Utilizzo di un rapporto di inventario per copiare gli oggetti Account AWS

Per configurare Amazon S3 Inventory per bucket di origine e di destinazione di proprietà di account diversi

1. Accedi a AWS Management Console e apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/

2. Nel pannello di navigazione a sinistra, scegli Buckets (Bucket).

3. Scegli (o crea) un bucket del manifesto di destinazione in cui archiviare il report di inventario. In questa procedura, l’account di destinazione è l’account che possiede sia il bucket manifest di destinazione sia il bucket in cui vengono copiati gli oggetti.

4. Configura un report di inventario per un bucket di origine. Per informazioni su come utilizzare la console per configurare un inventario o su come crittografare il file dell'elenco inventario, consulta Configurazione di Amazon S3 Inventory.

   Quando si configura il report di inventario, si specifica il bucket di destinazione in cui si desidera memorizzare l'elenco. Il rapporto di inventario per il bucket di origine viene pubblicato nel bucket di destinazione. In questa procedura, l'account di origine è l'account che possiede il bucket di origine.

   Scegliere CSV come formato di output.

   Quando si inseriscono le informazioni per il bucket di destinazione, scegliere Buckets in another account (Bucket in un altro account). Quindi inserire il nome del bucket manifest di destinazione. Facoltativamente, è possibile inserire l'ID account dell'account di destinazione.

   Una volta salvata la configurazione dell'inventario, la console visualizza un messaggio simile al seguente:

   Amazon S3 could not create a bucket policy on the destination bucket. Ask the destination bucket owner to add the following bucket policy to allow Amazon S3 to place data in that bucket.

   La console visualizza quindi una policy di bucket che può essere usata per il bucket di destinazione.

5. Copiare la policy del bucket di destinazione visualizzata sulla console.

6. Nell'account di destinazione, aggiungere la policy di bucket copiata nel bucket manifesto di destinazione in cui è memorizzato il report di inventario.

7. Creare un ruolo nell'account di destinazione basato sulla policy di attendibilità delle operazioni in batch S3. Per ulteriori informazioni su questa policy di attendibilità, consulta Policy di trust.

   Per ulteriori informazioni sulla creazione di un ruolo, consulta Creazione di un ruolo per delegare le autorizzazioni a Servizio AWS nella Guida all'utente IAM.

   Immetti un nome per il ruolo (il seguente esempio di ruolo utilizza il nome BatchOperationsDestinationRoleCOPY). Scegli il servizio S3, quindi scegli il caso d'uso Operazioni in batch S3, che applica la policy di attendibilità al ruolo.

   Scegli quindi Crea policy per associare la seguente policy al ruolo. Per utilizzare questa policy, sostituisci user input placeholders con le tue informazioni.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowBatchOperationsDestinationObjectCOPY",
         "Effect": "Allow",
         "Action": [
           "s3:PutObject",
           "s3:PutObjectVersionAcl",
           "s3:PutObjectAcl",
           "s3:PutObjectVersionTagging",
           "s3:PutObjectTagging",
           "s3:GetObject",
           "s3:GetObjectVersion",
           "s3:GetObjectAcl",
           "s3:GetObjectTagging",
           "s3:GetObjectVersionAcl",
           "s3:GetObjectVersionTagging"
         ],
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-destination-bucket/*",
           "arn:aws:s3:::amzn-s3-demo-source-bucket/*",
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*"
         ]
       }
     ]
   }

   Il ruolo usa la policy per concedere l’autorizzazione batchoperations.s3.amazonaws.com per leggere il manifest nel bucket di destinazione. Concede inoltre autorizzazioni agli GET oggetti, alle liste di controllo degli accessi (ACLs), ai tag e alle versioni nel bucket degli oggetti di origine. Inoltre, concede le autorizzazioni agli PUT oggetti ACLs, ai tag e alle versioni nel bucket degli oggetti di destinazione.

8. Nell'account di origine, crea una policy per il bucket di origine che conceda le autorizzazioni del ruolo creato nel passaggio precedente agli GET oggetti ACLs, ai tag e alle versioni nel bucket di origine. Questa fase consente alle operazioni in batch S3 di ottenere oggetti dal bucket di origine tramite il ruolo trusted.

   Segue un esempio della policy di bucket per l’account di origine. Per utilizzare questa policy, sostituisci user input placeholders con le tue informazioni.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowBatchOperationsSourceObjectCOPY",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::DestinationAccountNumber:role/BatchOperationsDestinationRoleCOPY"
         },
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion",
           "s3:GetObjectAcl",
           "s3:GetObjectTagging",
           "s3:GetObjectVersionAcl",
           "s3:GetObjectVersionTagging"
         ],
         "Resource": "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
       }
     ]
   }

9. Una volta che il report di inventario è disponibile, crea un processo di copia (CopyObject) di Operazioni in batch S3 nell'account di destinazione e scegli il report di inventario dal bucket manifesto di destinazione. È necessario l'ARN del ruolo IAM creato nell'account di destinazione.

   Per informazioni generali sulla creazione di un processo, consultare Creazione di un processo di operazioni in batch S3.

   Per informazioni sulla creazione di un processo tramite la console, consulta Creazione di un processo di operazioni in batch S3.