Réplication d'objets chiffrés (SSE-S3, SSE -, DSSE - KMSKMS, SSE -C)

Pour répliquer des objets chiffrés côté serveur (AWS CLI)

Pour utiliser les exemples de cette procédure, remplacez-les user input placeholders par vos propres informations.

1. Dans cet exemple, vous créez à la fois la source (amzn-s3-demo-source-bucket) et destination (amzn-s3-demo-destination-bucket) seaux dans le même Compte AWS emballage. Vous allez également définir un profil d'informations d'identification pour l' AWS CLI. Cet exemple utilise le nom de profil acctA.

   Pour plus d'informations sur la définition des profils d'identification et l'utilisation de profils nommés, consultez la section Configuration et paramètres des fichiers d'identification dans le Guide de l'AWS Command Line Interface utilisateur.

2. Utilisez les commandes suivantes pour créer le compartiment amzn-s3-demo-source-bucket et activer la gestion des versions sur celui-ci. Les commandes de l'exemple suivant créent le compartiment amzn-s3-demo-source-bucket dans la région USA Est (Virginie du Nord) (us-east-1).

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. Utilisez les commandes suivantes pour créer le compartiment amzn-s3-demo-destination-bucket et activer la gestion des versions sur celui-ci. Les commandes de l'exemple suivant créent le compartiment amzn-s3-demo-destination-bucket dans la région USA Ouest (Oregon) (us-west-2).

   Note

   Pour définir une configuration de réplication lorsque les compartiments amzn-s3-demo-source-bucket et amzn-s3-demo-destination-bucket se trouvent dans le même  Compte AWS, utilisez le même profil. Cet exemple utilise acctA. Pour configurer la réplication lorsque les buckets appartiennent à des propriétaires différents Comptes AWS, vous devez spécifier des profils différents pour chacun d'entre eux.

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

4. Ensuite, vous créez un rôle IAM de service. Vous spécifierez ce rôle dans la configuration de réplication que vous ajouterez ultérieurement au amzn-s3-demo-source-bucket compartiment. Amazon S3 endosse ce rôle pour répliquer des objets en votre nom. Vous créez un IAM rôle en deux étapes :

   • Créez un rôle de service.

   • Attachez une stratégie d'autorisation au rôle.

   1. Pour créer un rôle IAM de service, procédez comme suit :

      1. Copiez la stratégie d'approbation suivante et enregistrez-la dans un fichier nommé s3-role-trust-policy-kmsobj.json dans le répertoire actif sur votre ordinateur local. Cette politique accorde au service principal Amazon S3 les autorisations nécessaires pour assumer ce rôle afin qu'Amazon S3 puisse effectuer des tâches en votre nom.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. Utilisez la commande suivante pour créer le rôle :

         $ aws iam create-role \
         --role-name replicationRolekmsobj \
         --assume-role-policy-document file://s3-role-trust-policy-kmsobj.json  \
         --profile acctA

   2. Ensuite, attachez une stratégie d'autorisation au rôle. Cette stratégie accorde des autorisations pour diverses actions sur les compartiments et les objets Amazon S3.

      1. Copiez la politique d'autorisations suivante et enregistrez-la dans un fichier nommé s3-role-permissions-policykmsobj.json dans le répertoire actuel de votre ordinateur local. Vous allez créer un IAM rôle et y associer la politique ultérieurement.

         Important

         Dans la politique d'autorisation, vous spécifiez la AWS KMS clé IDs qui sera utilisée pour le chiffrement des amzn-s3-demo-destination-bucket compartiments amzn-s3-demo-source-bucket et. Vous devez créer deux KMS clés distinctes pour les amzn-s3-demo-destination-bucket compartiments amzn-s3-demo-source-bucket et. AWS KMS keys ne sont pas partagés en dehors de Région AWS celui dans lequel ils ont été créés.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration",
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Effect":"Allow",
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket",
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ReplicateTags"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLikeIfExists":{
                        "s3:x-amz-server-side-encryption":[
                           "aws:kms",
                           "AES256",
                           "aws:kms:dsse"
                        ],
                        "s3:x-amz-server-side-encryption-aws-kms-key-id":[
                           "AWS KMS key IDs(in ARN format) to use for encrypting object replicas"  
                        ]
                     }
                  },
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               },
               {
                  "Action":[
                     "kms:Decrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-east-1.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs(in ARN format) used to encrypt source objects." 
                  ]
               },
               {
                  "Action":[
                     "kms:Encrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-west-2.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs (in ARN format) to use for encrypting object replicas" 
                  ]
               }
            ]
         }

