Mereplikasi objek terenkripsi (SSE-S3, SSE -, -KMS, -C) DSSE KMS SSE

Untuk mereplikasi objek yang dienkripsi di sisi server (AWS CLI)

Untuk menggunakan contoh dalam prosedur ini, ganti user input placeholders dengan informasi Anda sendiri.

1. Dalam contoh ini, Anda membuat kedua sumber (amzn-s3-demo-source-bucket) dan tujuan (amzn-s3-demo-destination-bucket) ember dalam hal yang sama Akun AWS. Anda juga menetapkan profil kredensial untuk AWS CLI. Contoh ini menggunakan nama profil acctA.

   Untuk informasi tentang menyetel profil kredensi dan menggunakan profil bernama, lihat Pengaturan konfigurasi dan file kredensi di AWS Command Line Interface Panduan Pengguna.

2. Gunakan perintah berikut untuk membuat bucket amzn-s3-demo-source-bucket dan mengaktifkan Penentuan Versi di dalamnya. Contoh perintah berikut membuat bucket amzn-s3-demo-source-bucket di Wilayah AS Timur (Virginia Utara) (us-east-1).

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. Gunakan perintah berikut untuk membuat bucket amzn-s3-demo-destination-bucket dan mengaktifkan Penentuan Versi di dalamnya. Contoh perintah berikut membuat bucket amzn-s3-demo-destination-bucket di Wilayah AS Barat (Oregon) (us-west-2).

   catatan

   Untuk menyiapkan konfigurasi replikasi saat bucket amzn-s3-demo-source-bucket dan amzn-s3-demo-destination-bucket berada di Akun AWS yang sama, Anda menggunakan profil yang sama. Contoh ini menggunakan acctA. Untuk mengonfigurasi replikasi ketika bucket dimiliki oleh yang berbeda Akun AWS, Anda menentukan profil yang berbeda untuk masing-masing.

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

4. Selanjutnya, Anda membuat peran IAM layanan. Anda akan menentukan peran ini dalam konfigurasi replikasi yang Anda tambahkan ke amzn-s3-demo-source-bucket bucket nanti. Amazon S3 mengasumsikan peran ini untuk mereplikasi objek atas nama Anda. Anda membuat IAM peran dalam dua langkah:

   • Membuat peran layanan.

   • Lampirkan kebijakan izin pada peran tersebut.

   1. Untuk membuat peran IAM layanan, lakukan hal berikut:

      1. Salin kebijakan kepercayaan berikut dan simpan ke file bernama s3-role-trust-policy-kmsobj.json di direktori saat ini di komputer lokal Anda. Kebijakan ini memberikan izin utama layanan Amazon S3 untuk mengambil peran sehingga Amazon S3 dapat melakukan tugas atas nama Anda.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. Gunakan perintah berikut ini untuk membuat peran tersebut:

         $ aws iam create-role \
         --role-name replicationRolekmsobj \
         --assume-role-policy-document file://s3-role-trust-policy-kmsobj.json  \
         --profile acctA

   2. Selanjutnya, Anda melampirkan kebijakan izin pada peran tersebut. Kebijakan ini memberikan izin untuk berbagai bucket dan tindakan objek Amazon S3.

      1. Salin kebijakan kepercayaan berikut dan simpan di berkas dengan nama s3-role-permissions-policykmsobj.json di direktori saat ini di komputer lokal Anda. Anda akan membuat IAM peran dan melampirkan kebijakan itu nanti.

         penting

         Dalam kebijakan izin, Anda menentukan AWS KMS kunci IDs yang akan digunakan untuk enkripsi amzn-s3-demo-source-bucket dan amzn-s3-demo-destination-bucket bucket. Anda harus membuat dua KMS kunci terpisah untuk ember amzn-s3-demo-source-bucket dan amzn-s3-demo-destination-bucket ember. AWS KMS keys tidak dibagikan Wilayah AWS di luar tempat mereka diciptakan.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration",
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Effect":"Allow",
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket",
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ReplicateTags"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLikeIfExists":{
                        "s3:x-amz-server-side-encryption":[
                           "aws:kms",
                           "AES256",
                           "aws:kms:dsse"
                        ],
                        "s3:x-amz-server-side-encryption-aws-kms-key-id":[
                           "AWS KMS key IDs(in ARN format) to use for encrypting object replicas"  
                        ]
                     }
                  },
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               },
               {
                  "Action":[
                     "kms:Decrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-east-1.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs(in ARN format) used to encrypt source objects." 
                  ]
               },
               {
                  "Action":[
                     "kms:Encrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-west-2.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs (in ARN format) to use for encrypting object replicas" 
                  ]
               }
            ]
         }

