# Copiar objetos Você pode usar o Operações em Lote do Amazon S3 para executar operações em lote de grande escala em objetos do Amazon S3. A operação **Copiar** do Operações em Lote copia cada objeto especificado no manifesto. É possível copiar objetos em um bucket na mesma Região da AWS ou em um bucket em outra região. O recurso Operações em lote do S3 é compatível com a maioria das opções disponíveis no Amazon S3 para copiar objetos. Essas opções incluem a configuração de metadados de objetos e permissões e a alteração da classe de armazenamento de um objeto. É possível usar a operação **Copiar** para copiar objetos não criptografados existentes e gravá-los de volta no mesmo bucket que os objetos criptografados. Para obter mais informações, consulte [Criptografia de objetos existentes com o Amazon S3 Batch Operations](https://aws.amazon.com/blogs/storage/encrypting-objects-with-amazon-s3-batch-operations/). Ao copiar objetos, você pode alterar o algoritmo de soma de verificação usado para calcular a soma de verificação do objeto. Se os objetos não tiverem uma soma de verificação adicional calculada, você também poderá adicionar uma especificando o algoritmo de soma de verificação a ser usado pelo Amazon S3. Para obter mais informações, consulte [Verificar a integridade do objeto no Amazon S3](checking-object-integrity.md). Consulte mais informações sobre como copiar objetos no Amazon S3, bem como parâmetros obrigatórios e opcionais em [Copiar, mover e renomear objetos](copy-object.md) neste guia e em [https://docs.aws.amazon.com/AmazonS3/latest/API/API_CopyObject.html](https://docs.aws.amazon.com/AmazonS3/latest/API/API_CopyObject.html) na *Referência de API do Amazon Simple Storage Service*. ## Restrições e limitações Quando você usa a operação **Copiar** do Operações em Lote, as seguintes restrições e limitações se aplicam: + Todos os objetos de origem devem estar em um só bucket. + Todos os objetos de destino devem estar em um só bucket. + Você deve ler todas as permissões para o bucket de origem e gravar permissões para o bucket de destino. + Os objetos a serem copiados devem ter até 5 GB. + Ao tentar copiar objetos das classes S3 Glacier Flexible Retrieval ou S3 Glacier Deep Archive para a classe de armazenamento S3 Standard, primeiro você deverá restaurar esses objetos. Para obter mais informações, consulte [Restaurar um objeto arquivado](restoring-objects.md). + É necessário criar trabalhos **Copiar** do Operações em Lote na região de destino, que é a região para a qual você pretende copiar os objetos. + Todas as opções `CopyObject` são compatíveis, exceto para verificações condicionais em tags de entidade (ETags) e criptografia do lado do servidor com chaves de criptografia fornecidas pelo cliente (SSE-C). + Se o bucket de destino não tiver versionamento, você deverá substituir os objetos que têm os mesmos nomes de chave. + Os objetos não são necessariamente copiados na mesma ordem em que são listados no manifesto. Para buckets com versionamento, se preservar a ordem de versão atual ou não atual for importante, copie todas as versões não atuais primeiro. Em seguida, após a conclusão do primeiro trabalho, copie as versões atuais em um trabalho subsequente. + A cópia de objetos na classe Reduced Redundancy Storage (RRS) não é compatível. + Um único trabalho de cópia do recurso Operações em Lote pode comportar um manifesto com até 20 bilhões de objetos. # Copiar objetos usando o S3 Batch Operations Você pode usar o Operações em Lote do Amazon S3 para executar operações em lote de grande escala em objetos do Amazon S3. É possível usar o Operações em Lote do S3 para criar um trabalho **Copiar** (`CopyObject`) para copiar objetos dentro da mesma conta ou para uma conta de destino diferente. Os exemplos a seguir mostram como armazenar e usar um manifesto que está em uma conta diferente. O primeiro exemplo mostra como você pode usar o Inventário Amazon S3 para entregar o relatório de inventário à conta de destino para uso durante a criação do trabalho. O segundo exemplo mostra como usar um manifesto de valores separados por vírgula (CSV) na conta de origem ou de destino. O terceiro exemplo mostra como usar a operação **Copiar** para habilitar chaves de bucket do S3 para objetos que foram criptografados com a criptografia do lado do servidor com chaves do AWS Key Management Service (AWS KMS) (SSE-KMS). **Topics** + [ # Uso de um relatório de inventário para copiar objetos entre Contas da AWS ](specify-batchjob-manifest-xaccount-inventory.md) + [ # Uso de um manifesto CSV para copiar objetos entre Contas da AWS ](specify-batchjob-manifest-xaccount-csv.md) + [ # Usar o Operações em Lote para habilitar chaves de bucket do S3 para SSE-KMS ](batch-ops-copy-example-bucket-key.md) # Uso de um relatório de inventário para copiar objetos entre Contas da AWS Você pode usar o Operações em Lote do Amazon S3 para executar operações em lote de grande escala em objetos do Amazon S3. É possível usar o Operações em Lote do S3 para criar um trabalho **Copiar** (`CopyObject`) para copiar objetos dentro da mesma conta ou para uma conta de destino diferente. Você pode usar o Inventário Amazon S3 para criar um relatório de inventário e usá-lo para criar uma lista (manifesto) de objetos a serem copiados com o Operações em Lote do S3. Para obter mais informações sobre como usar um manifesto CSV na conta de origem ou destino, consulte [Uso de um manifesto CSV para copiar objetos entre Contas da AWS](specify-batchjob-manifest-xaccount-csv.md). O inventário do Amazon S3 gera inventários dos objetos em um bucket. A lista resultante é publicada em um arquivo