      2. Créez une politique et attachez-la au rôle.

         $ aws iam put-role-policy \
         --role-name replicationRolekmsobj \
         --policy-document file://s3-role-permissions-policykmsobj.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

5. Ensuite, ajoutez la configuration de réplication suivante au compartiment amzn-s3-demo-source-bucket. Elle demande à Amazon S3 de répliquer les objets dotés du préfixe Tax/ dans le compartiment amzn-s3-demo-destination-bucket.

   Important

   Dans la configuration de réplication, vous spécifiez le IAM rôle qu'Amazon S3 peut assumer. Vous ne pouvez effectuer cette tâche que si vous disposez de l'autorisation iam:PassRole. Le profil que vous spécifiez dans la CLI commande doit disposer de cette autorisation. Pour plus d'informations, consultez la section Accorder à un utilisateur l'autorisation de transmettre un rôle à un Service AWS dans le Guide de IAM l'utilisateur.

    <ReplicationConfiguration>
     <Role>IAM-Role-ARN</Role>
     <Rule>
       <Priority>1</Priority>
       <DeleteMarkerReplication>
          <Status>Disabled</Status>
       </DeleteMarkerReplication>
       <Filter>
          <Prefix>Tax</Prefix>
       </Filter>
       <Status>Enabled</Status>
       <SourceSelectionCriteria>
         <SseKmsEncryptedObjects>
           <Status>Enabled</Status>
         </SseKmsEncryptedObjects>
       </SourceSelectionCriteria>
       <Destination>
         <Bucket>arn:aws:s3:::amzn-s3-demo-destination-bucket</Bucket>
         <EncryptionConfiguration>
           <ReplicaKmsKeyID>AWS KMS key IDs to use for encrypting object replicas</ReplicaKmsKeyID>
         </EncryptionConfiguration>
       </Destination>
     </Rule>
   </ReplicationConfiguration>

   Pour ajouter une configuration de réplication au compartiment amzn-s3-demo-source-bucket, procédez comme suit :

   1. Vous AWS CLI devez spécifier la configuration de réplication sous la formeJSON. Enregistrez ce qui suit JSON dans un fichier (replication.json) du répertoire actuel de votre ordinateur local.

      {
         "Role":"IAM-Role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
                  "Prefix":"Tax"
               },
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "EncryptionConfiguration":{
                     "ReplicaKmsKeyID":"AWS KMS key IDs (in ARN format) to use for encrypting object replicas"
                  }
               },
               "SourceSelectionCriteria":{
                  "SseKmsEncryptedObjects":{
                     "Status":"Enabled"
                  }
               }
            }
         ]
      }

   2. Modifiez le JSON pour fournir des valeurs pour le amzn-s3-demo-destination-bucket compartimentAWS KMS key IDs (in ARN format), etIAM-role-ARN. Enregistrez les Modifications.

   3. Utilisez la commande suivante pour ajouter la configuration de réplication à votre compartiment amzn-s3-demo-source-bucket. Veillez à saisir le nom du compartiment amzn-s3-demo-source-bucket.

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

6. Testez la configuration pour vérifier que les objets chiffrés ont été répliqués. Dans la console Amazon S3, procédez comme suit :

   1. Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

   2. Dans le compartiment amzn-s3-demo-source-bucket, créez un dossier nommé Tax.

   3. Ajoutez des exemples d'objet au dossier. Assurez-vous de choisir l'option de chiffrement et de spécifier votre KMS clé pour chiffrer les objets.

   4. Vérifiez que le amzn-s3-demo-destination-bucket compartiment contient les répliques d'objets et qu'elles sont chiffrées à l'aide de la KMS clé que vous avez spécifiée dans la configuration. Pour de plus amples informations, veuillez consulter Obtention d'informations sur le statut de la réplication.