Replikation verschlüsselter Objekte (SSE-S3, SSE -, DSSE - KMSKMS, SSE -C)

Replizieren Sie serverseitig verschlüsselte Objekte (AWS CLI) wie folgt:

Wenn Sie die Beispiele in diesem Verfahren verwenden möchten, ersetzen Sie sie durch Ihre eigenen Informationen. user input placeholders

1. In diesem Beispiel erstellen Sie sowohl die Quelle (amzn-s3-demo-source-bucket) und Ziel (amzn-s3-demo-destination-bucket) Eimer im selben AWS-Konto. Sie richten auch das Anmeldeinformationsprofil für die AWS CLI ein. Dieses Beispiel verwendet den Profilnamen acctA.

   Informationen zum Einrichten von Anmeldeinformationsprofilen und zur Verwendung benannter Profile finden Sie im Benutzerhandbuch unter Konfiguration und Einstellungen für Anmeldeinformationsdateien.AWS Command Line Interface

2. Verwenden Sie die folgenden Befehle, um den amzn-s3-demo-source-bucket-Bucket zu erstellen und die Versionsverwaltung für diesen zu aktivieren. Mit den folgenden Beispielbefehlen wird der amzn-s3-demo-source-bucket-Bucket in der Region USA Ost (Nord-Virginia) (us-east-1) erstellt.

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. Verwenden Sie die folgenden Befehle, um den amzn-s3-demo-destination-bucket-Bucket zu erstellen und die Versionsverwaltung für diesen zu aktivieren. Mit den folgenden Beispielbefehlen wird der amzn-s3-demo-destination-bucket-Bucket in der Region USA West (Oregon) (us-west-2) erstellt.

   Anmerkung

   Um eine Replikationskonfiguration einzurichten, wenn sich amzn-s3-demo-source-bucket- und amzn-s3-demo-destination-bucket-Bucket im selben AWS-Konto befinden, verwenden Sie dasselbe Profil. Dieses Beispiel verwendet acctA. Um die Replikation zu konfigurieren, wenn die Buckets unterschiedlichen Besitzern gehören AWS-Konten, geben Sie für jeden Bucket unterschiedliche Profile an.

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

4. Als Nächstes erstellen Sie eine IAM Servicerolle. Sie geben diese Rolle in der Replikationskonfiguration an, die Sie dem amzn-s3-demo-source-bucket Bucket später hinzufügen. Amazon S3 übernimmt diese Rolle, um Objekte in Ihrem Namen zu replizieren. Sie erstellen eine IAM Rolle in zwei Schritten:

   • Erstellen Sie eine Servicerolle.

   • Fügen Sie eine Berechtigungsrichtlinie zur Rolle hinzu.

   1. Gehen Sie wie folgt vor, um eine IAM Servicerolle zu erstellen:

      1. Kopieren Sie die folgende Vertrauensrichtlinie und speichern Sie sie in einer Datei mit dem Namen s3-role-trust-policy-kmsobj.json im aktuellen Verzeichnis auf Ihrem lokalen Computer. Diese Richtlinie gewährt dem Amazon S3-Serviceprinzipal die Erlaubnis, die Rolle zu übernehmen, sodass Amazon S3 Aufgaben in Ihrem Namen ausführen kann.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. Verwenden Sie den folgenden Befehl, um die Rolle zu erstellen:

         $ aws iam create-role \
         --role-name replicationRolekmsobj \
         --assume-role-policy-document file://s3-role-trust-policy-kmsobj.json  \
         --profile acctA

   2. Als Nächstes fügen Sie eine Berechtigungsrichtlinie zur Rolle hinzu. Diese Zugriffsrichtlinie erteilt Berechtigungen für verschiedene Amazon-S3-Bucket- und -Objektaktionen.

      1. Kopieren Sie die folgende Berechtigungsrichtlinie und speichern Sie sie in einer Datei mit dem Namen s3-role-permissions-policykmsobj.json im aktuellen Verzeichnis auf Ihrem lokalen Computer. Sie werden eine IAM Rolle erstellen und ihr die Richtlinie später hinzufügen.