de saída. O bucket do qual foi feito o inventário é chamado de bucket de origem e o bucket no qual o relatório de inventário é armazenado é chamado de bucket de destino. O relatório do Amazon S3 Inventory pode ser configurado para ser entregue a outra Conta da AWS. Fazer isso permite que o Operações em Lote do S3 leia o relatório de inventário quando o trabalho é criado na conta de destino. Para obter mais informações sobre os buckets de origem e destino do inventário do Amazon S3, consulte [Buckets de origem e destino](storage-inventory.md#storage-inventory-buckets). A maneira mais fácil de configurar um inventário é usando o console do Amazon S3, mas você também pode usar a API REST do Amazon S3, a AWS Command Line Interface (AWS CLI) ou SDKs da AWS. O procedimento de console a seguir contém as etapas de alto nível para configurar permissões para um trabalho de operações em lote do S3. Neste procedimento, você copia objetos de uma conta de origem para uma conta de destino, com o relatório de inventário armazenado na conta de destino. **Como configurar o Amazon S3 Inventory para buckets de origem e de destino que são de propriedade de diferentes contas** 1. Faça login no Console de gerenciamento da AWS e abra o console do Amazon S3 em [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. No painel de navegação à esquerda, escolha **Buckets**. 1. Escolha (ou crie) um bucket de manifesto de destino para armazenar o relatório de inventário. Neste procedimento, a *conta de destino* é a conta que possui tanto o bucket de manifesto de destino como o bucket no qual os objetos são copiados. 1. Configure um relatório de inventário para um bucket de origem. Para obter informações sobre como usar o console para configurar um inventário ou sobre como criptografar um arquivo de lista de inventário, consulte [Configurar o inventário do Amazon S3](configure-inventory.md). Ao configurar o relatório de inventário, você especifica o bucket de destino no qual deseja que a lista seja armazenada. O relatório de inventário para o bucket de origem é publicado no bucket de destino. Neste procedimento, a *conta de origem* é a conta que possui o bucket de origem. Selecione **CSV** para o formato de saída. Ao inserir informações para o bucket de destino, selecione **Buckets in another account (Buckets em outra conta)**. Em seguida, insira o nome do bucket do manifesto de destino. Se preferir, você poderá inserir o ID da conta de destino. Após salvar a configuração do inventário, o console exibirá uma mensagem semelhante à seguinte: O Amazon S3 não conseguiu criar uma política de bucket no bucket de destino. Peça para o proprietário do bucket de destino adicionar a política de bucket a seguir a fim de permitir que o Amazon S3 insira dados nele. O console exibirá, então, uma política de bucket que pode ser usada para o bucket de destino. 1. Copie a política do bucket de destino que aparece no console. 1. Na conta de destino, adicione a política de bucket copiada ao bucket do manifesto de destino no qual o relatório de inventário está armazenado. 1. Crie uma função na conta de destino baseada na política de confiança do recurso Operações em lote do S3. Consulte mais informações sobre essa política de confiança em [Política de confiança](batch-ops-iam-role-policies.md#batch-ops-iam-role-policies-trust). Consulte mais informações sobre como criar um perfil em [Criar um perfil para delegar permissões a um AWS service (Serviço da AWS)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) no *Guia do usuário do IAM*. Insira um nome para o perfil (o perfil do exemplo a seguir usa o nome *`BatchOperationsDestinationRoleCOPY`*). Escolha o serviço **S3** e selecione o caso de uso **Operações em Lote do S3**, que aplica a política de confiança ao perfil. Em seguida, selecione **Create policy (Criar política)** para anexar a política a seguir à função. Para usar essa política, substitua os *`user input placeholders`* por suas próprias informações. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsDestinationObjectCOPY", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:PutObjectVersionAcl", "s3:PutObjectAcl", "s3:PutObjectVersionTagging", "s3:PutObjectTagging", "s3:GetObject", "s3:GetObjectVersion", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": [ "arn:aws:s3:::amzn-s3-demo-destination-bucket/*", "arn:aws:s3:::amzn-s3-demo-source-bucket/*", "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*" ] } ] } ``` ------ A função usa a política para conceder ao `batchoperations.s3.amazonaws.com` permissão para ler o manifesto no bucket de destino. Ele também concede permissões a objetos `GET`, listas de controle de acesso (ACLs), tags e versões no bucket do objeto de origem. Além disso, ela concede permissões a objetos `PUT`, ACLs, tags e versões no bucket do objeto de destino. 1. Na conta de origem, crie uma política de bucket para o bucket de origem que concede o perfil que você criou na etapa anterior para objetos `GET`, ACLs, tags e versões no bucket de origem. Esta etapa permite que as operações em lote do S3 obtenham objetos do bucket de origem por meio da função de confiança. Veja a seguir um exemplo da política de bucket para a conta de origem. Para usar essa política, substitua os *`user input placeholders`* por suas próprias informações. