S3 バッチオペレーションジョブの作成

次のコマンドを使用して AWS Identity and Access Management (IAM) ロールを作成してから、IAM ポリシーを作成して関連するアクセス許可を割り当てます。次のロールとポリシーは、オブジェクト タグを追加するための Amazon S3 アクセス許可を付与します。このアクセス許可は、以降のステップでジョブを作成する際に必要になります。

1. 次のコマンド例を使用して、バッチオペレーションで使用する IAM ロールを作成します。このコマンド例を使用するには、S3BatchJobRole をロールにつける名前に置き換えます。

   aws iam create-role \
    --role-name S3BatchJobRole \
    --assume-role-policy-document '{
      "Version":"2012-10-17",
      "Statement":[
         {
            "Effect":"Allow",
            "Principal":{
               "Service":"batchoperations.s3.amazonaws.com"
            },
            "Action":"sts:AssumeRole"
         }
      ]
   }'

   ロールの Amazon リソースネーム (ARN) を記録します。ジョブの作成時にこの ARN が必要となります。

2. 次のコマンド例を使用して、必要なアクセス許可を持つ IAM ポリシーを作成して、前の手順で作成した IAM ロールにアタッチします。必要なアクセス権限の詳細については、「バッチオペレーションに対するアクセス許可の付与」を参照してください。

   注記

   ディレクトリバケットに対してアクションを実行するバッチオペレーションジョブには、特定のアクセス許可が必要です。詳細については、S3 Express One Zone 向け AWS Identity and Access Management (IAM)」を参照してください。

   このサンプルコマンドを使用するには、user input placeholders を次のとおり置き換えます。

   • S3BatchJobRole は、IAM ロール名に置き換えます。この名前が以前に使用した名前と一致することを確認します。

   • PutObjectTaggingBatchJobPolicy は、IAM ポリシーにつける名前に置き換えます。

   • amzn-s3-demo-destination-bucket は、タグを付けるオブジェクトがあるバケット名と置き換えます。

   • amzn-s3-demo-manifest-bucket は、マニフェストがあるバケットの名前と置き換えます。

   • amzn-s3-demo-completion-report-bucket は、完了レポートの配信先のバケット名と置き換えます。

   aws iam put-role-policy \
     --role-name S3BatchJobRole \
     --policy-name PutObjectTaggingBatchJobPolicy \
     --policy-document '{
     "Version":"2012-10-17",
     "Statement":[
       {
         "Effect":"Allow",
         "Action":[
           "s3:PutObjectTagging",
           "s3:PutObjectVersionTagging"
         ],
         "Resource": "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion",
           "s3:GetBucketLocation"
         ],
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket",
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*"
         ]
       },
       {
         "Effect":"Allow",
         "Action":[
           "s3:PutObject",
           "s3:GetBucketLocation"
         ],
         "Resource":[
           "arn:aws:s3:::amzn-s3-demo-completion-report-bucket",
           "arn:aws:s3:::amzn-s3-demo-completion-report-bucket/*"
         ]
       }
     ]
   }'

次のコマンド例を使用して、S3PutObjectTagging ジョブを作成します。

manifest.csv ファイルは、バケットのリストとオブジェクトキー値を提供します。このジョブは、マニフェストで識別されたオブジェクトに指定されたタグを適用します。ETag は manifest.csv オブジェクトの ETag であり、Amazon S3 コンソールから取得できます。このリクエストは no-confirmation-required パラメータを指定するため、update-job-status コマンドで確認しなくてもジョブを実行できます。詳細については、AWS CLI コマンドリファレンスの「create-job」を参照してください。

このコマンド例を実行するには、user input placeholders をユーザー自身の情報に置き換えます。IAM-role を先ほど作成した IAM ロールの ARN に置き換えます。

aws s3control create-job \
    --region us-west-2 \
    --account-id acct-id \
    --operation '{"S3PutObjectTagging": { "TagSet": [{"Key":"keyOne", "Value":"ValueOne"}] }}' \
    --manifest '{"Spec":{"Format":"S3BatchOperations_CSV_20180820","Fields":["Bucket","Key"]},"Location":{"ObjectArn":"arn:aws:s3:::amzn-s3-demo-manifest-bucket/manifest.csv","ETag":"60e460c9d1046e73f7dde5043ac3ae85"}}' \
    --report '{"Bucket":"arn:aws:s3:::amzn-s3-demo-completion-report-bucket","Prefix":"final-reports", "Format":"Report_CSV_20180820","Enabled":true,"ReportScope":"AllTasks"}' \
    --priority 42 \
    --role-arn IAM-role \
    --client-request-token $(uuidgen) \
    --description "job description" \
    --no-confirmation-required

応答として、Amazon S3 はジョブ ID (など 00e123a4-c0d8-41f4-a0eb-b46f9ba5b07c) を返します。ジョブの識別、モニタリング、変更にはこのジョブ ID が必要です。

次のコマンドを使用して AWS Identity and Access Management (IAM) ロールを作成してから、IAM ポリシーを作成してアクセス許可を割り当てます。次のロールとポリシーは、オブジェクト タグを削除するための Amazon S3 アクセス許可を付与します。このアクセス許可は、以降のステップでジョブを作成する際に必要になります。

