# Copia de objetos Puede utilizar Operaciones por lotes de Amazon S3 para realizar operaciones por lotes a gran escala en objetos de Amazon S3. Mediante la operación **Copia** de Operaciones por lotes, se copia cada objeto especificado en el manifiesto. Puede copiar objetos en un bucket en la misma Región de AWS o en un bucket de una región diferente. Operaciones por lotes de S3 admite la mayoría de las opciones disponibles a través de Amazon S3 para copiar objetos. Estas opciones incluyen la configuración de metadatos de objetos, la configuración de permisos y el cambio de la clase de almacenamiento de los objetos. Puede utilizar también la operación **Copiar** para copiar objetos existentes sin cifrar y escribirlos como objetos cifrados en el mismo bucket. Para obtener más información, consulte [Cifrado de objetos con la herramienta de operaciones por lotes de Amazon S3](https://aws.amazon.com/blogs/storage/encrypting-objects-with-amazon-s3-batch-operations/). Al copiar objetos, puede cambiar el algoritmo de suma de comprobación utilizado para calcular la suma de comprobación del objeto. Si los objetos no tienen calculada una suma de comprobación adicional, también puede agregarla especificando el algoritmo de suma de comprobación que utilizará Amazon S3. Para obtener más información, consulte [Comprobación de la integridad de objetos en Amazon S3](checking-object-integrity.md). Para obtener más información acerca de cómo copiar objetos en Amazon S3, así como los parámetros obligatorios y opcionales, consulte [Copia, traslado y cambio de nombre de objetos](copy-object.md) en esta guía y [https://docs.aws.amazon.com/AmazonS3/latest/API/API_CopyObject.html](https://docs.aws.amazon.com/AmazonS3/latest/API/API_CopyObject.html) en la *Amazon Simple Storage Service API Reference*. ## Restricciones y limitaciones Al utilizar la operación **Copiar** de Operaciones por lotes, se aplican las siguientes restricciones y limitaciones: + Todos los objetos de origen deben estar en el mismo bucket. + Todos los objetos de destino deben estar en el mismo bucket. + Debe tener permisos de lectura en el bucket de origen y permisos de escritura en el bucket de destino. + Los objetos que se van a copiar pueden tener un tamaño máximo de 5 GB. + Si intenta copiar objetos de las clases S3 Glacier Flexible Retrieval o S3 Glacier Deep Archive a la clase de almacenamiento S3 Standard, primero debe restaurar estos objetos. Para obtener más información, consulte [Restauración de un objeto archivado](restoring-objects.md). + Debe crear los trabajos **Copiar** de Operaciones por lotes en la región de destino, que es la región a la que pretende copiar los objetos. + Se admiten todas las opciones de `CopyObject`, excepto para las comprobaciones condicionales de las etiquetas de entidades (ETag) y el cifrado del servidor con claves de cifrado proporcionadas por el cliente (SSE-C). + Si los buckets de destino no tienen control de versiones, se sobrescribirán los objetos con los mismos nombres de clave. + Los objetos no se copian necesariamente en el mismo orden en el que aparecen en el manifiesto. Para los buckets con control de versiones, si es importante conservar el orden de versiones actual o no actual, copie primero todas las versiones no actuales. Luego, una vez finalizado el primer trabajo, copie las versiones actuales en un trabajo posterior. + No se admite la copia de objetos en la clase de almacenamiento de redundancia reducida (RRS). + Un solo trabajo de copia de operaciones por lotes puede admitir un manifiesto con hasta 20 000 millones de objetos. # Copia de objetos mediante operaciones por lotes de S3 Puede utilizar Operaciones por lotes de Amazon S3 para realizar operaciones por lotes a gran escala en objetos de Amazon S3. Puede utilizar Operaciones por lotes de S3 para crear un trabajo **Copiar** (`CopyObject`) para copiar objetos dentro de la misma cuenta o en otra cuenta de destino. Los siguientes ejemplos muestran cómo almacenar y utilizar un manifiesto que se encuentra en otra cuenta. El primer ejemplo muestra cómo puede usar el inventario de Amazon S3 para entregar el informe de inventario a la cuenta de destino para utilizarlo durante la creación de trabajos. En el segundo ejemplo se muestra cómo utilizar un manifiesto de valores separados por comas (CSV) en la cuenta de origen o destino. El tercer ejemplo muestra cómo utilizar la operación **Copiar** para habilitar claves de bucket de S3 para objetos existentes que se cifraron mediante el cifrado del servidor con claves de AWS Key Management Service (AWS KMS) (SSE-KMS). **Topics** + [ # Uso de un informe de inventario para copiar objetos entre Cuentas de AWS ](specify-batchjob-manifest-xaccount-inventory.md) + [ # Uso de un manifiesto CSV para copiar objetos entre Cuentas de AWS ](specify-batchjob-manifest-xaccount-csv.md) + [ # Uso de Operaciones por lotes para habilitar claves de bucket de S3 para SSE-KMS ](batch-ops-copy-example-bucket-key.md) # Uso de un informe de inventario para copiar objetos entre Cuentas de AWS Puede utilizar Operaciones por lotes de Amazon S3 para realizar operaciones por lotes a gran escala en objetos de Amazon S3. Puede utilizar Operaciones por lotes de S3 para crear un trabajo **Copiar** (`CopyObject`) para copiar objetos dentro de la misma cuenta o en otra cuenta de destino. Puede utilizar el Inventario de Amazon S3 para crear un informe de inventario y utilizar este informe para crear una lista de objetos (manifiesto) para copiar con Operaciones por lotes de S3. Para obtener más información sobre cómo utilizar un manifiesto CSV en la cuenta de origen o destino, consulte [Uso de un manifiesto CSV para copiar objetos entre Cuentas de AWS](specify-batchjob-manifest-xaccount-csv.md). El inventario de Amazon S3 genera inventarios de los objetos de un bucket. La lista resultante se publica