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsSourceObjectCOPY", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/BatchOperationsDestinationRoleCOPY" }, "Action": [ "s3:GetObject", "s3:GetObjectVersion", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": "arn:aws:s3:::amzn-s3-demo-source-bucket/*" } ] } ``` ------ 1. Depois que o relatório de inventário estiver disponível, crie um trabalho de **Copiar** (`CopyObject`) do Operações em Lote do S3 na conta de destino e escolha o relatório de inventário no bucket do manifesto de destino. Você precisa do ARN para o perfil do IAM que criou na conta de destino. Para obter informações gerais sobre como criar uma tarefa, consulte [Criar um trabalho de operações em lote do S3](batch-ops-create-job.md). Consulte informações sobre a criação de um trabalho usando o console em [Criar um trabalho de operações em lote do S3](batch-ops-create-job.md). # Uso de um manifesto CSV para copiar objetos entre Contas da AWS Você pode usar o Operações em Lote do Amazon S3 para executar operações em lote de grande escala em objetos do Amazon S3. É possível usar o Operações em Lote do S3 para criar um trabalho **Copiar** (`CopyObject`) para copiar objetos dentro da mesma conta ou para uma conta de destino diferente. É possível usar um manifesto CSV armazenado na conta de origem para copiar objetos nas Contas da AWS com o S3 Batch Operations. Para usar um relatório de inventário S3 como manifesto, consulte [Uso de um relatório de inventário para copiar objetos entre Contas da AWS](specify-batchjob-manifest-xaccount-inventory.md). Para ter um exemplo do formato CSV para arquivos de manifesto, consulte [Criar um arquivo de manifesto](batch-ops-create-job.md#create-manifest-file). O procedimento a seguir mostra como configurar permissões ao usar um trabalho de Operações em Lote do S3 para copiar objetos de uma conta de origem para uma conta de destino com um arquivo de manifesto CSV armazenado na conta de origem. **Como usar um manifesto CSV para copiar objetos nas Contas da AWS** 1. Crie um perfil do AWS Identity and Access Management (IAM) na conta de destino baseado na política de confiança do recurso Operações em Lote do S3. Neste procedimento, a *conta de destino* é a conta para a qual os objetos estão sendo copiados. Para obter mais informações sobre a política de confiança, consulte [Política de confiança](batch-ops-iam-role-policies.md#batch-ops-iam-role-policies-trust). Consulte mais informações sobre como criar um perfil em [Criar um perfil para delegar permissões a um AWS service (Serviço da AWS)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) no *Guia do usuário do IAM*. Se você criar o perfil usando o console, insira um nome para o perfil (o perfil de exemplo a seguir usa o nome `BatchOperationsDestinationRoleCOPY`). Escolha o serviço **S3** e selecione o caso de uso **Operações em Lote do S3**, que aplica a política de confiança ao perfil. Em seguida, selecione **Create policy (Criar política)** para anexar a política a seguir à função. Para usar essa política, substitua os *`user input placeholders`* por suas próprias informações. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsDestinationObjectCOPY", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:PutObjectVersionAcl", "s3:PutObjectAcl", "s3:PutObjectVersionTagging", "s3:PutObjectTagging", "s3:GetObject", "s3:GetObjectVersion", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": [ "arn:aws:s3:::amzn-s3-demo-destination-bucket/*", "arn:aws:s3:::amzn-s3-demo-source-bucket/*", "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*" ] } ] } ``` ------ Com o uso da política, a função concede permissão ao `batchoperations.s3.amazonaws.com` para ler o manifesto no bucket do manifesto de origem. Ela concede permissões a objetos `GET`, listas de controle de acesso (ACLs), tags e versões no bucket do objeto de origem. Ela também concede permissões a objetos `PUT`, ACLs, tags e versões no bucket do objeto de destino. 1. Na conta de origem, crie uma política para o bucket que contém o manifesto para conceder ao perfil que você criou na etapa anterior permissões para objetos `GET` e versões no bucket do manifesto de origem. Esta etapa permite que as Operações em Lote do S3 leiam o manifesto usando o perfil confiável. Aplique a política de bucket ao bucket que contém o manifesto. Veja a seguir um exemplo da política de bucket para ser aplicada ao bucket do manifesto de origem. Para usar essa política, substitua os *`user input placeholders`* por suas próprias informações. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsSourceManifestRead", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::111122223333:user/ConsoleUserCreatingJob", "arn:aws:iam::111122223333:role/BatchOperationsDestinationRoleCOPY" ] }, "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Resource": "arn:aws:s3:::amzn-s3-demo-manifest-bucket/*" } ] } ``` ------ Esta poítica também concede ao usuário de um console que está criando uma tarefa na conta de destino as mesmas permissões no bucket do manifesto de origem por meio da mesma política de bucket. 1. Na conta de origem, crie uma política para o bucket de origem que conceda ao perfil que você criou permissões para objetos `GET`, ACLs, tags e versões no bucket de objeto de origem. O Operações em lote do S3 pode então obter objetos do bucket de origem por meio da função confiável. Veja a seguir um exemplo da política de bucket para o bucket que contém os objetos de origem. Para usar essa política, substitua os *`user input placeholders`* por suas próprias informações. