSet": [{"Key":"keyOne", "Value":"ValueOne"}] }}' \
    --manifest '{"Spec":{"Format":"S3BatchOperations_CSV_20180820","Fields":["Bucket","Key"]},"Location":{"ObjectArn":"arn:aws:s3:::amzn-s3-demo-manifest-bucket/manifest.csv","ETag":"60e460c9d1046e73f7dde5043ac3ae85"}}' \
    --report '{"Bucket":"arn:aws:s3:::amzn-s3-demo-completion-report-bucket","Prefix":"final-reports", "Format":"Report_CSV_20180820","Enabled":true,"ReportScope":"AllTasks"}' \
    --priority 42 \
    --role-arn IAM-role \
    --client-request-token $(uuidgen) \
    --description "job description" \
    --no-confirmation-required

Als Antwort gibt Amazon S3 eine Auftrags-ID zurück (zum Beispiel 00e123a4-c0d8-41f4-a0eb-b46f9ba5b07c). Sie benötigen die Auftrags-ID, um den Auftrag zu identifizieren, zu überwachen und zu ändern.

Verwenden Sie die folgenden Befehle, um eine AWS Identity and Access Management (IAM)- Rolle zu erstellen und erstellen Sie anschließend eine IAM-Richtlinie, um Berechtigungen zuzuweisen. Die folgende Rolle und die folgende Richtlinie gewähren Amazon S3 die Berechtigung zum Löschen von Objekt-Tags, was Sie benötigen, wenn Sie in einem nachfolgenden Schritt den Auftrag erstellen.

1. Verwenden Sie den folgenden Beispielbefehl, um eine IAM-Rolle für Batch Operations zu erstellen. Ersetzen Sie S3BatchJobRole durch den Namen, den Sie der Rolle geben möchten, um diesen Beispielbefehl zu verwenden.

   aws iam create-role \
    --role-name S3BatchJobRole \
    --assume-role-policy-document '{
      "Version":"2012-10-17",
      "Statement":[
         {
            "Effect":"Allow",
            "Principal":{
               "Service":"batchoperations.s3.amazonaws.com"
            },
            "Action":"sts:AssumeRole"
         }
      ]
   }'

   Notieren Sie sich den Amazon-Ressourcenname (ARN) der Rolle. Sie benötigen den ARN zum Erstellen eines Auftrags.

2. Verwenden Sie den folgenden Beispielbefehl zum Erstellen einer IAM-Richtlinie mit den erforderlichen Berechtigungen und fügen Sie sie der im vorherigen Schritt erstellten IAM-Rolle an. Weitere Informationen zu den erforderlichen Berechtigungen finden Sie unter Gewähren von Berechtigungen für Batchoperationen.

   Anmerkung

   Batch-Operations-Aufträge, die Aktionen für Verzeichnis-Buckets ausführen, erfordern bestimmte Berechtigungen. Weitere Informationen finden Sie unter AWS Identity and Access Management (IAM) für S3 Express One Zone.

   Um diesen Beispielbefehl zu verwenden, ersetzen Sie die user input placeholders wie folgt:

   • Ersetzen Sie S3BatchJobRole durch den Namen Ihrer IAM-Rolle. Stellen Sie sicher, dass dieser Name mit dem Namen übereinstimmt, den Sie zuvor verwendet haben.

   • Ersetzen Sie DeleteObjectTaggingBatchJobPolicy durch den Namen, den Sie Ihrer IAM-Richtlinie geben möchten.

   • Ersetzen Sie amzn-s3-demo-destination-bucket durch den Namen des Buckets, der die Objekte enthält, auf die Sie Tags anwenden möchten.

   • Ersetzen Sie amzn-s3-demo-manifest-bucket durch den Namen des Buckets, in dem das Manifest gespeichert werden soll.

