Configuration des autorisations pour la réplication en direct

Simple Storage Service (Amazon S3) a besoin d'autorisations pour répliquer des objets en votre nom. Vous accordez ces autorisations en créant un rôle AWS Identity and Access Management (IAM), puis en spécifiant ce rôle dans votre configuration de réplication.

Lorsque les compartiments source et de destination ne sont pas détenus par les mêmes comptes, le propriétaire du compartiment de destination doit également accorder au propriétaire du compartiment source les autorisations nécessaires pour stocker les répliques.

L'exemple suivant montre une politique de confiance dans laquelle vous identifiez Amazon S3 comme le Service AWS principal habilité à assumer le rôle :

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "Service":"s3.amazonaws.com"
         },
         "Action":"sts:AssumeRole"
      }
   ]
}

L'exemple suivant montre une politique de confiance dans laquelle vous identifiez Amazon S3 et S3 Batch Operations en tant que principaux de service pouvant assumer ce rôle. Utilisez cette approche si vous créez une tâche de réplication par lots. Pour de plus amples informations, veuillez consulter Création d'une tâche de réplication par lots pour de nouvelles règles ou destinations de réplication.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "Service": [
              "s3.amazonaws.com",
              "batchoperations.s3.amazonaws.com"
           ]
         },
         "Action":"sts:AssumeRole"
      }
   ]
}

Pour plus d'informations sur IAM les rôles, voir IAMles rôles dans le Guide de IAM l'utilisateur.

L'exemple suivant illustre la politique d'autorisation, dans laquelle vous accordez au IAM rôle les autorisations nécessaires pour effectuer des tâches de réplication en votre nom. Quand Simple Storage Service (Amazon S3) endosse le rôle, il dispose des autorisations que vous avez spécifiées dans cette stratégie. Dans cette politique, amzn-s3-demo-source-bucket est le compartiment source et amzn-s3-demo-destination-bucket, le compartiment de destination.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "s3:GetReplicationConfiguration",
            "s3:ListBucket"
         ],
         "Resource":[
            "arn:aws:s3:::amzn-s3-demo-source-bucket"
         ]
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:GetObjectVersionForReplication",
            "s3:GetObjectVersionAcl",
            "s3:GetObjectVersionTagging"
         ],
         "Resource":[
            "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
         ]
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:ReplicateObject",
            "s3:ReplicateDelete",
            "s3:ReplicateTags"
         ],
         "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
      }
   ]
}

La politique d'autorisations octroie des autorisations pour les actions suivantes :

Pour obtenir la liste des actions Amazon S3, consultez la section Actions, ressources et clés de condition pour Amazon S3 dans le Service Authorization Reference.

Pour plus d'informations sur les autorisations relatives aux API opérations S3 par type de ressource S3, consultezAutorisations requises pour les API opérations Amazon S3.

Si le propriétaire du compartiment source autorise Amazon S3 à effectuer les s3:ReplicateTags actions s3:GetObjectVersionTagging et à répliquer les balises d'objets (via le IAM rôle), Amazon S3 réplique les balises en même temps que les objets. Pour plus d'informations sur le IAM rôle, consultezCréation d'un IAM rôle.

Si le propriétaire du compartiment de destination ne souhaite pas répliquer les balises, il peut ajouter l'instruction suivante à la stratégie du compartiment de destination en vue de lui refuser explicitement l'autorisation d'exécuter l'action s3:ReplicateTags. Dans cette politique, amzn-s3-demo-destination-bucket est le compartiment de destination.

...
   "Statement":[
      {
         "Effect":"Deny",
         "Principal":{
            "AWS":"arn:aws:iam::source-bucket-account-id:role/service-role/source-account-IAM-role"
         },
         "Action":"s3:ReplicateTags",
         "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
      }
   ]
...

Objets qui existaient avant la mise en place d'une configuration de réplication

Objets qui ont déjà été répliqués

Objets dont la réplication a échoué