Ändern des Replikat-Eigentümers

Um den Besitz des Replikats zu ändern, wenn der Quell- und der Ziel-Bucket different AWS-Konten () gehören AWS CLI

Um die AWS CLI Beispielbefehle in diesem Verfahren zu verwenden, ersetzen Sie die user input placeholders durch Ihre eigenen Informationen.

1. In diesem Beispiel erstellen Sie die Quell- und Ziel-Buckets in zwei verschiedenen AWS-Konten Buckets. Um mit diesen beiden Konten zu arbeiten, konfigurieren Sie sie AWS CLI mit zwei benannten Profilen. In diesem Beispiel werden Profile mit dem Namen verwendet ACCTA and ACCTB, jeweils. Informationen zum Einrichten von Anmeldeinformationsprofilen und zur Verwendung benannter Profile finden Sie unter Konfiguration und Einstellungen für Anmeldeinformationsdateien im AWS Command Line Interface Benutzerhandbuch.

   Wichtig

   Die Profile, die Sie für dieses Verfahren verwenden, müssen über die erforderlichen Berechtigungen verfügen. In der Replikationskonfiguration geben Sie beispielsweise die IAM Rolle an, die Amazon S3 übernehmen kann. Sie können dies nur tun, wenn das von Ihnen verwendete Profil über die iam:PassRole entsprechende Berechtigung verfügt. Wenn Sie Administratoranmeldedaten verwenden, um ein benanntes Profil zu erstellen, können Sie alle Aufgaben in diesem Verfahren ausführen. Weitere Informationen finden Sie im Benutzerhandbuch unter Erteilen von Benutzerberechtigungen zur Übergabe einer Rolle AWS-Service an einen. IAM

2. Erstellen Sie den Quell-Bucket und aktivieren Sie das Versioning für ihn. In diesem Beispiel wird ein Quell-Bucket mit dem Namen amzn-s3-demo-source-bucket der Region USA Ost (Nord-Virginia) (us-east-1) erstellt.

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. Erstellen Sie einen Ziel-Bucket und aktivieren Sie das Versioning für ihn. In diesem Beispiel wird ein Ziel-Bucket mit dem Namen amzn-s3-demo-destination-bucket der Region USA West (Oregon) (us-west-2) erstellt. Verwenden Sie ein AWS-Konto Profil, das sich von dem unterscheidet, das Sie für den Quell-Bucket verwendet haben.

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctB

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctB

4. Sie müssen Ihrer Ziel-Bucket-Richtlinie Berechtigungen hinzufügen, um eine Änderung der Replikat-Eigentümerschaft zuzulassen.

   1. Speichern Sie die folgende Richtlinie in einer Datei mit dem Namendestination-bucket-policy.json. Stellen Sie sicher, dass Sie das ersetzen Platzhalter für Benutzereingaben mit Ihren eigenen Informationen.

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "destination_bucket_policy_sid",
            "Principal": {
              "AWS": "source-bucket-owner-account-id"
            },
            "Action": [
              "s3:ReplicateObject",
              "s3:ReplicateDelete",
              "s3:ObjectOwnerOverrideToBucketOwner",
              "s3:ReplicateTags",
              "s3:GetObjectVersionTagging"
            ],
            "Effect": "Allow",
            "Resource": [
              "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
            ]
          }
        ]
      }                             
                                

   2. Fügen Sie die vorherige Richtlinie mithilfe des folgenden put-bucket-policy Befehls zum Ziel-Bucket hinzu:

      aws s3api put-bucket-policy --region $ {destination-region} --bucket $ {amzn-s3-demo-destination-bucket} --policy file://destination_bucket_policy.json

5. Erstellen Sie eine IAM Rolle. Sie geben diese Rolle in der Replizierungskonfiguration an, die Sie später zum Quell-Bucket hinzufügen. Amazon S3 übernimmt diese Rolle, um Objekte in Ihrem Namen zu replizieren. Sie erstellen eine IAM Rolle in zwei Schritten:

   • Erstellen Sie die -Rolle.

