Configuration des autorisations pour la réplication en direct

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Lors de la configuration de la réplication en direct dans Amazon S3, vous devez acquérir les autorisations nécessaires, comme suit :

Configuration des autorisations pour créer des règles de réplication

L'utilisateur ou le rôle IAM que vous allez utiliser pour créer des règles de réplication a besoin d'autorisations pour créer des règles de réplication pour les réplications unidirectionnelles ou bidirectionnelles. Si l'utilisateur ou le rôle ne dispose pas de ces autorisations, vous ne pourrez pas créer de règles de réplication. Pour plus d'informations, consultez la section Identités IAM dans le guide de l'utilisateur IAM.

L'utilisateur ou le rôle a besoin des actions suivantes :

Vous trouverez ci-dessous un exemple de politique IAM qui inclut ces actions.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetAccessPoint",
                "s3:GetAccountPublicAccessBlock",
                "s3:GetBucketAcl",
                "s3:GetBucketLocation",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:ListAccessPoints",
                "s3:ListAllMyBuckets",
                "s3:PutReplicationConfiguration",
                "s3:GetReplicationConfiguration",
                "s3:GetBucketVersioning",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectVersionAcl",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetObjectVersion",
                "s3:GetBucketOwnershipControls",
                "s3:PutBucketOwnershipControls",
                "s3:GetObjectLegalHold",
                "s3:GetObjectRetention",
                "s3:GetBucketObjectLockConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1-*",
                "arn:aws:s3:::amzn-s3-demo-bucket2-*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:List*AccessPoint*",
                "s3:GetMultiRegion*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:Get*",
                "iam:CreateServiceLinkedRole",
                "iam:CreateRole",
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/service-role/s3*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:List*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:PutRolePolicy",
                "iam:CreatePolicy"
              ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/s3*",
                "arn:aws:iam::*:role/service-role/s3*"
            ]
        }
    ]
}            
        

Création d’un rôle IAM

Par défaut, toutes les ressources Simple Storage Service (Amazon S3) (compartiments, objets et sous-ressources liées) sont privées : seul le propriétaire des ressources peut y accéder. Simple Storage Service (Amazon S3) a besoin d’autorisations pour lire et répliquer les objets du compartiment source. Vous accordez ces autorisations en créant un rôle IAM et en spécifiant ce rôle dans votre configuration de réplication.

Cette section décrit la politique d’approbation et la politique d’autorisations minimales requises qui sont attachées à ce rôle IAM. Les exemples de procédures pas à pas fournissent des step-by-step instructions pour créer un rôle IAM. Pour de plus amples informations, veuillez consulter Exemples de configuration de la réplication en direct.

La politique d’approbation identifie les identités de principal qui peuvent endosser le rôle IAM. La politique d’autorisations spécifie les actions que peut exécuter le rôle IAM, sur quelles ressources et dans quelles conditions.

Octroi d'autorisations lorsque les compartiments source et de destination appartiennent à des entités différentes Comptes AWS

Lorsque les compartiments source et de destination n’appartiennent pas aux mêmes comptes, le propriétaire du compartiment de destination doit également ajouter une politique de compartiment pour accorder au propriétaire du compartiment source les autorisations adéquates pour effectuer des actions de réplication, comme illustré dans l’exemple suivant. Dans cette exemple de politique, amzn-s3-demo-destination-bucket est le compartiment de destination.

Vous pouvez également laisser la console Amazon S3 générer automatiquement cette politique de compartiment à votre place. Pour plus d’informations, consultez Activer la réception d’objets répliqués à partir d’un compartiment source.

{
   "Version":"2012-10-17",
   "Id":"PolicyForDestinationBucket",
   "Statement":[
      {
         "Sid":"Permissions on objects",
         "Effect":"Allow",
         "Principal":{
            "AWS":"arn:aws:iam::source-bucket-account-ID:role/service-role/source-account-IAM-role"
         },
         "Action":[
            "s3:ReplicateDelete",
            "s3:ReplicateObject"
         ],
         "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
      },
      {
         "Sid":"Permissions on bucket",
         "Effect":"Allow",
         "Principal":{
            "AWS":"arn:aws:iam::source-bucket-account-ID:role/service-role/source-account-IAM-role"
         },
         "Action": [
            "s3:List*",
            "s3:GetBucketVersioning",
            "s3:PutBucketVersioning"
         ],
         "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket"
      }
   ]
}

Pour obtenir un exemple, consultez Configuration de la réplication pour des compartiments dans des comptes distincts.

Si des objets stockés dans le compartiment source sont balisés, notez les points suivants :

Activation de la réception d’objets répliqués à partir d’un compartiment source

Au lieu d’ajouter manuellement la politique précédente à votre compartiment de destination, vous pouvez rapidement générer les politiques nécessaires pour activer la réception d’objets répliqués à partir d’un compartiment source via la console Amazon S3.

Modification du propriétaire d’un réplica

Si différents Comptes AWS propriétaires des compartiments source et de destination sont propriétaires, vous pouvez demander à Amazon S3 de remplacer le propriétaire de la réplique par Compte AWS celui qui détient le compartiment de destination. Pour plus d’informations sur l’option de substitution du propriétaire, consultez Modification du propriétaire d’un réplica.

Octroi d’autorisations pour les opérations par lots S3

La réplication par lot S3 vous permet de répliquer les objets suivants :

Vous pouvez créer une tâche de réplication par lot unique lors de la création de la première règle dans une nouvelle configuration de réplication ou de l’ajout d’une nouvelle destination à une configuration existante via la console Amazon S3. Vous pouvez également lancer la réplication par lot pour une configuration de réplication existante en créant une tâche d’opérations par lot.

Pour des exemples de politiques et de rôles IAM de réplication par lot, consultez Configuration d’un rôle IAM pour la réplication par lot S3.