en un archivo saliente. El bucket cuyo inventario se crea se denomina bucket de origen y el bucket donde se almacena el archivo de informe de inventario se denomina bucket de destino. Es posible configurar el informe de Amazon S3 Inventory para que se entregue a otra Cuenta de AWS. Esto permite a Operaciones por lotes de S3 leer el informe de inventario cuando se crea el trabajo en la cuenta de destino. Para obtener más información sobre los buckets de origen y destino de inventario de Amazon S3, consulte [Buckets de origen y destino](storage-inventory.md#storage-inventory-buckets). La forma más sencilla de configurar un inventario es a través de la consola de Amazon S3, pero también puede utilizar la API de REST de Amazon S3, la AWS Command Line Interface (AWS CLI) o los SDK de AWS. El siguiente procedimiento de la consola contiene los pasos de alto nivel para establecer permisos para un trabajo de Operaciones por lotes de S3. En este procedimiento se copian objetos de una cuenta de origen a una cuenta de destino, y el informe de inventario se almacena en la cuenta de destino. **Para configurar Amazon S3 Inventory para buckets de origen y destino pertenecientes a distintas cuentas** 1. Inicie sesión en la Consola de administración de AWS y abra la consola de Amazon S3 en [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. En el panel de navegación izquierdo, elija **Buckets**. 1. Elija (o cree) un bucket de manifiesto de destino en el que almacenar el informe de inventario. En este procedimiento, la *cuenta de destino* es la cuenta a la que pertenecen tanto el bucket de manifiestos de destino como el bucket en el que se copian los objetos. 1. Configure un informe de inventario para un bucket de origen. Para obtener información acerca de cómo utilizar la consola para configurar un inventario o cómo cifrar un archivo de lista de inventario, consulte [Configuración de Inventario de Amazon S3](configure-inventory.md). Cuando configure el informe de inventario, especifique el bucket de destino donde quiera que se almacene la lista. El informe de inventario para el bucket de origen se publica en el bucket de destino. En este procedimiento, la *cuenta de origen* es la cuenta propietaria del bucket de origen. Elija **CSV** para el formato de salida. Cuando introduzca la información del bucket de destino, elija **Buckets in another account (Los buckets de otra cuenta)**. A continuación, introduzca el nombre del bucket de manifiestos de destino. Si lo desea, puede introducir el ID de la cuenta de destino. Cuando se guarda la configuración de inventario, la consola muestra un mensaje similar al siguiente: Amazon S3 could not create a bucket policy on the destination bucket. Ask the destination bucket owner to add the following bucket policy to allow Amazon S3 to place data in that bucket (Amazon S3 no pudo crear una política de bucket en el bucket de destino. Pida al propietario del bucket de destino que añada la siguiente política de bucket para permitir que Amazon S3 coloque datos en ese bucket. A continuación, la consola muestra una política de bucket que se puede utilizar para el bucket de destino. 1. Copie la política de bucket de destino que aparece en la consola. 1. En la cuenta de destino, añada la política de bucket que ha copiado al bucket de manifiestos de destino donde se almacena el informe de inventario. 1. En la cuenta de destino, cree un rol basado en la política de confianza de Operaciones por lotes de S3. Para obtener más información acerca de esta política de confianza, consulte [Política de confianza](batch-ops-iam-role-policies.md#batch-ops-iam-role-policies-trust). Para obtener más información sobre cómo crear un rol, consulte [Crear un rol para delegar permisos a un Servicio de AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) en la *Guía del usuario de IAM*. Introduzca un nombre para el rol (el rol de ejemplo siguiente utiliza el nombre *`BatchOperationsDestinationRoleCOPY`*). Elija el servicio **S3** y, a continuación, elija el caso de uso **Operaciones por lotes de S3**, que aplica la política de confianza al rol. A continuación, elija **Create policy (Crear política)** para asociar la política siguiente al rol. Para utilizar esta política, sustituya *`user input placeholders`* por su propia información. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsDestinationObjectCOPY", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:PutObjectVersionAcl", "s3:PutObjectAcl", "s3:PutObjectVersionTagging", "s3:PutObjectTagging", "s3:GetObject", "s3:GetObjectVersion", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": [ "arn:aws:s3:::amzn-s3-demo-destination-bucket/*", "arn:aws:s3:::amzn-s3-demo-source-bucket/*", "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*" ] } ] } ``` ------ El rol utiliza la política para conceder permiso a `batchoperations.s3.amazonaws.com` para leer el manifiesto en el bucket de destino. También concede permisos para objetos `GET`, listas de control de acceso (ACL), etiquetas y versiones en el bucket de objetos de origen. Y concede permisos para objetos `PUT`, ACL, etiquetas y versiones en el bucket de objetos de destino. 1. En la cuenta de origen, cree una política de bucket para el bucket de origen que otorgue al rol que creó en el paso anterior permisos a objetos `GET`, ACL, etiquetas y versiones en el bucket de origen. Este paso permite a Operaciones por lotes de S3 obtener objetos del bucket de origen a través del rol de confianza. A continuación, se muestra un ejemplo de política de bucket para la cuenta de origen. Para utilizar esta política, sustituya *`user input placeholders`* por su propia información. