Modification du propriétaire d'un réplica

Pour modifier la propriété de la réplique lorsque les compartiments source et de destination appartiennent à des entités différentes Comptes AWS ()AWS CLI

Pour utiliser les exemples de AWS CLI commandes de cette procédure, remplacez-les user input placeholders par vos propres informations.

1. Dans cet exemple, vous créez les compartiments source et destination dans deux compartiments différents Comptes AWS. Pour utiliser ces deux comptes, configurez-les AWS CLI avec deux profils nommés. Cet exemple utilise des profils nommés ACCTA and AccTB, respectivement. Pour plus d'informations sur la définition des profils d'identification et l'utilisation de profils nommés, consultez la section Configuration et paramètres des fichiers d'identification dans le Guide de l'AWS Command Line Interface utilisateur.

   Important

   Les profils que vous utilisez pour cette procédure doivent disposer des autorisations nécessaires. Par exemple, dans la configuration de réplication, vous spécifiez le IAM rôle qu'Amazon S3 peut assumer. Vous ne pouvez le faire que si le profil que vous utilisez est iam:PassRole autorisé. Si vous utilisez les informations d'identification de l'utilisateur administrateur pour créer un profil nommé, vous pouvez effectuer toutes les tâches de cette procédure. Pour plus d'informations, consultez la section Accorder à un utilisateur l'autorisation de transmettre un rôle à un Service AWS dans le Guide de IAM l'utilisateur.

2. Créez le compartiment source et activez la gestion des versions. Cet exemple crée un compartiment source nommé amzn-s3-demo-source-bucket dans la région USA Est (Virginie du Nordus-east-1) ().

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. Créez un compartiment de destination et activez la gestion des versions. Cet exemple crée un compartiment de destination nommé amzn-s3-demo-destination-bucket dans la région USA Ouest (Oregonus-west-2) (). Utilisez un Compte AWS profil différent de celui que vous avez utilisé pour le compartiment source.

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctB

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctB

4. Vous devez ajouter des autorisations à la stratégie de votre compartiment de destination pour autoriser la modification de propriété du réplica.

   1. Enregistrez la politique suivante dans un fichier nommédestination-bucket-policy.json. Assurez-vous de remplacer le espaces réservés à la saisie par l'utilisateur avec vos propres informations.

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "destination_bucket_policy_sid",
            "Principal": {
              "AWS": "source-bucket-owner-account-id"
            },
            "Action": [
              "s3:ReplicateObject",
              "s3:ReplicateDelete",
              "s3:ObjectOwnerOverrideToBucketOwner",
              "s3:ReplicateTags",
              "s3:GetObjectVersionTagging"
            ],
            "Effect": "Allow",
            "Resource": [
              "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
            ]
          }
        ]
      }                             
                                

   2. Ajoutez la politique précédente au compartiment de destination à l'aide de la put-bucket-policy commande suivante :

      aws s3api put-bucket-policy --region $ {destination-region} --bucket $ {amzn-s3-demo-destination-bucket} --policy file://destination_bucket_policy.json

5. Créez un IAM rôle. Vous précisez ce rôle dans la configuration de réplication que vous ajouterez ultérieurement au compartiment source. Amazon S3 endosse ce rôle pour répliquer des objets en votre nom. Vous créez un IAM rôle en deux étapes :

   • Créez le rôle.

   • Attachez une stratégie d'autorisation au rôle.

   1. Créez le IAM rôle.

      1. Copiez la stratégie d'approbation suivante et enregistrez-la dans un fichier nommé s3-role-trust-policy.json dans le répertoire actif sur votre ordinateur local. Cette stratégie octroie à Amazon S3 les autorisations pour endosser le rôle.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. Exécutez la AWS CLI create-role commande suivante pour créer le IAM rôle :

         $ aws iam create-role \
         --role-name replicationRole \
         --assume-role-policy-document file://s3-role-trust-policy.json  \
         --profile acctA

         Notez le nom de ressource Amazon (ARN) du IAM rôle que vous avez créé. Vous ARN en aurez besoin ultérieurement.

   2. Attachez une stratégie d'autorisation au rôle.

      1. Copiez la politique d'autorisations suivante et enregistrez-la dans un fichier nommé s3-role-perm-pol-changeowner.json dans le répertoire actuel de votre ordinateur local. Cette stratégie accorde des autorisations pour diverses actions sur les compartiments et les objets Amazon S3. Dans les étapes suivantes, vous associez cette politique au IAM rôle que vous avez créé précédemment.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl"
                  ],
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration"
                  ],
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket"
                  ]
               },
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ObjectOwnerOverrideToBucketOwner",
                     "s3:ReplicateTags",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               }
            ]
         }

      2. Pour associer la politique d'autorisation précédente au rôle, exécutez la put-role-policy commande suivante :

         $ aws iam put-role-policy \
         --role-name replicationRole \
         --policy-document file://s3-role-perm-pol-changeowner.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

6. Ajoutez une configuration de réplication à votre compartiment source.

   1. AWS CLI Nécessite de spécifier la configuration de réplication sous la formeJSON. Enregistrez ce qui suit JSON dans un fichier nommé replication.json dans le répertoire actuel de votre ordinateur local. Dans la configuration, le AccessControlTranslation indique le changement de propriété de la réplique du propriétaire du bucket source au propriétaire du bucket de destination.

      {
         "Role":"IAM-role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
               },
               "Status":"Enabled",
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "Account":"destination-bucket-owner-account-id",
                  "AccessControlTranslation":{
                     "Owner":"Destination"
                  }
               }
            }
         ]
      }

   2. Modifiez le JSON en fournissant des valeurs pour le nom du compartiment de destination, l'ID de compte du propriétaire du compartiment de destination et leIAM-role-ARN. Remplacez IAM-rôle- ARN avec ARN le IAM rôle que vous avez créé précédemment. Enregistrez les Modifications.

   3. Pour ajouter la configuration de réplication au compartiment source, exécutez la commande suivante :

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

7. Testez votre configuration de réplication en vérifiant la propriété de la réplique dans la console Amazon S3.

   1. Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

   2. Ajoutez des objets au compartiment source. Vérifiez que le compartiment de destination contient les répliques d'objets et que le propriétaire des répliques a été remplacé par Compte AWS celui qui détient le compartiment de destination.