Replicar objetos criptografados (SSE-S3, SSE-KMS, DSSE-KMS, SSE-C)

Para replicar objetos criptografados no lado do servidor (AWS CLI)

Para usar os exemplos neste procedimento, substitua user input placeholders por suas informações.

1. Neste exemplo, você cria tanto o bucket de origem (amzn-s3-demo-source-bucket) como o de destino (amzn-s3-demo-destination-bucket) na mesma Conta da AWS. Defina também um perfil de credenciais para a AWS CLI. Este exemplo usa o nome de perfil acctA.

   Consulte mais informações sobre como configurar perfis de credenciais e como usar perfis nomeados em Configuration and credential file settings no Guia do usuário da AWS Command Line Interface.

2. Use os comandos a seguir para criar o bucket amzn-s3-demo-source-bucket e habilitar o versionamento nele. O comando amzn-s3-demo-source-bucket a seguir cria um bucket na região Leste dos EUA (Norte da Virgínia) (us-east-1).

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. Use os comandos a seguir para criar o bucket amzn-s3-demo-destination-bucket e habilitar o versionamento nele. Os comandos de exemplo a seguir criam o bucket amzn-s3-demo-destination-bucket na região Oeste dos EUA (Oregon) (us-west-2).

   nota

   Para configurar a replicação quando os buckets amzn-s3-demo-source-bucket e amzn-s3-demo-destination-bucket estiverem na mesma Conta da AWS, use o mesmo perfil. Este exemplo usa acctA. Para configurar a replicação quando os buckets pertencerem a Contas da AWS distintas, especifique diferentes perfis para cada um.

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

4. Em seguida, crie um perfil de serviço do IAM. Você especifica esse perfil na configuração da replicação que adiciona ao bucket amzn-s3-demo-source-bucket posteriormente. O Amazon S3 assume essa função para replicar objetos em seu nome. A função do IAM é criada em duas etapas:

   • Crie uma função de serviço.

   • Anexar uma política de permissões à função.

   1. Para criar um perfil de serviço do IAM, faça o seguinte:

      1. Copie a política de confiança a seguir e salve-a em um arquivo com o nome s3-role-trust-policy-kmsobj.json no diretório atual do seu computador local. Essa política concede à entidade principal do serviço Amazon S3 as permissões para assumir o perfil a fim de que o Amazon S3 possa executar tarefas em seu nome.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. Use o comando a seguir para criar o perfil.

         $ aws iam create-role \
         --role-name replicationRolekmsobj \
         --assume-role-policy-document file://s3-role-trust-policy-kmsobj.json  \
         --profile acctA

   2. Em seguida, anexe uma política de permissões ao perfil. Essa política concede permissões para várias ações de bucket e objetos do Amazon S3.

      1. Copie a política de permissões a seguir e salve-a em um arquivo com o nome s3-role-permissions-policykmsobj.json no diretório atual do computador local. Crie um perfil do IAM e, posteriormente, anexe a política a ele.

         Importante

         Na política de permissões, especifique os IDs de chave do AWS KMS que serão usados para criptografar os buckets amzn-s3-demo-source-bucket e amzn-s3-demo-destination-bucket. É necessário criar duas chaves separadas do KMS para os buckets amzn-s3-demo-source-bucket e amzn-s3-demo-destination-bucket. As AWS KMS keys nunca são compartilhadas fora da Região da AWS em que foram criadas.