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsSourceObjectCOPY", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/BatchOperationsDestinationRoleCOPY" }, "Action": [ "s3:GetObject", "s3:GetObjectVersion", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": "arn:aws:s3:::amzn-s3-demo-source-bucket/*" } ] } ``` ------ 1. Una vez que el informe de inventario esté disponible, cree un trabajo **Copiar** (`CopyObject`) de Operaciones por lotes de S3 en la cuenta de destino y seleccione el informe de inventario en el bucket de manifiestos de destino. Necesita el ARN del rol de IAM que creó en la cuenta de destino. Para obtener información general acerca de cómo crear un trabajo, consulte [Creación de trabajos de operaciones por lotes de S3](batch-ops-create-job.md). Para obtener información sobre cómo crear un trabajo mediante la consola, consulte [Creación de trabajos de operaciones por lotes de S3](batch-ops-create-job.md). # Uso de un manifiesto CSV para copiar objetos entre Cuentas de AWS Puede utilizar Operaciones por lotes de Amazon S3 para realizar operaciones por lotes a gran escala en objetos de Amazon S3. Puede utilizar Operaciones por lotes de S3 para crear un trabajo **Copiar** (`CopyObject`) para copiar objetos dentro de la misma cuenta o en otra cuenta de destino. Puede utilizar un manifiesto CSV almacenado en la cuenta de origen para copiar objetos entre Cuentas de AWS con Operaciones por lotes de Amazon S3. Para usar un informe de inventario de S3 como manifiesto, consulte [Uso de un informe de inventario para copiar objetos entre Cuentas de AWS](specify-batchjob-manifest-xaccount-inventory.md). Para ver un ejemplo del formato CSV de los archivos de manifiesto, consulte [Creación de un archivo de manifiesto](batch-ops-create-job.md#create-manifest-file). En el siguiente procedimiento, se muestra cómo configurar los permisos cuando se utiliza un trabajo de Operaciones por lotes de Amazon S3 para copiar objetos desde una cuenta de origen a una cuenta de destino con el archivo de manifiesto CSV almacenado en la cuenta de origen. **Uso de un manifiesto CSV para copiar objetos entre Cuentas de AWS** 1. Cree un rol de AWS Identity and Access Management (IAM) en la cuenta de destino que se base en la política de confianza de Operaciones por lotes de S3. En este procedimiento, la *cuenta de destino* es la cuenta en la que se copian los objetos. Para obtener más información acerca de la política de confianza, consulte [Política de confianza](batch-ops-iam-role-policies.md#batch-ops-iam-role-policies-trust). Para obtener más información sobre cómo crear un rol, consulte [Crear un rol para delegar permisos a un Servicio de AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) en la *Guía del usuario de IAM*. Si crea el rol utilizando la consola, introduzca un nombre para el rol (el rol de ejemplo utiliza el nombre `BatchOperationsDestinationRoleCOPY`). Elija el servicio **S3** y, a continuación, elija el caso de uso **Operaciones por lotes de S3**, que aplica la política de confianza al rol. A continuación, elija **Create policy (Crear política)** para asociar la política siguiente al rol. Para utilizar esta política, sustituya *`user input placeholders`* por su propia información. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsDestinationObjectCOPY", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:PutObjectVersionAcl", "s3:PutObjectAcl", "s3:PutObjectVersionTagging", "s3:PutObjectTagging", "s3:GetObject", "s3:GetObjectVersion", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": [ "arn:aws:s3:::amzn-s3-demo-destination-bucket/*", "arn:aws:s3:::amzn-s3-demo-source-bucket/*", "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*" ] } ] } ``` ------ Mediante la política, el rol concede permiso a `batchoperations.s3.amazonaws.com` para leer el manifiesto en el bucket de manifiestos de origen. Concede permisos para objetos `GET`, listas de control de acceso (ACL), etiquetas y versiones en el bucket de objetos de origen. También concede permisos para objetos `PUT`, ACL, etiquetas y versiones en el bucket de objetos de destino. 1. En la cuenta de origen, cree una política de bucket para el bucket que contenga el manifiesto para conceder el rol que creó en el paso anterior para objetos `GET` y versiones en el bucket de manifiesto de origen. Este paso permite a Operaciones por lotes de Amazon S3 leer el manifiesto utilizando el rol de confianza. Aplique la política de bucket al bucket que contiene el manifiesto. A continuación, se muestra un ejemplo de política de bucket que puede aplicarse al bucket de manifiestos de origen. Para utilizar esta política, sustituya *`user input placeholders`* por su propia información. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsSourceManifestRead", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::111122223333:user/ConsoleUserCreatingJob", "arn:aws:iam::111122223333:role/BatchOperationsDestinationRoleCOPY" ] }, "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Resource": "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*" } ] } ``` ------ Esta política también concede permisos para permitir a un usuario de la consola que esté creando un trabajo en la cuenta de destino los mismos permisos en el bucket de manifiestos de origen a través de la misma política de bucket. 1. En la cuenta de origen, cree una política de bucket para el bucket de origen que conceda al rol que creó permisos para objetos `GET`, ACL, etiquetas y versiones en el bucket de objetos de origen. Operaciones por lotes de S3 puede, entonces, obtener objetos del bucket de origen a través del rol de confianza. A continuación, se muestra un ejemplo de política de bucket para el bucket que contiene los objetos de origen. Para utilizar esta política, sustituya *`user input placeholders`* por su propia información. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsSourceObjectCOPY", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/BatchOperationsDestinationRoleCOPY" }, "Action": [ "s3:GetObject", "s3:GetObjectVersion", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": "arn:aws:s3:::amzn-s3-demo-source-bucket/*" } ] } ``` ------ 1. Cree un trabajo de Operaciones por lotes de S3 en la cuenta de destino. Necesita el nombre de recurso de Amazon (ARN) para el rol que ha creado en la cuenta de destino. Para obtener más información acerca de la creación de un trabajo, consulte [Creación de trabajos de operaciones por lotes de S3](batch-ops-create-job.md). # Uso de Operaciones por lotes para habilitar claves de bucket de S3 para SSE-KMS Las claves de bucket de S3 reducen el costo de cifrado del servidor mediante AWS Key Management Service (AWS KMS) (SSE-KMS) al disminuir el tráfico de solicitudes de Amazon S3 a AWS KMS. Para obtener más información, consulte [Reducción del costo de SSE-KMS con las claves de bucket de Amazon S3](bucket-key.md) y [Configuración del bucket para utilizar una clave de bucket de S3 con SSE-KMS para objetos nuevos](configuring-bucket-key.md). Cuando realiza una operación `CopyObject` mediante la API de REST, los AWS SDK o la AWS CLI, puede habilitar o deshabilitar una clave de bucket de S3 en el nivel de objeto agregando el encabezado de la solicitud `x-amz-server-side-encryption-bucket-key-enabled` con un valor `true` o `false`. Cuando se configura una clave de bucket de S3 para un objeto mediante una operación `CopyObject`, Amazon S3 solo actualiza la configuración de ese objeto. La configuración de la clave de bucket de S3 para el bucket de destino no cambia. Si envía una solicitud `CopyObject` para un objeto cifrado con AWS KMS a un bucket con las claves de bucket de S3 habilitadas, la operación en el nivel de objeto utilizará automáticamente las claves de bucket de S3, a menos que deshabilite las claves del encabezado de la solicitud. Si no especifica una clave de bucket de S3 para el objeto, Amazon S3 aplica el ajuste de la clave de bucket de S3 para el bucket de destino al objeto. Para cifrar los objetos de Amazon S3 existentes, puede utilizar Operaciones por lotes de Amazon S3. Puede utilizar la **operación de copia de la herramienta de operaciones por lotes** para copiar objetos existentes sin cifrar y escribirlos como objetos cifrados en el mismo bucket. Para obtener más información, consulte [Encrypting objects with Amazon S3 Batch Operations](https://aws.amazon.com/blogs/storage/encrypting-objects-with-amazon-s3-batch-operations/) en el AWS Storage Blog. En el siguiente ejemplo, utiliza la operación **Copiar** de Operaciones por lotes para habilitar claves de bucket de S3 en objetos existentes. Para obtener más información, consulte [Configuración de una clave de bucket de S3 en el nivel de objeto](configuring-bucket-key-object.md). **Topics** + [ ## Consideraciones sobre el uso de Operaciones por lotes de S3 para cifrar objetos con claves de bucket de S3 habilitadas ](#bucket-key-ex-things-to-note) + [ ## Requisitos previos ](#bucket-key-ex-prerequisites) + [ ## Paso 1: obtener la lista de objetos mediante Amazon S3 Inventory ](#bucket-key-ex-get-list-of-objects) + [ ## Paso 2: filtrar la lista de objetos con S3 Select ](#bucket-key-ex-filter-object-list-with-s3-select) + [ ## Paso 3: configurar y ejecutar el trabajo de la herramienta de operaciones por lotes de S3 ](#bucket-key-ex-setup-and-run-job) ## Consideraciones sobre el uso de Operaciones por lotes de S3 para cifrar objetos con claves de bucket de S3 habilitadas Tenga en cuenta los siguientes problemas cuando utilice Operaciones por lotes de S3 para cifrar objetos con claves de bucket de S3: + Se le cobrarán los trabajos, los objetos y las solicitudes de Operaciones por lotes de S3, además de los cargos asociados a la operación que Operaciones por lotes de S3 realiza en su nombre, incluidas las transferencias de datos, las solicitudes y otros cargos. Para obtener más información, consulte [Precios de Amazon S3](https://aws.amazon.com/s3/pricing). + Si utiliza un bucket con control de versiones, cada trabajo de la herramienta de operaciones por lotes de S3 realizado crea nuevas versiones cifradas de los objetos. También mantiene las versiones anteriores sin una clave de bucket de S3 configurada. Para eliminar las versiones anteriores, configure una política de vencimiento del ciclo de vida de S3 para las versiones no actuales como se describe en [Elementos de configuración del ciclo de vida](intro-lifecycle-rules.md). + La operación de copia crea nuevos objetos con nuevas fechas de creación, lo que puede afectar a las acciones del ciclo de vida, como el archivado. Si copia todos los objetos del bucket, todas las copias nuevas tendrán fechas de creación idénticas o similares. Para identificar aún más estos objetos y crear reglas de ciclo de vida diferentes para varios subconjuntos de datos, considere la posibilidad de utilizar etiquetas de objeto. ## Requisitos previos Antes de configurar los objetos para usar una clave de bucket de S3, consulte [Cambios para tener en cuenta antes de habilitar una clave de bucket de S3](bucket-key.md#bucket-key-changes). Para utilizar este ejemplo, debe tener una Cuenta de AWS y, al menos, un bucket de S3 para almacenar los archivos de trabajo y los resultados cifrados. También le puede resultar útil gran parte de la documentación existente de la herramienta de operaciones por lotes de S3, incluidos los siguientes temas: + [Conceptos básicos de Operaciones por lotes de S3](batch-ops.md#batch-ops-basics) + [Creación de trabajos de operaciones por lotes de S3](batch-ops-create-job.md) + [Operaciones compatibles con las operaciones por lotes de S3](batch-ops-operations.md) + [Administración de trabajos de operaciones por lotes de S3](batch-ops-managing-jobs.md) ## Paso 1: obtener la lista de objetos mediante Amazon S3 Inventory Para empezar, identifique el bucket de S3 que contiene los objetos que desea cifrar y obtenga