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowBatchOperationsSourceObjectCOPY", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/BatchOperationsDestinationRoleCOPY" }, "Action": [ "s3:GetObject", "s3:GetObjectVersion", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": "arn:aws:s3:::amzn-s3-demo-source-bucket/*" } ] } ``` ------ 1. Crie um trabalho de operações em lote do S3 na conta de destino. Você precisa do nome de recurso da Amazon (ARN) para a função que criou na conta de destino. Para obter mais informações sobre como criar um trabalho, consulte [Criar um trabalho de operações em lote do S3](batch-ops-create-job.md). # Usar o Operações em Lote para habilitar chaves de bucket do S3 para SSE-KMS As chaves de bucket do S3 reduzem o custo da criptografia do lado do servidor com o AWS Key Management Service (AWS KMS) (SSE-KMS), diminuindo assim o tráfego de solicitações do Amazon S3 para o AWS KMS. Para obter mais informações, consulte [Redução do custo do SSE-KMS com chaves de bucket do Amazon S3](bucket-key.md) e [Configurando seu bucket para usar uma chave de bucket do S3 com SSE-KMS para novos objetos](configuring-bucket-key.md). Ao executar uma operação `CopyObject` usando a API REST, SDKs da AWS ou a AWS CLI, você pode habilitar ou desabilitar uma chave de bucket do S3 no nível do objeto adicionando o cabeçalho de solicitação `x-amz-server-side-encryption-bucket-key-enabled` com um valor `true` ou `false`. Quando você configura uma chave de bucket do S3 para um objeto usando uma operação `CopyObject`, o Amazon S3 atualiza somente as configurações para esse objeto. As configurações da chave de bucket S3 para o bucket de destino não são alteradas. Se você enviar uma solicitação `CopyObject` para um objeto criptografado pelo AWS KMS em um bucket com as chaves de bucket do S3 habilitadas, as operações no nível do objeto vão usar automaticamente as chaves de bucket do S3, a menos que você desabilite as chaves no cabeçalho da solicitação. Se você não especificar uma chave de bucket do S3 para seu objeto, o Amazon S3 aplicará as configurações da chave de bucket do S3 para o bucket de destino ao objeto. Para criptografar objetos existentes do Amazon S3, você pode usar o Operações em Lote do S3. É possível usar a **operação Copy do Batch Operations** para copiar objetos não criptografados existentes e gravá-los de volta no mesmo bucket que os objetos criptografados. Consulte mais informações em [Encrypting objects with Amazon S3 Batch Operations](https://aws.amazon.com/blogs/storage/encrypting-objects-with-amazon-s3-batch-operations/) no Blog de armazenamento da AWS. No exemplo a seguir, você usa a operação **Copiar** do Operações em Lote para habilitar chaves de bucket do S3 em objetos existentes. Para obter mais informações, consulte [Configurar uma chave de bucket do S3 no nível de objeto](configuring-bucket-key-object.md). **Topics** + [ ## Considerações sobre o uso do Operações em Lote do S3 para criptografar objetos com chaves de bucket do S3 habilitadas ](#bucket-key-ex-things-to-note) + [ ## Pré-requisitos ](#bucket-key-ex-prerequisites) + [ ## Etapa 1: obter a lista de objetos usando o Amazon S3 Inventory ](#bucket-key-ex-get-list-of-objects) + [ ## Etapa 2: Filtrar sua lista de objetos com S3 Select ](#bucket-key-ex-filter-object-list-with-s3-select) + [ ## Etapa 3: Configurar e executar o trabalho do S3 Batch Operations ](#bucket-key-ex-setup-and-run-job) ## Considerações sobre o uso do Operações em Lote do S3 para criptografar objetos com chaves de bucket do S3 habilitadas Considere os seguintes problemas ao usar o Operações em Lote do S3 para criptografar objetos com chaves de bucket do S3 habilitadas: + Você será cobrado por trabalhos, objetos e solicitações das Operações em Lote do S3, além de quaisquer encargos associados à operação que as Operações em Lote do S3 executa em seu nome, como transferência de dados, solicitações e outras cobranças. Para obter mais informações, consulte [Definição de preço do Amazon S3](https://aws.amazon.com/s3/pricing). + Se você usar um bucket versionado, cada trabalho do S3 Batch Operations executado criará novas versões criptografadas de seus objetos. Ele também mantém as versões anteriores sem chave do bucket do S3 configurada. Para excluir as versões antigas, configure uma política de expiração do ciclo de vida do S3 para versões não atuais, conforme descrito em [Elementos de configuração do ciclo de vida](intro-lifecycle-rules.md). + A operação de cópia cria novos objetos com novas datas de criação, o que pode afetar ações do ciclo de vida, como arquivamento. Se você copiar todos os objetos em seu bucket, todas as novas cópias terão datas de criação idênticas ou semelhantes. Para identificar esses objetos e criar regras de ciclo de vida diferentes para vários subconjuntos de dados, considere o uso de tags de objeto. ## Pré-requisitos Antes de configurar os objetos para usar uma chave de bucket do S3, consulte [Alterações na observação antes de habilitar uma chave de bucket do S3](bucket-key.md#bucket-key-changes). Para usar esse exemplo, é necessário ter uma Conta da AWS e pelo menos um bucket do S3 para manter os arquivos de trabalho e os resultados criptografados. Você também pode achar grande parte da documentação existente do S3 Batch Operations útil, incluindo os seguintes tópicos: + [Conceitos básicos sobre operações em lote do S3](batch-ops.md#batch-ops-basics) + [Criar um trabalho de operações em lote do S3](batch-ops-create-job.md) + [Operações suportadas pelo S3 Batch Operations](batch-ops-operations.md) + [Gerenciar trabalhos de operações em lote do S3](batch-ops-managing-jobs.md) ## Etapa 1: obter a lista de objetos usando o Amazon S3 Inventory Para começar, identifique o bucket do S3 que contém os objetos a serem criptografados e obtenha uma lista de seu conteúdo. Um relatório do Amazon S3 Inventory é a maneira mais conveniente e acessível de fazer isso. O relatório fornece a lista dos objetos em um