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration",
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Effect":"Allow",
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket",
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ReplicateTags"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLikeIfExists":{
                        "s3:x-amz-server-side-encryption":[
                           "aws:kms",
                           "AES256",
                           "aws:kms:dsse"
                        ],
                        "s3:x-amz-server-side-encryption-aws-kms-key-id":[
                           "AWS KMS key IDs(in ARN format) to use for encrypting object replicas"  
                        ]
                     }
                  },
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               },
               {
                  "Action":[
                     "kms:Decrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-east-1.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs(in ARN format) used to encrypt source objects." 
                  ]
               },
               {
                  "Action":[
                     "kms:Encrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-west-2.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs (in ARN format) to use for encrypting object replicas" 
                  ]
               }
            ]
         }

      2. Crie uma política e anexe-a à função.

         $ aws iam put-role-policy \
         --role-name replicationRolekmsobj \
         --policy-document file://s3-role-permissions-policykmsobj.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

5. Depois, adicione a configuração de replicação a seguir ao bucket amzn-s3-demo-source-bucket. Isso instrui o Amazon S3 a replicar objetos com o prefixo Tax/ no bucket amzn-s3-demo-destination-bucket.

   Importante

   Na configuração da replicação, especifique o perfil do IAM que o Amazon S3 pode assumir. Você só poderá fazer isso se tiver a permissão iam:PassRole. O perfil especificado no comando da CLI deve ter essa permissão. Para ter mais informações, consulte Conceder permissões ao usuário para transmitir um perfil a um AWS service (Serviço da AWS) no Guia do usuário do IAM.

    <ReplicationConfiguration>
     <Role>IAM-Role-ARN</Role>
     <Rule>
       <Priority>1</Priority>
       <DeleteMarkerReplication>
          <Status>Disabled</Status>
       </DeleteMarkerReplication>
       <Filter>
          <Prefix>Tax</Prefix>
       </Filter>
       <Status>Enabled</Status>
       <SourceSelectionCriteria>
         <SseKmsEncryptedObjects>
           <Status>Enabled</Status>
         </SseKmsEncryptedObjects>
       </SourceSelectionCriteria>
       <Destination>
         <Bucket>arn:aws:s3:::amzn-s3-demo-destination-bucket</Bucket>
         <EncryptionConfiguration>
           <ReplicaKmsKeyID>AWS KMS key IDs to use for encrypting object replicas</ReplicaKmsKeyID>
         </EncryptionConfiguration>
       </Destination>
     </Rule>
   </ReplicationConfiguration>

   Para adicionar a configuração de replicação ao bucket amzn-s3-demo-source-bucket, faça o seguinte:

   1. A AWS CLI requer que você especifique a configuração de replicação como JSON. Salve o JSON a seguir em um arquivo (replication.json) no diretório atual local do seu computador local.

      {
         "Role":"IAM-Role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
                  "Prefix":"Tax"
               },
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "EncryptionConfiguration":{
                     "ReplicaKmsKeyID":"AWS KMS key IDs (in ARN format) to use for encrypting object replicas"
                  }
               },
               "SourceSelectionCriteria":{
                  "SseKmsEncryptedObjects":{
                     "Status":"Enabled"
                  }
               }
            }
         ]
      }

   2. Edite o JSON para fornecer valores para o bucket amzn-s3-demo-destination-bucket, os AWS KMS key IDs (in ARN format) e o IAM-role-ARN. Salve as alterações.

   3. Use o comando a seguir para adicionar a configuração de replicação ao bucket amzn-s3-demo-source-bucket. Não deixe fornece o nome do bucket de amzn-s3-demo-source-bucket.

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

6. Teste a configuração para verificar se os objetos criptografados estão replicados. No console do Amazon S3, faça o seguinte:

   1. Faça login no AWS Management Console e abra o console do Amazon S3 em https://console.aws.amazon.com/s3/.

   2. No bucket de amzn-s3-demo-source-bucket, crie uma pasta denominada Tax.

   3. Adicione objetos de amostra à pasta. Não se esqueça de escolher a opção de criptografia e especificar a chave do KMS para criptografar os objetos.

   4. Verifique se o bucket amzn-s3-demo-destination-bucket contém as réplicas dos objetos e se elas são criptografadas usando a chave do KMS especificada na configuração. Para ter mais informações, consulte Obtenção de informações sobre o status da replicação.