Prasyarat untuk File S3

Anda memiliki AWS akun.

Anda memiliki sumber daya komputasi dan bucket tujuan umum S3 di Wil AWS ayah yang Anda inginkan tempat Anda ingin membuat sistem file Anda. Untuk informasi selengkapnya, lihat Membuat bucket tujuan umum.

Bucket S3 Anda telah mengaktifkan pembuatan versi. S3 Files memerlukan S3 Versioning untuk menyinkronkan perubahan antara sistem file Anda dan bucket S3 Anda. Untuk informasi selengkapnya, lihat Mengaktifkan Penentuan Versi pada bucket.

Bucket S3 Anda harus menggunakan salah satu jenis enkripsi berikut: Server-side enkripsi dengan kunci terkelola Amazon S3 (SSE-S3) atau Server-side enkripsi dengan AWS kunci Layanan Manajemen AWS Kunci (KMS) (SSE-KMS).

Akses terminal untuk instans Amazon EC2 Anda melalui Secure Shell (SSH), dan masuk dengan nama pengguna yang sesuai. Untuk informasi selengkapnya, lihat Menghubungkan ke instans EC2 Anda di Panduan Pengguna Amazon Elastic Compute Cloud.

Bagi mereka yang menggunakan Amazon Linux, lakukan hal berikut untuk menginstal efs-utils dari repositori Amazon:

sudo yum -y install amazon-efs-utils

Jika Anda menggunakan distribusi Linux lain yang didukung, Anda dapat melakukan hal berikut:

curl https://amazon-efs-utils.aws.com/efs-utils-installer.sh | sudo sh -s -- --install

Untuk distribusi Linux lainnya, lihat Di distribusi Linux lainnya di amazon-efs-utils README pada. GitHub

Mengakses bucket Anda dari sistem file

Melampirkan sistem file Anda ke sumber daya AWS komputasi

Kebijakan sebaris sebagai berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions"
            ],
            "Resource": "arn:aws:s3:::bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:List*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithS3Files",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.region.amazonaws.com",
                    "kms:EncryptionContext:aws:s3:arn": [
                        "arn:aws:s3:::bucket",
                        "arn:aws:s3:::bucket/*"
                    ]
                }
            },
            "Resource": "arn:aws:kms:region:accountId:*"
        },
        {
            "Sid": "EventBridgeManage",
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:DisableRule",
                "events:EnableRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "elasticfilesystem.amazonaws.com"
                }
            },
            "Resource": [
                "arn:aws:events:*:*:rule/DO-NOT-DELETE-S3-Files*"
            ]
        },
        {
            "Sid": "EventBridgeRead",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/*"
            ]
        }
    ]
}

Ganti nilai placeholder dengan nilai Anda sendiri.

Kebijakan kepercayaan yang memungkinkan File S3 untuk mengambil peran IAM. Tambahkan kebijakan kepercayaan berikut ke peran IAM untuk memungkinkan layanan File S3 mengasumsikannya. Ganti accountId dan region dengan nilai-nilai Anda.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3FilesAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountId"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3files:region:accountId:file-system/*"
                }
            }
        }
    ]
}

Izin sumber daya komputasi untuk terhubung dan berinteraksi dengan sistem file S3

Peran IAM harus menyertakan izin untuk mount helper untuk terhubung ke dan berinteraksi dengan sistem file S3. Anda dapat melampirkan kebijakan AWS terkelola seperti AmazonS3FilesClientFullAccess kebijakan terkelola jika Anda ingin memberikan akses baca dan tulis penuh sumber daya komputasi ke sistem file S3 Anda atau AmazonS3FilesClientReadOnlyAccess untuk akses baca-saja. Anda juga dapat melampirkan kebijakan AmazonElasticFileSystemsUtils terkelola jika ingin mengaktifkan CloudWatch pemantauan Amazon. Untuk informasi selengkapnya dan daftar lengkap kebijakan terkelola yang tersedia untuk File S3, lihat kebijakan AWS terkelola untuk File Amazon S3. Anda juga dapat memberikan izin ini dengan menambahkan izin IAM individual seperti s3files:ClientMount atau s3files:ClientWrite (tidak diperlukan untuk koneksi baca-saja) ke peran IAM sumber daya komputasi Anda.

Kebijakan sebaris yang memberikan akses baca sumber daya komputasi ke objek S3

Tambahkan kebijakan sebaris berikut ke peran IAM. Kebijakan ini memberikan izin sumber daya komputasi untuk langsung membaca objek dari bucket S3 tertaut di akun yang sama untuk mengoptimalkan kinerja baca. Ganti bucket dengan nama bucket S3 Anda atau nama bucket dengan awalan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket/*"
        },
        {
            "Sid": "S3BucketListAccess",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}