bucket, juntamente com os metadados associados. Nessa etapa, o bucket de origem é o bucket inventariado, e o bucket de destino é o bucket onde você armazena o arquivo de relatório de inventário. Para obter mais informações sobre os buckets de origem e destino do inventário do Amazon S3, consulte [Catalogar e analisar seus dados com o Inventário S3](storage-inventory.md). A maneira mais fácil de configurar um inventário é usando o Console de gerenciamento da AWS. Mas você também pode usar a API REST, AWS Command Line Interface (AWS CLI) ou AWS SDKs. Antes de seguir essas etapas, faça login no console e abra o console do Amazon S3 em [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). Se você encontrar erros de permissão negada, adicione uma política de bucket ao bucket de destino. Para obter mais informações, consulte [Conceder permissões para o Inventário do S3 e análises do S3](example-bucket-policies.md#example-bucket-policies-s3-inventory-1). **Para obter uma lista de objetos usando o S3 Inventory** 1. Abra o console do Amazon S3, em [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. No painel de navegação à esquerda, selecione **Buckets** e escolha um bucket que contém objetos para criptografar. 1. Na guia **Management** (Gerenciamento), navegue para a seção **Inventory configurations** (Configurações de inventário) e escolha **Create inventory configuration** (Criar configuração de inventário). 1. Dê um nome ao seu novo inventário, insira o nome do bucket S3 de destino e, opcionalmente, crie um prefixo de destino para que o Amazon S3 atribua objetos nesse bucket. 1. Em **Output format** (Formato de saída), escolha **CSV**. 1. (Opcional) Na seção **Campos adicionais: *opcional***, selecione **Criptografia** e quaisquer outros campos de relatórios de seu interesse. Defina a frequência das entregas de relatório como **Daily** (Diariamente) para que o primeiro relatório seja entregue ao seu bucket mais cedo. 1. Selecione **Create** (Criar) para salvar suas configurações. O Amazon S3 pode demorar até 48 horas para entregar o primeiro relatório, portanto, verifique quando o primeiro relatório chegar. Depois de receber seu primeiro relatório, vá para a próxima etapa para filtrar o conteúdo do relatório do Inventário S3. Se não desejar mais receber relatórios de inventário para esse bucket, exclua a configuração do S3 Inventory. Caso contrário, o Amazon S3 continuará entregando relatórios em uma programação diária ou semanal. Uma lista de inventário não é uma única visualização point-in-time de todos os objetos. As listas de inventário são um snapshot de contínuo de itens do bucket que são consistentes no final (ou seja, a lista pode não incluir os objetos adicionados ou excluídos recentemente). A combinação do S3 Inventory e S3 Batch Operations funciona melhor quando você trabalha com objetos estáticos ou com um conjunto de objetos criado há dois ou mais dias. Para trabalhar com dados mais recentes, use a operação de API [https://docs.aws.amazon.com/AmazonS3/latest/API/API_ListObjectsV2.html](https://docs.aws.amazon.com/AmazonS3/latest/API/API_ListObjectsV2.html) (`GET` bucket) para criar a lista de objetos manualmente. Se necessário, repita o processo nos próximos dias ou até que o relatório de inventário mostre o status desejado para todos os objetos. ## Etapa 2: Filtrar sua lista de objetos com S3 Select Depois de receber o relatório do Inventário S3, você poderá filtrar o conteúdo do relatório para listar somente os objetos que não estão criptografados com chaves de bucket do S3 habilitadas. Se quiser que todos os objetos do bucket sejam criptografados com chaves de bucket do S3 habilitadas, você poderá ignorar esta etapa. No entanto, filtrar seu relatório do Inventário S3 nessa fase economiza o tempo e as despesas de criptografar novamente os objetos que já foram criptografados com chaves de bucket do S3 habilitadas. Embora as etapas a seguir mostrem como filtrar usando o [Amazon S3 Select](https://aws.amazon.com/blogs/aws/s3-glacier-select/), você também pode usar o [Amazon Athena](https://aws.amazon.com/athena). Para decidir qual ferramenta usar, consulte o arquivo `manifest.json` de relatório do S3 Inventory. Esse arquivo lista o número de arquivos de dados associados a esse relatório. Se o número for grande, use o Amazon Athena porque ele é executado em vários objetos do S3, enquanto o S3 Select funciona em um objeto de cada vez. Consulte mais informações sobre como usar o Amazon S3 e o Athena em conjunto em [Consulta do Amazon S3 Inventory com o Amazon Athena](storage-inventory-athena-query.md) e “Using Athena” na publicação [Encrypting objects with Amazon S3 Batch Operations](https://aws.amazon.com/blogs/storage/encrypting-objects-with-amazon-s3-batch-operations) do Blog de armazenamento da AWS. **Como filtrar o relatório do Inventário S3 usando o S3 Select** 1. Abra o arquivo `manifest.json` do seu relatório de inventário e observe a seção `fileSchema` do JSON. Isso informa a consulta que você executa nos dados. O seguinte JSON é um arquivo `manifest.json` de exemplo para um inventário em formato CSV em um bucket com versionamento habilitado. Dependendo de como você configurou seu relatório de inventário, seu manifesto pode parecer diferente. ``` { "sourceBucket": "batchoperationsdemo", "destinationBucket": "arn:aws:s3:::amzn-s3-demo-destination-bucket", "version": "2021-05-22", "creationTimestamp": "1558656000000", "fileFormat": "CSV", "fileSchema": "Bucket, Key, VersionId, IsLatest, IsDeleteMarker, BucketKeyStatus", "files": [ { "key": "demoinv/batchoperationsdemo/DemoInventory/data/009a40e4-f053-4c16-8c75-6100f8892202.csv.gz", "size": 