una lista del contenido. Un informe de inventario de Amazon S3 es la forma más conveniente y asequible de hacerlo. En el informe se proporciona la lista de los objetos de un bucket junto con los metadatos asociados. En este paso, el bucket de origen es el bucket cuyo inventario se crea y el bucket de destino es el bucket donde se almacena el archivo de informe de inventario. Para obtener más información sobre los buckets de origen y destino de inventario de Amazon S3, consulte [Catálogo y análisis de sus datos con Inventario de S3](storage-inventory.md). La forma más sencilla de configurar un inventario es usar la Consola de administración de AWS. Sin embargo, puede también usar la API REST, la AWS Command Line Interface (AWS CLI) o los SDK de AWS. Antes de seguir estos pasos, inicie sesión en la consola y abra la consola de Amazon S3 en [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). Si encuentra errores de permiso denegado, agregue una política de bucket al bucket de destino. Para obtener más información, consulte [Concesión de permisos para el inventario de S3 y el análisis de S3](example-bucket-policies.md#example-bucket-policies-s3-inventory-1). **Para obtener la lista de objetos mediante el inventario de S3** 1. Abra la consola de Amazon S3 en [https://console.aws.amazon.com/s3](https://console.aws.amazon.com/s3/). 1. En el panel de navegación izquierdo, elija **Buckets** y, a continuación, elija un bucket que contenga objetos para cifrar. 1. En la pestaña **Management (Administración)**, diríjase a la sección **Inventory configurations (Configuraciones de inventario)** y elija **Create inventory configuration (Crear una configuración de inventario)**. 1. Asigne un nombre a su nuevo inventario, introduzca el nombre del bucket de S3 de destino y, opcionalmente, cree un prefijo de destino para que Amazon S3 asigne objetos en ese bucket. 1. Elija **CSV** para **Output format (Formato de salida)**. 1. (Opcional) En la sección **Campos adicionales: *opcional***, elija **Cifrado** y cualquier otro campo de informe que le interese. Establezca la frecuencia de entregas de informes en **Daily (Diaria)** para que el primer informe se entregue a su bucket más pronto. 1. Elija **Guardar** para guardar la configuración. Amazon S3 puede tardar hasta 48 horas en entregar el primer informe, por lo que debe verificar cuando este llegue. Después de recibir el primer informe, diríjase al siguiente paso para filtrar el contenido del informe de Inventario de S3. Si ya no quiere recibir informes de inventario para este bucket, elimine la configuración de inventario de S3. De lo contrario, Amazon S3 sigue entregando informes de manera diaria o semanal. Una lista de inventario no es una vista estática de todos los objetos. Las listas de inventario son una instantánea continua de los elementos de un bucket, que son coherentes en última instancia (por ejemplo: la lista podría no incluir los objetos agregados o eliminados más recientemente). La combinación de la herramienta de operaciones por lotes de S3 y del inventario de S3 funciona mejor cuando se trabaja con objetos estáticos o con un conjunto de objetos creado hace dos o más días. Con el fin de trabajar con datos más recientes, utilice la operación de la API [https://docs.aws.amazon.com/AmazonS3/latest/API/API_ListObjectsV2.html](https://docs.aws.amazon.com/AmazonS3/latest/API/API_ListObjectsV2.html) (bucket `GET`) para crear la lista de objetos de forma manual. Si es necesario, repita el proceso durante los próximos días o hasta que el informe de inventario muestre el estado deseado para todos los objetos. ## Paso 2: filtrar la lista de objetos con S3 Select Después de recibir el informe de inventario de S3, puede filtrar el contenido para mostrar solo los objetos que no estén cifrados con claves de bucket de S3 habilitadas. Si desea que todos los objetos del bucket se cifren con claves de bucket de S3 habilitadas, puede omitir este paso. Sin embargo, al filtrar el informe de inventario de S3 en esta fase, se ahorra el tiempo y los gastos que supone volver a cifrar objetos que ya había cifrado con las claves de bucket de S3 habilitadas. Aunque en los siguientes pasos se muestra cómo filtrar mediante [Amazon S3 Select](https://aws.amazon.com/blogs/aws/s3-glacier-select/), también puede utilizar [Amazon Athena](https://aws.amazon.com/athena). Para decidir qué herramienta usar, consulte el archivo `manifest.json` del informe de inventario de S3. En este archivo se muestra el número de archivos de datos asociados a ese informe. Si el número es grande, utilice Amazon Athena, ya que se ejecuta en varios objetos de S3, mientras que S3 Select funciona solo en un objeto a la vez. Para obtener más información sobre cómo usar Amazon S3 y Athena juntos, consulte [Consulta de Amazon S3 Inventory con Amazon Athena](storage-inventory-athena-query.md) y “Using Athena” en la publicación [Encrypting objects with Amazon S3 Batch Operations](https://aws.amazon.com/blogs/storage/encrypting-objects-with-amazon-s3-batch-operations) de AWS Storage Blog. **Filtro del informe de inventario de S3 mediante S3 Select** 1. Abra el archivo `manifest.json` del informe de inventario y consulte la sección `fileSchema` del JSON. Esta es información para la consulta que se ejecuta en los datos. El siguiente JSON es un ejemplo del archivo `manifest.json` para un inventario con formato CSV en un bucket con el control de versiones habilitado. Dependiendo de cómo haya configurado el informe de inventario, el manifiesto podría tener un aspecto diferente. ``` { "sourceBucket": "batchoperationsdemo", "destinationBucket": "arn:aws:s3:::amzn-s3-demo-destination-bucket", "version": "2021-05-22", "creationTimestamp": "1558656000000", "fileFormat": "CSV", "fileSchema": "Bucket, Key, VersionId, IsLatest, IsDeleteMarker, BucketKeyStatus", "files": [ { "key": "demoinv/batchoperationsdemo/DemoInventory/data/009a40e4-f053-4c16-8c75-6100f8892202.csv.gz", "size": 72691, "MD5checksum": "c24c831717a099f0ebe4a9d1c5d3935c" } ] } ``` Si el control de versiones no está activado en el bucket, o si decide ejecutar el informe para las versiones más recientes, el `fileSchema` es `Bucket`, `Key`, y `BucketKeyStatus`. Si el control de versiones *está* activado, dependiendo de cómo configure el informe de inventario, el `fileSchema` podría incluir lo siguiente: `Bucket`, `Key`, `VersionId`, `IsLatest`, `IsDeleteMarker`, `BucketKeyStatus`. Por lo tanto, preste atención a las columnas 1, 2, 3 y 6 cuando ejecute su consulta. Operaciones por lotes de S3 necesita el bucket, la clave y el ID de versión como entradas para realizar el trabajo, además del campo por el que se debe buscar, que es `BucketKeyStatus`. No necesita el campo `VersionID`, pero especificar el campo `VersionID` es útil cuando opera en un bucket con control de versiones. Para obtener más información, consulte [Trabajar con objetos en un bucket con control de versiones habilitado](manage-objects-versioned-bucket.md). 1. Ubique los archivos de datos para el informe de inventario. El objeto `manifest.json` muestra los archivos de datos en **files (archivos)**. 1. Después de ubicar y seleccionar el archivo de datos en la consola de S3, elija **Actions (Acciones)** y, luego, **Query with S3 Select (Consultar con S3 Select)**. 1. Mantenga los campos preseleccionados **CSV**, **Comma (Coma)**, y **GZIP** dentro de la selección y elija **Next (Siguiente)**. 1. Para revisar el formato del informe de inventario antes de continuar, seleccione **Show file preview (Mostrar previsualización del archivo)**. 1. Introduzca las columnas a las que se debe hacer referencia en el campo de expresión SQL. Luego, elija **Run SQL (Ejecutar SQL)**. La siguiente expresión muestra las columnas 1 a 3 para todos los objetos sin una clave de bucket de S3 configurada. `select s._1, s._2, s._3 from s3object s where s._6 = 'DISABLED'` A continuación se incluyen resultados de ejemplo. ``` batchoperationsdemo,0100059%7Ethumb.jpg,lsrtIxksLu0R0ZkYPL.LhgD5caTYn6vu batchoperationsdemo,0100074%7Ethumb.jpg,sd2M60g6Fdazoi6D5kNARIE7KzUibmHR batchoperationsdemo,0100075%7Ethumb.jpg,TLYESLnl1mXD5c4BwiOIinqFrktddkoL batchoperationsdemo,0200147%7Ethumb.jpg,amufzfMi_fEw0Rs99rxR_HrDFlE.l3Y0 batchoperationsdemo,0301420%7Ethumb.jpg,9qGU2SEscL.C.c_sK89trmXYIwooABSh batchoperationsdemo,0401524%7Ethumb.jpg,ORnEWNuB1QhHrrYAGFsZhbyvEYJ3DUor batchoperationsdemo,200907200065HQ%7Ethumb.jpg,d8LgvIVjbDR5mUVwW6pu9ahTfReyn5V4 batchoperationsdemo,200907200076HQ%7Ethumb.jpg,XUT25d7.gK40u_GmnupdaZg3BVx2jN40 batchoperationsdemo,201103190002HQ%7Ethumb.jpg,z.2sVRh0myqVi0BuIrngWlsRPQdb7qOS ``` 1. Descargue los resultados, guárdelos en un formato CSV y cárguelos en Amazon S3 como la lista de objetos para el trabajo de la herramienta de operaciones por lotes de S3. 1. Si tiene varios archivos de manifiesto, ejecute **Query with S3 Select (Consultar con S3 Select)** en esos también. Dependiendo del tamaño de los resultados, puede combinar las listas y ejecutar un único trabajo de la herramienta de operaciones por lotes de S3 o ejecutar cada lista como un trabajo independiente. Para decidir el número de trabajos que se van a ejecutar, tenga en cuenta el [precio](https://aws.amazon.com/s3/pricing/) de ejecutar cada trabajo de Operaciones por lotes de S3. ## Paso 3: configurar y ejecutar el trabajo de la herramienta de operaciones por lotes de S3 Ahora que tiene sus listas CSV filtradas de objetos de S3, puede comenzar el trabajo de Operaciones por lotes de S3 para cifrar los objetos con claves de bucket de S3 habilitadas. Un *trabajo* hace referencia colectivamente a la lista (manifiesto) de objetos proporcionados, la operación realizada y los parámetros especificados. La forma más sencilla de cifrar este conjunto de objetos con claves de bucket de S3 habilitadas es usar la operación **Copiar** y especificar el mismo prefijo de destino que los objetos que aparecen en el manifiesto. En un bucket sin control de versiones, esta operación sobrescribe los objetos existentes. En un bucket con control de versiones activado, esta operación crea una versión más reciente y cifrada de los objetos. Como parte de la copia de los objetos, especifique que Amazon S3 debe cifrar los objetos con cifrado SSE-KMS. Este trabajo copia los objetos, por lo que todos los objetos mostrarán una fecha de creación actualizada al finalizar, independientemente de cuándo los agregó originalmente a Amazon S3. Especifique también las otras propiedades del conjunto de objetos como parte del trabajo de la herramienta de operaciones por lotes de S3, incluidas las etiquetas de objeto y la clase de almacenamiento. **Topics** + [ ### Configuración de la política de IAM ](#bucket-key-ex-set-up-iam-policy) + [ ### Configuración del rol de IAM de la herramienta de operaciones por lotes ](#bucket-key-ex-set-up-iam-role) + [ ### Habilitación de claves de bucket de S3 para un bucket existente ](#bucket-key-ex-enable-s3-bucket-key-on-a-bucket) + [ ### Creación de un trabajo de la herramienta de operaciones por lotes ](#bucket-key-ex-create-job) + [ ### Ejecución del trabajo de la herramienta de operaciones por lotes ](#bucket-key-ex-run-job) ### Configuración de la política de IAM 1. Abra la consola de IAM en [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/). 1. En el panel de navegación de la izquierda, seleccione **Política** y, a continuación, elija **Crear política**. 1. Seleccione la pestaña **JSON**. Seleccione **Edit policy (Editar política)** y agregue la política de IAM de ejemplo que aparece en el siguiente bloque de código. Después de copiar el ejemplo de política en la [consola de IAM](https://console.aws.amazon.com/iam/), reemplace lo siguiente: 1. Sustituya `amzn-s3-demo-source-bucket` con el nombre del bucket de origen desde el que copiar los objetos. 