   • Ersetzen Sie amzn-s3-demo-completion-report-bucket durch den Namen des Buckets, an den der Abschlussbericht übermittelt werden soll.

   aws iam put-role-policy \
     --role-name S3BatchJobRole \
     --policy-name DeleteObjectTaggingBatchJobPolicy \
     --policy-document '{
     "Version":"2012-10-17",
     "Statement":[
       {
         "Effect":"Allow",
         "Action":[
           "s3:DeleteObjectTagging",
           "s3:DeleteObjectVersionTagging"
         ],
         "Resource": "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
       },
       {
         "Effect":"Allow",
         "Action":[
           "s3:PutInventoryConfiguration"
         ],
         "Resource": "arn:aws:s3:::amzn-s3-demo-destination-bucket"
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket",
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*"
         ]
       },
       {
         "Effect":"Allow",
         "Action":[
           "s3:PutObject",
           "s3:ListBucket"
         ],
         "Resource":[
           "arn:aws:s3:::amzn-s3-demo-completion-report-bucket",
           "arn:aws:s3:::amzn-s3-demo-completion-report-bucket/*",
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*"
         ]
       }
     ]
   }'

Verwenden Sie den folgenden Beispielbefehl, um den S3DeleteObjectTagging-Auftrag zu erstellen.

In diesem Beispiel geben die Werte im --report-Abschnitt den Bucket, das Präfix, das Format und den Umfang des Auftragsberichts an, der generiert wird. Der --manifest-generator-Abschnitt enthält Informationen über den Quell-Bucket, der die Objekte enthält, auf die der Auftrag wirkt, Informationen über die Manifest-Ausgabeliste, die für den Auftrag generiert wird, und Filterkriterien, um den Bereich der Objekte, die in das Manifest aufgenommen werden sollen, nach Erstellungsdatum, Namenseinschränkungen, Größe und Speicherklasse einzugrenzen. Der Befehl gibt auch die Priorität, die IAM-Rolle und die AWS-Region des Auftrags an.

Weitere Informationen finden Sie unter create-job in der Referenz zum AWS CLI-Befehl.

Wenn Sie diesen Beispielbefehl verwenden möchten, ersetzen Sie user input placeholders durch Ihre Informationen. Ersetzen Sie IAM-role durch den ARN des Buckets, den Sie zuvor erstellt haben.

aws s3control create-job \
    --account-id 012345678901 \
    --operation '{
        "S3DeleteObjectTagging": {}
    }' \
    --report '{
        "Bucket":"arn:aws:s3:::amzn-s3-demo-completion-report-bucket",
        "Prefix":"reports", 
        "Format":"Report_CSV_20180820",
        "Enabled":true,
        "ReportScope":"AllTasks"
    }' \
    --manifest-generator '{
        "S3JobManifestGenerator": {
          "ExpectedBucketOwner": "012345678901",
          "SourceBucket": "arn:aws:s3:::amzn-s3-demo-source-bucket",
          "EnableManifestOutput": true,
          "ManifestOutputLocation": {
            "ExpectedManifestBucketOwner": "012345678901",
            "Bucket": "arn:aws:s3:::amzn-s3-demo-manifest-bucket",
            "ManifestPrefix": "prefix",
            "ManifestFormat": "S3InventoryReport_CSV_20211130"
          },
          "Filter": {
            "CreatedAfter": "2023-09-01",
            "CreatedBefore": "2023-10-01",
            "KeyNameConstraint": {
              "MatchAnyPrefix": [
                "prefix"
              ],
              "MatchAnySuffix": [
                "suffix"
              ]
            },
            "ObjectSizeGreaterThanBytes": 100,
            "ObjectSizeLessThanBytes": 200,
            "MatchAnyStorageClass": [
              "STANDARD",
              "STANDARD_IA"
            ]
          }
        }
      }' \
     --priority 2 \
     --role-arn IAM-role \
     --region us-east-1

Als Antwort gibt Amazon S3 eine Auftrags-ID zurück (zum Beispiel 00e123a4-c0d8-41f4-a0eb-b46f9ba5b07c). Sie benötigen diese Auftrags-ID, um den Auftrag zu identifizieren, zu überwachen oder zu ändern.