72691, "MD5checksum": "c24c831717a099f0ebe4a9d1c5d3935c" } ] } ``` Se o versionamento não estiver ativado no bucket, ou se você optar por executar o relatório para as versões mais recentes, o `fileSchema` é `Bucket`, `Key` e `BucketKeyStatus`. Se o versionamento *estiver* habilitado, dependendo de como você configurou o relatório de inventário, o `fileSchema` poderá incluir o seguinte: `Bucket`, `Key`, `VersionId`, `IsLatest`, `IsDeleteMarker`, `BucketKeyStatus`. Portanto, preste atenção às colunas 1, 2, 3 e 6 ao executar a consulta. As Operações em Lote do S3 precisam do bucket, da chave e do ID da versão como entradas para executar o trabalho, além do campo pelo qual pesquisar, que é o `BucketKeyStatus`. Você não precisa do campo `VersionID`, mas é útil especificar o campo `VersionID` quando você opera em um bucket com versionamento. Para obter mais informações, consulte [Trabalhar com objetos em um bucket com versionamento habilitado](manage-objects-versioned-bucket.md). 1. Localize os arquivos de dados para o relatório de inventário. O objeto `manifest.json` lista os arquivos de dados em **files** (arquivos). 1. Depois de localizar e selecionar o arquivo de dados no console do S3, escolha **Actions** (Ações) e, em seguida, **Query with S3 Select** (Consulta com o S3 Select). 1. Mantenha os campos predefinidos **CSV**, **Comma** (Vírgula) e **GZIP** selecionados e escolha **Next** (Avançar). 1. Para revisar o formato do relatório de inventário antes de prosseguir, escolha **Show file preview** (Mostrar visualização do arquivo). 1. Insira as colunas a serem referenciadas no campo de expressão SQL. Depois, escolha **Run SQL** (Executar SQL). A expressão a seguir retorna as colunas 1 a 3 para todos os objetos sem chave de bucket do S3 configurada. `select s._1, s._2, s._3 from s3object s where s._6 = 'DISABLED'` Estes são resultados de exemplo. ``` batchoperationsdemo,0100059%7Ethumb.jpg,lsrtIxksLu0R0ZkYPL.LhgD5caTYn6vu batchoperationsdemo,0100074%7Ethumb.jpg,sd2M60g6Fdazoi6D5kNARIE7KzUibmHR batchoperationsdemo,0100075%7Ethumb.jpg,TLYESLnl1mXD5c4BwiOIinqFrktddkoL batchoperationsdemo,0200147%7Ethumb.jpg,amufzfMi_fEw0Rs99rxR_HrDFlE.l3Y0 batchoperationsdemo,0301420%7Ethumb.jpg,9qGU2SEscL.C.c_sK89trmXYIwooABSh batchoperationsdemo,0401524%7Ethumb.jpg,ORnEWNuB1QhHrrYAGFsZhbyvEYJ3DUor batchoperationsdemo,200907200065HQ%7Ethumb.jpg,d8LgvIVjbDR5mUVwW6pu9ahTfReyn5V4 batchoperationsdemo,200907200076HQ%7Ethumb.jpg,XUT25d7.gK40u_GmnupdaZg3BVx2jN40 batchoperationsdemo,201103190002HQ%7Ethumb.jpg,z.2sVRh0myqVi0BuIrngWlsRPQdb7qOS ``` 1. Faça download dos resultados, salve-os em um formato CSV e faça seu upload para o Amazon S3 como sua lista de objetos para o trabalho do S3 Batch Operations. 1. Se você tiver vários arquivos de manifesto, execute **Query woth S3 Select** (Consulta com o S3 Select) neles também. Dependendo do tamanho dos resultados, você pode combinar as listas e executar um único trabalho do S3 Batch Operations ou executar cada lista como um trabalho separado. Para decidir o número de trabalhos a executar, considere o [preço](https://aws.amazon.com/s3/pricing/) de executar cada trabalho do Operações em Lote do S3. ## Etapa 3: Configurar e executar o trabalho do S3 Batch Operations Agora que tem suas listas CSV filtradas de objetos do S3, você pode iniciar o trabalho do Operações em Lote do S3 para criptografar os objetos com chaves de bucket do S3 habilitadas. Um *trabalho* refere-se coletivamente à lista (manifesto) de objetos fornecidos, à operação executada e aos parâmetros especificados. A maneira mais fácil de criptografar esse conjunto de objetos com chaves de bucket do S3 habilitadas é usando a operação **Copiar** e especificando o mesmo prefixo de destino dos objetos listados no manifesto. Em um bucket sem versionamento, essa operação substitui os objetos existentes. Em um bucket com o versionamento ativado, essa operação cria uma versão mais recente e criptografada dos objetos. Como parte da cópia dos objetos, especifique se o Amazon S3 deve criptografar os objetos com a criptografia SSE-KMS. Esse trabalho copia os objetos para que todos os objetos mostrem uma data de criação atualizada após a conclusão, independentemente de quando você os adicionou originalmente ao Amazon S3. Especifique também as outras propriedades do seu conjunto de objetos como parte do trabalho do S3 Batch Operations, incluindo tags de objeto e classe de armazenamento. **Topics** + [ ### Definir sua política do IAM ](#bucket-key-ex-set-up-iam-policy) + [ ### Configurar sua função do IAM do Batch Operations ](#bucket-key-ex-set-up-iam-role) + [ ### Habilitar chaves de bucket do S3 para um bucket existente ](#bucket-key-ex-enable-s3-bucket-key-on-a-bucket) + [ ### Criar seu trabalho do Batch Operations ](#bucket-key-ex-create-job) + [ ### Executar seu trabalho do Batch Operations ](#bucket-key-ex-run-job) ### Definir sua política do IAM 1. Abra o console do IAM em [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/). 1. No painel de navegação à esquerda, escolha **Política** e **Criar política**. 1. Selecione a guia **JSON**. Selecione**Edit policy** (Editar política) e adicione a política do IAM de exemplo que aparece no bloco de código a seguir. Depois de copiar o exemplo de política no [console do IAM](https://console.aws.amazon.com/iam/), substitua o seguinte: 1. Substitua `amzn-s3-demo-source-bucket` pelo nome do bucket de origem para copiar objetos dele. 1. Substitua `amzn-s3-demo-destination-bucket` pelo nome do bucket de destino para copiar objetos nele. 1. Substitua `amzn-s3-demo-manifest-bucket/manifest-key` pelo nome do objeto de manifesto. 