1. 次のコマンド例を使用して、バッチオペレーションで使用する IAM ロールを作成します。このコマンド例を使用するには、S3BatchJobRole をロールにつける名前に置き換えます。

   aws iam create-role \
    --role-name S3BatchJobRole \
    --assume-role-policy-document '{
      "Version":"2012-10-17",
      "Statement":[
         {
            "Effect":"Allow",
            "Principal":{
               "Service":"batchoperations.s3.amazonaws.com"
            },
            "Action":"sts:AssumeRole"
         }
      ]
   }'

   ロールの Amazon リソースネーム (ARN) を記録します。ジョブの作成時にこの ARN が必要となります。

2. 次のコマンド例を使用して、必要なアクセス許可を持つ IAM ポリシーを作成して、前の手順で作成した IAM ロールにアタッチします。必要なアクセス権限の詳細については、「バッチオペレーションに対するアクセス許可の付与」を参照してください。

   注記

   ディレクトリバケットに対してアクションを実行するバッチオペレーションジョブには、特定のアクセス許可が必要です。詳細については、S3 Express One Zone 向け AWS Identity and Access Management (IAM)」を参照してください。

   このサンプルコマンドを使用するには、user input placeholders を次のとおり置き換えます。

   • S3BatchJobRole は、IAM ロール名に置き換えます。この名前が以前に使用した名前と一致することを確認します。

   • DeleteObjectTaggingBatchJobPolicy は、IAM ポリシーにつける名前に置き換えます。

   • amzn-s3-demo-destination-bucket は、タグを付けるオブジェクトがあるバケット名と置き換えます。

   • amzn-s3-demo-manifest-bucket は、マニフェストの保存先バケット名と置き換えます。

   • amzn-s3-demo-completion-report-bucket は、完了レポートの配信先のバケット名と置き換えます。

   aws iam put-role-policy \
     --role-name S3BatchJobRole \
     --policy-name DeleteObjectTaggingBatchJobPolicy \
     --policy-document '{
     "Version":"2012-10-17",
     "Statement":[
       {
         "Effect":"Allow",
         "Action":[
           "s3:DeleteObjectTagging",
           "s3:DeleteObjectVersionTagging"
         ],
         "Resource": "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
       },
       {
         "Effect":"Allow",
         "Action":[
           "s3:PutInventoryConfiguration"
         ],
         "Resource": "arn:aws:s3:::amzn-s3-demo-destination-bucket"
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket",
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*"
         ]
       },
       {
         "Effect":"Allow",
         "Action":[
           "s3:PutObject",
           "s3:ListBucket"
         ],
         "Resource":[
           "arn:aws:s3:::amzn-s3-demo-completion-report-bucket",
           "arn:aws:s3:::amzn-s3-demo-completion-report-bucket/*",
           "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*"
         ]
       }
     ]
   }'

次のコマンド例を使用して、S3DeleteObjectTagging ジョブを作成します。

この例では、--report セクション内の値によって、生成されるジョブレポートのバケット、プレフィックス、形式、範囲が指定されます。--manifest-generator セクションでは、ジョブの対象となるオブジェクトを含むソースバケットに関する情報、ジョブに対して生成されるマニフェスト出力リストに関する情報、マニフェストに含めるオブジェクトの範囲を作成日、名前の制約、サイズ、ストレージクラスによって絞り込むためのフィルター条件を指定します。このコマンドでは、ジョブの優先度、IAM ロール、AWS リージョン も指定します。

詳細については、AWS CLI コマンドリファレンスの「create-job」を参照してください。

このコマンド例を実行するには、user input placeholders をユーザー自身の情報に置き換えます。IAM-role を先ほど作成した IAM ロールの ARN に置き換えます。

aws s3control create-job \
    --account-id 012345678901 \
    --operation '{
        "S3DeleteObjectTagging": {}
    }' \
    --report '{
        "Bucket":"arn:aws:s3:::amzn-s3-demo-completion-report-bucket",
        "Prefix":"reports", 
        "Format":"Report_CSV_20180820",
        "Enabled":true,
        "ReportScope":"AllTasks"
    }' \
    --manifest-generator '{
        "S3JobManifestGenerator": {
          "ExpectedBucketOwner": "012345678901",
          "SourceBucket": "arn:aws:s3:::amzn-s3-demo-source-bucket",
          "EnableManifestOutput": true,
          "ManifestOutputLocation": {
            "ExpectedManifestBucketOwner": "012345678901",
            "Bucket": "arn:aws:s3:::amzn-s3-demo-manifest-bucket",
            "ManifestPrefix": "prefix",
            "ManifestFormat": "S3InventoryReport_CSV_20211130"
          },
          "Filter": {
            "CreatedAfter": "2023-09-01",
            "CreatedBefore": "2023-10-01",
            "KeyNameConstraint": {
              "MatchAnyPrefix": [
                "prefix"
              ],
              "MatchAnySuffix": [
                "suffix"
              ]
            },
            "ObjectSizeGreaterThanBytes": 100,
            "ObjectSizeLessThanBytes": 200,
            "MatchAnyStorageClass": [
              "STANDARD",
              "STANDARD_IA"
            ]
          }
        }
      }' \
     --priority 2 \
     --role-arn IAM-role \
     --region us-east-1

応答として、Amazon S3 はジョブ ID (など 00e123a4-c0d8-41f4-a0eb-b46f9ba5b07c) を返します。ジョブの識別、モニタリング、変更にはこのジョブ ID が必要です。