      2. Buat kebijakan dan lampirkan ke peran tersebut.

         $ aws iam put-role-policy \
         --role-name replicationRolekmsobj \
         --policy-document file://s3-role-permissions-policykmsobj.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

5. Selanjutnya, tambahkan konfigurasi replikasi berikut ke bucket amzn-s3-demo-source-bucket. Ini memberi tahu Amazon S3 untuk mereplikasi objek dengan awalan Tax/ ke bucket amzn-s3-demo-destination-bucket.

   penting

   Dalam konfigurasi replikasi, Anda menentukan IAM peran yang dapat diasumsikan oleh Amazon S3. Anda dapat melakukannya hanya jika Anda memiliki izin iam:PassRole. Profil yang Anda tentukan dalam CLI perintah harus memiliki izin ini. Untuk informasi selengkapnya, lihat Memberikan izin pengguna untuk meneruskan peran ke Layanan AWS dalam IAMPanduan Pengguna.

    <ReplicationConfiguration>
     <Role>IAM-Role-ARN</Role>
     <Rule>
       <Priority>1</Priority>
       <DeleteMarkerReplication>
          <Status>Disabled</Status>
       </DeleteMarkerReplication>
       <Filter>
          <Prefix>Tax</Prefix>
       </Filter>
       <Status>Enabled</Status>
       <SourceSelectionCriteria>
         <SseKmsEncryptedObjects>
           <Status>Enabled</Status>
         </SseKmsEncryptedObjects>
       </SourceSelectionCriteria>
       <Destination>
         <Bucket>arn:aws:s3:::amzn-s3-demo-destination-bucket</Bucket>
         <EncryptionConfiguration>
           <ReplicaKmsKeyID>AWS KMS key IDs to use for encrypting object replicas</ReplicaKmsKeyID>
         </EncryptionConfiguration>
       </Destination>
     </Rule>
   </ReplicationConfiguration>

   Untuk menambahkan konfigurasi replikasi ke bucket amzn-s3-demo-source-bucket, lakukan hal berikut:

   1. Ini AWS CLI mengharuskan Anda untuk menentukan konfigurasi replikasi sebagaiJSON. Simpan berikut ini JSON dalam file (replication.json) di direktori saat ini di komputer lokal Anda.

      {
         "Role":"IAM-Role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
                  "Prefix":"Tax"
               },
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "EncryptionConfiguration":{
                     "ReplicaKmsKeyID":"AWS KMS key IDs (in ARN format) to use for encrypting object replicas"
                  }
               },
               "SourceSelectionCriteria":{
                  "SseKmsEncryptedObjects":{
                     "Status":"Enabled"
                  }
               }
            }
         ]
      }

   2. Edit JSON file untuk memberikan nilai untuk amzn-s3-demo-destination-bucket bucket,AWS KMS key IDs (in ARN format), danIAM-role-ARN. Simpan perubahan.

   3. Gunakan perintah berikut untuk menambahkan konfigurasi replikasi ke bucket amzn-s3-demo-source-bucket Anda. Pastikan untuk memberikan nama bucket amzn-s3-demo-source-bucket.

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

6. Uji konfigurasi untuk memverifikasi bahwa objek terenkripsi direplikasi. Di konsol Amazon S3, lakukan berikut ini:

   1. Masuk ke AWS Management Console dan buka konsol Amazon S3 di. https://console.aws.amazon.com/s3/

   2. Di bucket amzn-s3-demo-source-bucket, buat folder bernama Tax.

   3. Tambahkan objek sampel ke folder. Pastikan untuk memilih opsi enkripsi dan tentukan KMS kunci Anda untuk mengenkripsi objek.

   4. Verifikasi bahwa amzn-s3-demo-destination-bucket bucket berisi replika objek dan dienkripsi dengan menggunakan KMS kunci yang Anda tentukan dalam konfigurasi. Untuk informasi selengkapnya, lihat Mendapatkan informasi status replikasi.