1. Substitua `amzn-s3-demo-completion-report-bucket` pelo nome do bucket onde deseja salvar os relatórios de conclusão. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CopyObjectsToEncrypt", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:PutObjectTagging", "s3:PutObjectAcl", "s3:PutObjectVersionTagging", "s3:PutObjectVersionAcl", "s3:GetObject", "s3:GetObjectAcl", "s3:GetObjectTagging", "s3:GetObjectVersion", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging" ], "Resource": [ "arn:aws:s3:::amzn-s3-demo-source-bucket/*", "arn:aws:s3:::amzn-s3-demo-destination-bucket/*" ] }, { "Sid": "ReadManifest", "Effect": "Allow", "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Resource": "arn:aws:s3:::amzn-s3-demo-manifest-bucket/manifest-key" }, { "Sid": "WriteReport", "Effect": "Allow", "Action": [ "s3:PutObject" ], "Resource": "arn:aws:s3:::amzn-s3-demo-completion-report-bucket/*" } ] } ``` ------ 1. Escolha **Next: Tags (Próximo: tags)**. 1. Adicione quaisquer tags desejadas (opcional) e escolha **Next: Review** (Próximo: Revisão). 1. Adicione um nome para a política e, opcionalmente, uma descrição. Em seguida, escolha **Create policy** (Criar política). 1. Selecione **Review policy** (Revisar política) e, em seguida, escolha, **Save changes** (Salvar alterações). 1. Com sua política do S3 Batch Operations agora concluída, o console retorna você à página **Policies** (Políticas) do IAM. Filtre o nome da política, escolha o botão à esquerda do nome da política, escolha o botão **Policy actions** (Ações da política) e escolha **Attach** (Anexar). Para anexar a política recém-criada a uma função do IAM, selecione os usuários, grupos ou funções apropriados em sua conta e escolha **Attach policy** (Anexar política). Isso levará você de volta ao console do IAM. ### Configurar sua função do IAM do Batch Operations 1. No painel de navegação do [console do IAM](https://console.aws.amazon.com/iam/), selecione **Perfis** e escolha **Criar perfil**. 1. Selecione **AWS service (Serviço da AWS)**, **S3** e **Operações em Lote do S3)**. Então, escolha **Próximo: Permissões**. 1. Comece a inserir o nome da **política** do IAM que acabou de criar. Marque a caixa de seleção ao lado do nome da política quando ela for exibida e escolha **Next: Tags** (Próximo: Tags). 1. (Opcional) Adicione tags ou mantenha os campos de chave e valor em branco para este exercício. Selecione **Next: Review**. 1. Insira um nome de função e aceite a descrição padrão ou adicione a sua própria. Selecione **Create role**. 1. Certifique-se de que o usuário que está criando o trabalho tenha as permissões no exemplo a seguir. Substitua `account-id` por seu ID da Conta da AWS e `IAM-role-name` pelo nome que você planeja aplicar ao perfil do IAM que você criará na etapa de criação do trabalho das Operações em Lote posteriormente. Para obter mais informações, consulte [Conceder permissões para operações em lote](batch-ops-iam-role-policies.md). ``` { "Sid": "AddIamPermissions", "Effect": "Allow", "Action": [ "iam:GetRole", "iam:PassRole" ], "Resource": "arn:aws:iam::account-id:role/IAM-role-name" } ``` ### Habilitar chaves de bucket do S3 para um bucket existente 1. Abra o console do Amazon S3, em [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. Na lista **Buckets**, escolha o bucket para o qual você deseja ativar uma chave de bucket do S3. 1. Escolha **Properties (Propriedades)**. 1. Em **Default encryption (Criptografia padrão)**, escolha **Edit (Editar)**. 1. Em **Tipo de criptografia**, você pode escolher entre **Chaves gerenciadas do Amazon S3 (SSE-S3)** e **Chave do AWS Key Management Service (SSE-KMS)**. 1. Se você escolheu **Chave do AWS Key Management Service (SSE-KMS)**, em **AWS KMS key**, poderá especificar a chave do AWS KMS por meio de uma das opções a seguir. + Para selecionar entre uma lista de chaves do KMS disponíveis, selecione **Escolher entre suas chaves do AWS KMS**. Na lista de chaves disponíveis, selecione uma chave do KMS de criptografia simétrica na mesma região que seu bucket. A chave gerenciada pela AWS (`aws/s3`) e as chaves gerenciadas pelo cliente são exibidas na lista. + Para inserir o ARN da chave do KMS, selecione **Inserir ARN da chave do AWS KMS** e insira o ARN da chave do KMS no campo exibido. + Para criar uma chave gerenciada pelo cliente no console do AWS KMS, selecione **Criar uma chave do KMS**. 1. Em **Bucket key** (Chave do bucket), escolha **Enable** (Habilitar) e, em seguida, escolha **Save changes** (Salvar alterações). Agora que a chave de bucket do S3 está habilitada no nível do bucket, os objetos carregados, modificados ou copiados nesse bucket herdarão essa configuração de criptografia por padrão. Isso inclui objetos copiados usando Operações em Lote do Amazon S3. ### Criar seu trabalho do Batch Operations 1. Abra o console do Amazon S3 em [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. No painel de navegação, escolha **S3 Batch Operations** e, em seguida, escolha **Create Job** (Criar trabalho). 1. Selecione a **Region** (Região) onde você armazena seus objetos e escolha **CSV** como o tipo de manifesto. 1. Insira o caminho ou navegue para o arquivo de manifesto CSV criado anteriormente a partir dos resultados do S3 Select (ou Athena). Se o manifesto contiver IDs de versão, marque essa caixa. Escolha **Next (Próximo)**. 1. Selecione a operação **Copy** (Copiar) e escolha o bucket de destino da cópia. Você pode manter a criptografia no lado do servidor desabilitada. Desde que o destino do bucket tenha o recurso de chaves de bucket do S3 habilitado, a operação de cópia aplicará chaves de bucket do S3 no bucket de destino. 