   • Fügen Sie eine Berechtigungsrichtlinie zur Rolle hinzu.

   1. Erstellen Sie die IAM Rolle.

      1. Kopieren Sie die folgende Vertrauensrichtlinie und speichern Sie sie in einer Datei mit dem Namen s3-role-trust-policy.json im aktuellen Verzeichnis auf Ihrem lokalen Computer. Diese Richtlinie erteilt Amazon S3 Berechtigungen für die Übernahme der Rolle.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. Führen Sie den folgenden AWS CLI create-role Befehl aus, um die IAM Rolle zu erstellen:

         $ aws iam create-role \
         --role-name replicationRole \
         --assume-role-policy-document file://s3-role-trust-policy.json  \
         --profile acctA

         Notieren Sie sich den Amazon-Ressourcennamen (ARN) der IAM Rolle, die Sie erstellt haben. Sie werden ihn ARN in einem späteren Schritt benötigen.

   2. Fügen Sie eine Berechtigungsrichtlinie zur Rolle hinzu.

      1. Kopieren Sie die folgende Berechtigungsrichtlinie und speichern Sie sie in einer Datei mit dem Namen s3-role-perm-pol-changeowner.json im aktuellen Verzeichnis auf Ihrem lokalen Computer. Diese Zugriffsrichtlinie erteilt Berechtigungen für verschiedene Amazon-S3-Bucket- und -Objektaktionen. In den folgenden Schritten fügen Sie diese Richtlinie der IAM Rolle hinzu, die Sie zuvor erstellt haben.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl"
                  ],
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration"
                  ],
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket"
                  ]
               },
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ObjectOwnerOverrideToBucketOwner",
                     "s3:ReplicateTags",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               }
            ]
         }

      2. Führen Sie den folgenden put-role-policy Befehl aus, um die vorherige Berechtigungsrichtlinie an die Rolle anzuhängen:

         $ aws iam put-role-policy \
         --role-name replicationRole \
         --policy-document file://s3-role-perm-pol-changeowner.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

6. Fügen Sie Ihrem Quell-Bucket eine Replikations-Konfiguration hinzu.

   1. Das AWS CLI erfordert die Angabe der Replikationskonfiguration alsJSON. Speichern Sie Folgendes JSON in einer Datei mit dem Namen replication.json im aktuellen Verzeichnis auf Ihrem lokalen Computer. In der Konfiguration AccessControlTranslation gibt der die Änderung des Besitzers des Replikats vom Besitzer des Quell-Buckets zum Besitzer des Ziel-Buckets an.

      {
         "Role":"IAM-role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
               },
               "Status":"Enabled",
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "Account":"destination-bucket-owner-account-id",
                  "AccessControlTranslation":{
                     "Owner":"Destination"
                  }
               }
            }
         ]
      }

   2. Bearbeiten Sie das, JSON indem Sie Werte für den Namen des Ziel-Buckets, die Konto-ID des Besitzers des Ziel-Buckets und den IAM-role-ARN angeben. Ersetzen IAM-Rolle- ARN mit ARN der IAM Rolle, die Sie zuvor erstellt haben. Speichern Sie die Änderungen.

   3. Führen Sie den folgenden Befehl aus, um die Replikationskonfiguration zum Quell-Bucket hinzuzufügen:

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

7. Testen Sie Ihre Replikationskonfiguration, indem Sie in der Amazon S3 S3-Konsole den Besitz des Replikats überprüfen.

   1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

   2. Fügen Sie Objekte zum Quell-Bucket hinzu. Stellen Sie sicher, dass der Ziel-Bucket die Objektreplikate enthält und dass der Eigentümer der Replikate auf den Eigentümer des Ziel-Buckets übergegangen ist. AWS-Konto