1. Sustituya `amzn-s3-demo-destination-bucket` con el nombre del bucket de destino en el que copiar los objetos. 1. Reemplace `amzn-s3-demo-manifest-bucket/manifest-key` con el nombre del objeto de manifiesto. 1. Sustituya `amzn-s3-demo-completion-report-bucket` con el nombre del bucket donde desee guardar los informes de finalización. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CopyObjectsToEncrypt", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:PutObjectTagging", "s3:PutObjectAcl", "s3:PutObjectVersionTagging", "s3:PutObjectVersionAcl", "s3:GetObject", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersion", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": [ "arn:aws:s3:::amzn-s3-demo-source-bucket/*", "arn:aws:s3:::amzn-s3-demo-destination-bucket/*" ] }, { "Sid": "ReadManifest", "Effect": "Allow", "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Resource": "arn:aws:s3:::amzn-s3-demo-manifest-bucket/manifest-key" }, { "Sid": "WriteReport", "Effect": "Allow", "Action": [ "s3:PutObject" ], "Resource": "arn:aws:s3:::amzn-s3-demo-completion-report-bucket/*" } ] } ``` ------ 1. Elija **Next: Tags (Siguiente: etiquetas)**. 1. Agregue las etiquetas que desee (opcional) y elija **Siguiente: Revisar**. 1. Proporcione un nombre para la política y, opcionalmente, una descripción; a continuación, elija **Crear política**. 1. Elija **Revisar política** y, a continuación, **Guardar cambios**. 1. Con su política de la herramienta de operaciones por lotes de S3 ya completada, la consola lo lleva nuevamente a la página **Políticas** de IAM. Filtre por el nombre de la política, elija el botón situado a la izquierda del nombre de la política, elija **Acciones de política** y, a continuación, **Adjuntar**. Para adjuntar la política recién creada a un rol de IAM, seleccione los usuarios, grupos o roles apropiados en la cuenta y elija **Adjuntar política**. Esto lo lleva de vuelta a la consola de IAM. ### Configuración del rol de IAM de la herramienta de operaciones por lotes 1. En el panel de navegación de la [consola de IAM](https://console.aws.amazon.com/iam/), seleccione **Roles** y, a continuación, seleccione **Crear rol**. 1. Elija **Servicio de AWS**, **S3** y **Operaciones por lotes de S3**. A continuación, elija **Siguiente: Permisos)**. 1. Comience a escribir el nombre de la **política** de IAM que acaba de crear. Seleccione la casilla de verificación junto al nombre de la política cuando aparezca y elija **Siguiente: Etiquetas**. 1. (Opcional) Agregue etiquetas o mantenga los campos de clave y valor en blanco para este ejercicio. Elija **Next: Review (Siguiente: revisar)**. 1. Introduzca un nombre de rol y acepte la descripción predeterminada o agregue la suya. Elija **Create role (Crear rol)**. 1. Asegúrese de que el usuario que crea el trabajo tenga los permisos del siguiente ejemplo. Reemplace `account-id` con su ID de Cuenta de AWS y `IAM-role-name` con el nombre que tiene previsto aplicar al rol de IAM que creará más adelante en el paso de creación de trabajo de Operaciones por lotes. Para obtener más información, consulte [Concesión de permisos para Operaciones por lotes](batch-ops-iam-role-policies.md). ``` { "Sid": "AddIamPermissions", "Effect": "Allow", "Action": [ "iam:GetRole", "iam:PassRole" ], "Resource": "arn:aws:iam::account-id:role/IAM-role-name" } ``` ### Habilitación de claves de bucket de S3 para un bucket existente 1. Abra la consola de Amazon S3 en [https://console.aws.amazon.com/s3](https://console.aws.amazon.com/s3/). 1. En la lista **Buckets**, elija el bucket para el que desea habilitar una clave de bucket de S3. 1. Seleccione **Properties (Propiedades)**. 1. En **Cifrado predeterminado**, elija **Editar**. 1. En **Tipo de cifrado**, elija **Claves administradas de Amazon S3 (SSE-S3)** o **Clave de AWS Key Management Service (SSE-KMS)**. 1. Si elige la **Clave de AWS Key Management Service (SSE-KMS)**, en **AWS KMS key**, puede especificar la clave de AWS KMS mediante una de las siguientes opciones. + Para elegir de una lista de claves de KMS disponibles, marque **Elija entre sus claves de AWS KMS**. En la lista de claves disponibles, elija una clave de KMS de cifrado simétrica de la misma región que el bucket. En esta lista aparecen tanto la clave administrada de AWS (`aws/s3`) como las claves administradas por el cliente. + Para introducir el ARN de la clave de KMS, elija **Introducir el ARN de la clave de AWS KMS** e introduzca el ARN de la clave de KMS en el campo que aparece. + Para crear una nueva clave administrada por el cliente en la consola de AWS KMS, elija **Crear una clave de KMS**. 1. En **Clave de bucket)**, elija **Habilitar** y luego **Guardar cambios**. Ahora que se ha habilitado una clave de bucket de S3 en el bucket, los objetos que se carguen, modifiquen o copien en este bucket heredarán esta configuración de cifrado de forma predeterminada. Aquí también se incluyen los objetos copiados con Operaciones por lotes de Amazon S3. ### Creación de un trabajo de la herramienta de operaciones por lotes 1. Abra la consola de Amazon S3 en [https://console.aws.amazon.com/s3](https://console.aws.amazon.com/s3/). 1. En el panel de navegación, elija **Operaciones por lotes** y luego **Crear trabajo**. 1. Elija la **Región** donde almacena los objetos y, a continuación, **CSV** como el tipo de manifiesto. 1. Introduzca la ruta o desplácese hasta el archivo de manifiesto CSV que creó antes a partir de los resultados de S3 Select (o Athena). Si el manifiesto contiene ID de versiones, seleccione esa casilla de verificación. Elija **Next (Siguiente)**. 1. Elija la operación **Copiar** y elija el bucket de destino de copia. Puede mantener el cifrado del lado del servidor desactivado. Siempre y cuando el bucket de destino tenga habilitadas las claves de bucket de S3, la operación de copia aplica claves de bucket de S3 en el bucket de destino. 