1. (Opcional) Escolha uma classe de armazenamento e os outros parâmetros conforme desejado. Os parâmetros especificados nesta etapa se aplicam a todas as operações executadas nos objetos listados no manifesto. Escolha **Próximo**. 1. Para a criptografia no lado do servidor, siga estas etapas: 1. Em **Criptografia do lado do servidor**, selecione uma das seguintes opções: + Para manter as configurações de bucket para a criptografia padrão de objetos no lado do servidor ao armazená-los no Amazon S3, selecione **Não especificar uma chave de criptografia**. Desde que o destino do bucket tenha o recurso de chaves de bucket do S3 ativado, a operação de cópia aplicará uma chave de bucket do S3 ao bucket de destino. **nota** Se a política de bucket para o destino especificado exigir que os objetos sejam criptografados antes de armazená-los no Amazon S3, você deverá especificar uma chave de criptografia. Caso contrário, ocorrerá uma falha na cópia de objetos no destino. + Para criptografar objetos antes de armazená-los no Amazon S3, selecione **Especificar uma chave de criptografia**. 1. Em **Configurações de criptografia**, se você selecionar **Especificar uma chave de criptografia**, deverá escolher **Usar configurações do bucket de destino para criptografia padrão** ou **Substituir configurações do bucket de destino para criptografia padrão**. 1. Se você selecionar **Substituir configurações do bucket de destino para criptografia padrão**, deverá definir as configurações de criptografia a seguir. 1. Em **Tipo de criptografia**, você deve escolher **Chaves gerenciadas do Amazon S3 (SSE-S3)** ou **Chave do AWS Key Management Service (SSE-KMS)**. A SSE-S3 usa uma das criptografias de bloco mais fortes: o padrão de criptografia avançada de 256 bits (AES-256) para criptografar cada objeto. A SSE-KMS oferece mais controle sobre sua chave. Para obter mais informações, consulte [Usar a criptografia do lado do servidor com chaves gerenciadas pelo Amazon S3 (SSE-S3)](UsingServerSideEncryption.md) e [Usar criptografia do lado do servidor com o AWS KMS (SSE-KMS)](UsingKMSEncryption.md). 1. Se você selecionar **Chave do AWS Key Management Service (SSE-KMS)**, em **AWS KMS key**, poderá especificar sua AWS KMS key por meio de uma das opções a seguir. + Para escolher em uma lista de chaves do KMS disponíveis, selecione **Escolher entre suas AWS KMS keys** e, depois, escolha uma chave do KMS de criptografia simétrica na mesma região que seu bucket. A chave gerenciada pela AWS (`aws/s3`) e as chaves gerenciadas pelo cliente são exibidas na lista. + Para inserir o ARN da chave do KMS, selecione **Inserir ARN da chave do AWS KMS** e insira o ARN da chave do KMS no campo exibido. + Para criar uma chave gerenciada pelo cliente no console do AWS KMS, selecione **Criar uma chave do KMS**. 1. Em **Bucket key** (Chave do bucket), escolha **Enable** (Ativar). A operação de cópia aplicará uma chave do bucket do S3 no bucket de destino. 1. Dê uma descrição ao seu trabalho (ou mantenha o padrão), defina seu nível de prioridade, escolha um tipo de relatório e especifique o **Path to completion report destination** (Caminho para destino do relatório de conclusão). 1. Na seção **Permissions** (Permissões), certifique-se de escolher a função do IAM do Batch Operations definida anteriormente. Escolha **Next (Próximo)**. 1. Em **Review** (Revisão), verifique as configurações. Se precisar fazer alterações, escolha **Previous** (Anterior). Depois de confirmar as configurações do Batch Operations, escolha **Create job** (Criar trabalho). Para obter mais informações, consulte [Criar um trabalho de operações em lote do S3](batch-ops-create-job.md). ### Executar seu trabalho do Batch Operations O assistente de configuração retorna você automaticamente à seção S3 Batch Operations do console do Amazon S3. Suas novas transições de trabalho do estado **New** (Novo) para o estado **Preparing** (Preparação) como S3 inicia o processo. Durante o estado de preparação, o S3 lê o manifesto do trabalho, verifica se há erros e calcula o número de objetos. 1. Escolha o botão de atualização no console do Amazon S3 para verificar o progresso. Dependendo do tamanho do manifesto, a leitura pode levar minutos ou horas. 1. Quando o S3 termina de ler o manifesto do trabalho, o trabalho é movido para o estado **Awaiting your confirmation** (Aguardando sua confirmação). Escolha o botão de opção à esquerda da ID do trabalho e escolha **Run job** (Executar trabalho). 1. Verifique as configurações do trabalho e escolha **Run job** (Executar trabalho) no canto inferior direito. Depois que o trabalho começar a ser executado, você poderá escolher o botão de atualizar para verificar o andamento na exibição do painel do console ou selecionando o trabalho específico. 1. Quando o trabalho é concluído, você pode exibir as contagens de objetos **Successful** (Com êxito) e **Failed** (Com falha) para confirmar que tudo foi executado conforme esperado. Se você ativou relatórios de trabalhos, verifique o relatório do trabalho para saber a causa exata de qualquer operação com falha. Você também pode executar essas etapas usando a AWS CLI, AWS SDKs ou a API REST do Amazon S3. Para obter mais informações sobre como rastrear o status de um trabalho e os relatórios de conclusão, consulte [Monitoramento de relatórios de status e conclusão](batch-ops-job-status.md). Para obter exemplos que mostram a operação de cópia com tags usando a AWS CLI e o AWS SDK para Java, consulte [Criar um trabalho do Operações em lote com tags de trabalho usadas para rotulagem](batch-ops-tags-create.md).