Prerequisiti per i file S3

Hai un AWS account.

Disponi di una risorsa di elaborazione e di un bucket S3 per uso generico nella AWS regione desiderata in cui desideri creare il file system. Per ulteriori informazioni, consulta Creazione di un bucket per uso generico.

Il tuo bucket S3 ha il controllo delle versioni abilitato. S3 Files richiede S3 Versioning per sincronizzare le modifiche tra il file system e il bucket S3. Per ulteriori informazioni, consulta Abilitazione della funzione Controllo delle versioni sui bucket.

Il tuo bucket S3 deve utilizzare uno dei seguenti tipi di crittografia: Server-side crittografia con chiavi gestite Amazon S3 SSE-S3 () Server-side o crittografia AWS con chiavi Key Management Service AWS (KMS) (). SSE-KMS

Accedi al terminale per la tua istanza Amazon EC2 tramite Secure Shell (SSH) e accedi con il nome utente appropriato. Per ulteriori informazioni, consulta Connect alla tua istanza EC2 nella Amazon Elastic Compute Cloud User Guide.

Se usi Amazon Linux, procedi come segue per installare efs-utils dai repository di Amazon:

sudo yum -y install amazon-efs-utils

Se usi altre distribuzioni Linux supportate, puoi fare quanto segue:

curl https://amazon-efs-utils.aws.com/efs-utils-installer.sh | sudo sh -s -- --install

Per altre distribuzioni Linux, consulta Su altre distribuzioni Linux nel file README di amazon-efs-utils su. GitHub

Accedere al bucket dal file system

Collegamento del file system alle risorse di calcolo AWS

Una politica in linea come segue:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions"
            ],
            "Resource": "arn:aws:s3:::bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:List*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithS3Files",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.region.amazonaws.com",
                    "kms:EncryptionContext:aws:s3:arn": [
                        "arn:aws:s3:::bucket",
                        "arn:aws:s3:::bucket/*"
                    ]
                }
            },
            "Resource": "arn:aws:kms:region:accountId:*"
        },
        {
            "Sid": "EventBridgeManage",
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:DisableRule",
                "events:EnableRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "elasticfilesystem.amazonaws.com"
                }
            },
            "Resource": [
                "arn:aws:events:*:*:rule/DO-NOT-DELETE-S3-Files*"
            ]
        },
        {
            "Sid": "EventBridgeRead",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/*"
            ]
        }
    ]
}

Sostituisci i valori segnaposto con i tuoi valori.

Una politica di fiducia che consente a S3 Files di assumere il ruolo IAM. Aggiungi la seguente policy di fiducia al ruolo IAM per consentire al servizio S3 Files di assumerlo. Sostituisci accountId e region con i tuoi valori.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3FilesAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountId"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3files:region:accountId:file-system/*"
                }
            }
        }
    ]
}

Autorizzazioni per la risorsa di calcolo a connettersi e interagire con i file system S3

Il ruolo IAM deve includere le autorizzazioni per consentire al mount helper di connettersi e interagire con i file system S3. Puoi allegare una policy AWS gestita, ad esempio una policy AmazonS3FilesClientFullAccess gestita, se desideri concedere alla risorsa di calcolo l'accesso completo in lettura e scrittura al tuo file system S3 o l'accesso in sola lettura. AmazonS3FilesClientReadOnlyAccess Puoi anche allegare la policy AmazonElasticFileSystemsUtils gestita se desideri abilitare il CloudWatch monitoraggio di Amazon. Per ulteriori informazioni e un elenco completo delle politiche gestite disponibili per i file S3, consulta le politiche AWS gestite per Amazon S3 Files. Puoi anche fornire queste autorizzazioni aggiungendo autorizzazioni IAM individuali come s3files:ClientMount o s3files:ClientWrite (non richiesto per le connessioni di sola lettura) al ruolo IAM della tua risorsa di calcolo.

Una policy in linea che garantisce alla risorsa di calcolo l'accesso in lettura agli oggetti S3

Aggiungi la seguente policy in linea al ruolo IAM. Questa policy concede alle risorse di calcolo le autorizzazioni per leggere direttamente gli oggetti dal bucket S3 collegato nello stesso account per ottimizzare le prestazioni di lettura. Sostituiscilo bucket con il nome del bucket S3 o il nome del bucket con prefisso.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket/*"
        },
        {
            "Sid": "S3BucketListAccess",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}