Prerequisiti per i file S3

Hai un AWS account.

Hai una risorsa di elaborazione e un bucket S3 generico nella AWS regione desiderata in cui desideri creare il tuo file system. Per ulteriori informazioni, consulta Creazione di un bucket per uso generico.

Il controllo delle versioni del bucket S3 è abilitato. S3 Files richiede S3 Versioning per sincronizzare le modifiche tra il file system e il bucket S3. Per ulteriori informazioni, consulta Abilitazione della funzione Controllo delle versioni sui bucket.

Il bucket S3 deve utilizzare uno dei seguenti tipi di crittografia: Server-side crittografia con chiavi gestite Amazon S3 (SSE-S3) o Server-side crittografia con AWS chiavi KMS () ().AWS SSE-KMS

Accedi al terminale per la tua istanza Amazon EC2 tramite Secure Shell (SSH) e accedi con il nome utente appropriato. Per ulteriori informazioni, consulta Connessione alla tua istanza EC2 nella Amazon Elastic Compute Cloud User Guide.

Per chi utilizza Amazon Linux, procedi come segue per installare efs-utils dai repository di Amazon:

sudo yum -y install amazon-efs-utils

Se usi altre distribuzioni Linux supportate, puoi fare quanto segue:

curl https://amazon-efs-utils.aws.com/efs-utils-installer.sh | sudo sh -s -- --install

Per altre distribuzioni Linux, consulta Su altre distribuzioni Linux nel file README di amazon-efs-utils attivo. GitHub

Accesso al bucket dal file system

Collegare il file system alle risorse di calcolo AWS

Una politica in linea come segue:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions"
            ],
            "Resource": "arn:aws:s3:::bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:List*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithS3Files",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.region.amazonaws.com",
                    "kms:EncryptionContext:aws:s3:arn": [
                        "arn:aws:s3:::bucket",
                        "arn:aws:s3:::bucket/*"
                    ]
                }
            },
            "Resource": "arn:aws:kms:region:accountId:*"
        },
        {
            "Sid": "EventBridgeManage",
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:DisableRule",
                "events:EnableRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "elasticfilesystem.amazonaws.com"
                }
            },
            "Resource": [
                "arn:aws:events:*:*:rule/DO-NOT-DELETE-S3-Files*"
            ]
        },
        {
            "Sid": "EventBridgeRead",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/*"
            ]
        }
    ]
}

Sostituisci i valori segnaposto con i tuoi valori.

Una politica di fiducia che consente a S3 Files di assumere il ruolo IAM. Aggiungi la seguente politica di fiducia al ruolo IAM per consentire al servizio S3 Files di assumerlo. Sostituisci accountId e region con i tuoi valori.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3FilesAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountId"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3files:region:accountId:file-system/*"
                }
            }
        }
    ]
}

Autorizzazioni per la risorsa di elaborazione per connettersi e interagire con i file system S3

Il ruolo IAM deve includere le autorizzazioni per consentire al mount helper di connettersi e interagire con i file system S3. È possibile allegare una policy AWS gestita, ad esempio AmazonS3FilesClientFullAccess managed policy, se si desidera concedere alla risorsa di calcolo l'accesso completo in lettura e scrittura al file system S3 o l'accesso in sola lettura. AmazonS3FilesClientReadOnlyAccess Puoi anche allegare la policy AmazonElasticFileSystemsUtils gestita se desideri abilitare il monitoraggio di Amazon. CloudWatch Per ulteriori informazioni e un elenco completo delle politiche gestite disponibili per i file S3, consulta le politiche AWS gestite per Amazon S3 Files. Puoi fornire queste autorizzazioni anche aggiungendo autorizzazioni IAM individuali come s3files:ClientMount or s3files:ClientWrite (non obbligatorio per le connessioni di sola lettura) al ruolo IAM della tua risorsa di calcolo.

Una policy in linea che concede alla risorsa di calcolo l'accesso in lettura agli oggetti S3

Aggiungi la seguente policy in linea al ruolo IAM. Questa policy concede alle risorse di calcolo le autorizzazioni per leggere direttamente gli oggetti dal bucket S3 collegato nello stesso account per ottimizzare le prestazioni di lettura. Sostituisci bucket con il nome del bucket S3 o il nome del bucket con prefisso.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket/*"
        },
        {
            "Sid": "S3BucketListAccess",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}