         Wichtig

         In der Berechtigungsrichtlinie geben Sie den AWS KMS Schlüssel anIDs, der für die Verschlüsselung der amzn-s3-demo-destination-bucket Buckets amzn-s3-demo-source-bucket und verwendet wird. Sie müssen zwei separate KMS Schlüssel für die amzn-s3-demo-destination-bucket Buckets amzn-s3-demo-source-bucket und erstellen. AWS KMS keys werden nicht außerhalb des Bereichs geteilt, AWS-Region in dem sie erstellt wurden.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration",
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Effect":"Allow",
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket",
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ReplicateTags"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLikeIfExists":{
                        "s3:x-amz-server-side-encryption":[
                           "aws:kms",
                           "AES256",
                           "aws:kms:dsse"
                        ],
                        "s3:x-amz-server-side-encryption-aws-kms-key-id":[
                           "AWS KMS key IDs(in ARN format) to use for encrypting object replicas"  
                        ]
                     }
                  },
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               },
               {
                  "Action":[
                     "kms:Decrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-east-1.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs(in ARN format) used to encrypt source objects." 
                  ]
               },
               {
                  "Action":[
                     "kms:Encrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-west-2.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs (in ARN format) to use for encrypting object replicas" 
                  ]
               }
            ]
         }

      2. Erstellen Sie eine Richtlinie und hängen Sie sie an die Rolle an.

         $ aws iam put-role-policy \
         --role-name replicationRolekmsobj \
         --policy-document file://s3-role-permissions-policykmsobj.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

5. Als Nächstes fügen Sie die folgende Replikationskonfiguration zum amzn-s3-demo-source-bucket-Bucket hinzu. Sie weist Amazon S3 an, Objekte mit dem Präfix Tax/ in den amzn-s3-demo-destination-bucket-Bucket zu replizieren.

   Wichtig

   In der Replikationskonfiguration geben Sie die IAM Rolle an, die Amazon S3 übernehmen kann. Dies können Sie nur tun, wenn Sie über die iam:PassRole-Berechtigung verfügen. Das Profil, das Sie im CLI Befehl angeben, muss über diese Berechtigung verfügen. Weitere Informationen finden Sie im Benutzerhandbuch unter Erteilen von Benutzerberechtigungen zur Übergabe einer Rolle AWS-Service an einen. IAM

    <ReplicationConfiguration>
     <Role>IAM-Role-ARN</Role>
     <Rule>
       <Priority>1</Priority>
       <DeleteMarkerReplication>
          <Status>Disabled</Status>
       </DeleteMarkerReplication>
       <Filter>
          <Prefix>Tax</Prefix>
       </Filter>
       <Status>Enabled</Status>
       <SourceSelectionCriteria>
         <SseKmsEncryptedObjects>
           <Status>Enabled</Status>
         </SseKmsEncryptedObjects>
       </SourceSelectionCriteria>
       <Destination>
         <Bucket>arn:aws:s3:::amzn-s3-demo-destination-bucket</Bucket>
         <EncryptionConfiguration>
           <ReplicaKmsKeyID>AWS KMS key IDs to use for encrypting object replicas</ReplicaKmsKeyID>
         </EncryptionConfiguration>
       </Destination>
     </Rule>
   </ReplicationConfiguration>

   Um eine Replikationskonfiguration zum amzn-s3-demo-source-bucket-Bucket hinzuzufügen, gehen Sie wie folgt vor:

   1. AWS CLI Für das müssen Sie die Replikationskonfiguration als angebenJSON. Speichern Sie Folgendes JSON in einer Datei (replication.json) im aktuellen Verzeichnis auf Ihrem lokalen Computer.

      {
         "Role":"IAM-Role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
                  "Prefix":"Tax"
               },
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "EncryptionConfiguration":{
                     "ReplicaKmsKeyID":"AWS KMS key IDs (in ARN format) to use for encrypting object replicas"
                  }
               },
               "SourceSelectionCriteria":{
                  "SseKmsEncryptedObjects":{
                     "Status":"Enabled"
                  }
               }
            }
         ]
      }

   2. Bearbeiten Sie denJSON, um Werte für den amzn-s3-demo-destination-bucket BucketAWS KMS key IDs (in ARN format), und anzugebenIAM-role-ARN. Speichern Sie die Änderungen.

   3. Verwenden Sie den folgenden Befehl, um die Replikationskonfiguration zu Ihrem amzn-s3-demo-source-bucket-Bucket hinzuzufügen. Stellen Sie sicher, dass Sie den Namen für den amzn-s3-demo-source-bucket-Bucket angeben.

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

6. Testen Sie die Konfiguration, um zu überprüfen, ob die verschlüsselten Objekte repliziert werden. Führen Sie in der Amazon-S3-Konsole die folgenden Schritte aus:

   1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

   2. Erstellen Sie im amzn-s3-demo-source-bucket-Bucket einen Ordner mit dem Namen Tax.

   3. Fügen Sie Beispielobjekte zum Ordner hinzu. Stellen Sie sicher, dass Sie die Verschlüsselungsoption wählen und Ihren KMS Schlüssel zum Verschlüsseln der Objekte angeben.

   4. Stellen Sie sicher, dass der amzn-s3-demo-destination-bucket Bucket die Objektreplikate enthält und dass sie mit dem KMS Schlüssel verschlüsselt sind, den Sie in der Konfiguration angegeben haben. Weitere Informationen finden Sie unter Abrufen von Replikationsstatusinformationen.