1. (Opcional) Elija una clase de almacenamiento y los demás parámetros que desee. Los parámetros que especifique en este paso se aplican a todas las operaciones realizadas en los objetos que aparecen en el manifiesto. Elija **Siguiente**. 1. Para configurar el cifrado del servidor, siga los siguientes pasos: 1. En **Cifrado del lado del servidor**, elija una de las siguientes opciones: + Para mantener la configuración del bucket para el cifrado predeterminado del servidor de los objetos al almacenarlos en Amazon S3, elija **No especifique una clave de cifrado**. Siempre y cuando el bucket de destino tenga habilitadas las claves de bucket de S3, la operación de copia aplicará una clave de bucket de S3 al bucket de destino. **nota** Si la política de bucket para el destino especificado exige que los objetos estén cifrados antes de almacenarlos en Amazon S3, debe especificar una clave de cifrado. De lo contrario, se producirá un error al copiar los objetos en el destino. + Para cifrar objetos antes de almacenarlos en Amazon S3, elija **Especificar una clave de cifrado**. 1. En **Configuración del cifrado**, si selecciona **Especificar una clave de cifrado**, debe elegir entre **Usar la configuración del bucket de destino para el cifrado predeterminado** o **Anular la configuración del bucket de destino para el cifrado predeterminado**. 1. Si elige **Anular la configuración del bucket de destino para el cifrado predeterminado**, debe configurar los siguientes ajustes de cifrado. 1. En **Tipo de cifrado**, elija **Claves administradas de Amazon S3 (SSE-S3)** o **Clave de AWS Key Management Service (SSE-KMS)**. SSE-S3 utiliza uno de los cifrados de bloques más seguros, Advanced Encryption Standard de 256 bits (AES-256), para cifrar cada objeto. SSE-KMS le proporciona más control sobre su clave. Para obtener más información, consulte [Uso del cifrado del servidor con claves administradas por Amazon S3 (SSE-S3)](UsingServerSideEncryption.md) y [Uso del cifrado del servidor con claves de AWS KMS (SSE-KMS)](UsingKMSEncryption.md). 1. Si elige **Clave de AWS Key Management Service (SSE-KMS)**, en **AWS KMS key**, puede especificar su AWS KMS key mediante una de las siguientes opciones. + Para elegir de entre una lista de claves de KMS disponibles, marque **Elija entre sus claves de AWS KMS keys** y seleccione una clave de KMS de cifrado simétrica de la misma región que el bucket. En esta lista aparecen tanto la clave administrada de AWS (`aws/s3`) como las claves administradas por el cliente. + Para introducir el ARN de la clave de KMS, elija **Introducir el ARN de la clave de AWS KMS** e introduzca el ARN de la clave de KMS en el campo que aparece. + Para crear una nueva clave administrada por el cliente en la consola de AWS KMS, elija **Crear una clave de KMS**. 1. En **Bucket Key** (Clave de bucket), seleccione **Enable** (Habilitar). La operación de copia aplica una clave de bucket de S3 al bucket de destino. 1. Proporcione a su trabajo una descripción (o mantenga el valor predeterminado), establezca su nivel de prioridad, elija un tipo de informe y especifique la **ruta al destino del informe de finalización**. 1. En la sección **Permissions (Permisos)**, asegúrese de elegir el rol de IAM de la herramienta de operaciones por lotes que definió antes. Elija **Next (Siguiente)**. 1. En **Review (Revisar)**, compruebe la configuración. Si desea realizar cambios, seleccione **Previous (Anterior)**. Después de confirmar la configuración de la herramienta de operaciones por lotes, elija **Create job (Crear trabajo)**. Para obtener más información, consulte [Creación de trabajos de operaciones por lotes de S3](batch-ops-create-job.md). ### Ejecución del trabajo de la herramienta de operaciones por lotes El asistente de configuración lo redirecciona automáticamente a la sección Operaciones por lotes de S3 de la consola de Amazon S3. El trabajo nuevo pasa del estado **New (Nuevo)** al estado **Preparing (En preparación)** cuando S3 comienza el proceso. Cuando el estado es “Preparing” (En preparación), S3 lee el manifiesto del trabajo, comprueba si hay errores y calcula el número de objetos. 1. Elija el botón de actualización en la consola de Amazon S3 para comprobar el progreso. Dependiendo del tamaño del manifiesto, la lectura puede tardar minutos u horas. 1. Después de que S3 termina de leer el manifiesto del trabajo, este pasa al estado **Awaiting your confirmation (A la espera de confirmación)**. Elija el botón de opción a la izquierda del ID de trabajo y elija **Run job (Ejecutar trabajo)**. 1. Verifique la configuración del trabajo y elija **Run job (Ejecutar trabajo)** en la esquina inferior derecha. Una vez que el trabajo comience a ejecutarse, puede seleccionar el botón de actualización para verificar el progreso a través de la vista del panel de consola o mediante la selección de un trabajo específico. 1. Una vez completado el trabajo, podrá ver el recuento de objetos **Successful (Correctos)** y **Failed (Con errores)** para confirmar que todo se realizó como se esperaba. Si ha habilitado los informes de trabajos, verifique en estos la causa exacta de las operaciones con errores. También puede llevar a cabo estos pasos mediante la AWS CLI, los SDK de AWS o la API de REST de Amazon S3. Para obtener más información acerca del seguimiento del estado del trabajo y los informes de finalización, consulte [Seguimiento del estado del trabajo e informes de finalización](batch-ops-job-status.md). Para obtener ejemplos en los que se muestra la operación de copia con etiquetas mediante la AWS CLI y AWS SDK para Java, consulte [Creación de un trabajo de Operaciones por lotes con etiquetas de trabajo como etiquetado](batch-ops-tags-create.md).