复制加密对象（SSE-S3、SSE-KMS、DSSE-KMS、SSE-C）

复制服务器端加密对象 (AWS CLI)

要在此过程中使用这些示例，请将 user input placeholders 替换为您自己的信息。

1. 在此示例中，您在同一个 AWS 账户中创建源存储桶 (amzn-s3-demo-source-bucket) 和目标存储桶 (amzn-s3-demo-destination-bucket)。还可以为 AWS CLI 设置凭证配置文件。此示例使用配置文件名称 acctA。

   有关设置凭证配置文件和使用命名配置文件的信息，请参阅《AWS Command Line Interface 用户指南》中的 Configuration and credential file settings。

2. 使用以下命令创建 amzn-s3-demo-source-bucket 存储桶并对该存储桶启用版本控制。以下示例命令在美国东部（弗吉尼亚州北部）（us-east-1）区域中创建 amzn-s3-demo-source-bucket 存储桶。

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. 使用以下命令创建 amzn-s3-demo-destination-bucket 存储桶并对该存储桶启用版本控制。以下示例命令在美国西部（俄勒冈州）（us-west-2）区域中创建 amzn-s3-demo-destination-bucket 存储桶。

   注意

   要在 amzn-s3-demo-source-bucket 存储桶和 amzn-s3-demo-destination-bucket 存储桶均位于同一 AWS 账户中时设置复制配置，请使用同一配置文件。此示例使用 acctA。要在两个存储桶由不同 AWS 账户拥有时配置复制，您需要为每个存储桶指定不同的配置文件。

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

4. 接下来，创建 IAM 服务角色。您将在稍后添加到 amzn-s3-demo-source-bucket 存储桶的复制配置中指定此角色。Amazon S3 担任此角色以代表您复制对象。分两个步骤创建 IAM 角色：

   • 创建服务角色。

   • 将权限策略附加到角色。

   1. 要创建 IAM 服务角色，请执行以下操作：

      1. 复制以下信任策略，并将其保存到本地计算机上当前目录中一个名为 s3-role-trust-policy-kmsobj.json 的文件。此策略授予 Amazon S3 服务主体担任该角色的权限，以便 Amazon S3 可代表您执行任务。

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. 使用以下命令创建角色：

         $ aws iam create-role \
         --role-name replicationRolekmsobj \
         --assume-role-policy-document file://s3-role-trust-policy-kmsobj.json  \
         --profile acctA

   2. 接下来，将权限策略附加到角色。此策略授予对各种 Amazon S3 存储桶和对象操作的权限。

      1. 复制以下权限策略，并将其保存到本地计算机上当前目录中一个名为 s3-role-permissions-policykmsobj.json 的文件。您将创建一个 IAM 角色，稍后将策略附加到该角色。

         重要

         在权限策略中，您可以指定将用于加密 amzn-s3-demo-source-bucket 和 amzn-s3-demo-destination-bucket 存储桶的 AWS KMS 密钥 ID。您必须为 amzn-s3-demo-source-bucket 和 amzn-s3-demo-destination-bucket 存储桶创建两个单独的 KMS 密钥。AWS KMS keys不会在创建它们的 AWS 区域之外共享。

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration",
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Effect":"Allow",
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket",
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ReplicateTags"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLikeIfExists":{
                        "s3:x-amz-server-side-encryption":[
                           "aws:kms",
                           "AES256",
                           "aws:kms:dsse"
                        ],
                        "s3:x-amz-server-side-encryption-aws-kms-key-id":[
                           "AWS KMS key IDs(in ARN format) to use for encrypting object replicas"  
                        ]
                     }
                  },
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               },
               {
                  "Action":[
                     "kms:Decrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-east-1.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs(in ARN format) used to encrypt source objects." 
                  ]
               },
               {
                  "Action":[
                     "kms:Encrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-west-2.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs (in ARN format) to use for encrypting object replicas" 
                  ]
               }
            ]
         }

      2. 创建一个策略并将其附加到角色。

         $ aws iam put-role-policy \
         --role-name replicationRolekmsobj \
         --policy-document file://s3-role-permissions-policykmsobj.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

5. 接下来，将以下复制配置添加到 amzn-s3-demo-source-bucket 存储桶。它指示 Amazon S3 将前缀为 Tax/ 的对象复制到 amzn-s3-demo-destination-bucket 存储桶。

   重要

   在复制配置中，指定 Amazon S3 可代入的 IAM 角色。仅当您具有 iam:PassRole 权限时，才能执行此操作。您在 CLI 命令中指定的配置文件必须具有此权限。有关更多信息，请参阅《IAM 用户指南》中的向用户授予将角色传递给 AWS 服务的权限。

    <ReplicationConfiguration>
     <Role>IAM-Role-ARN</Role>
     <Rule>
       <Priority>1</Priority>
       <DeleteMarkerReplication>
          <Status>Disabled</Status>
       </DeleteMarkerReplication>
       <Filter>
          <Prefix>Tax</Prefix>
       </Filter>
       <Status>Enabled</Status>
       <SourceSelectionCriteria>
         <SseKmsEncryptedObjects>
           <Status>Enabled</Status>
         </SseKmsEncryptedObjects>
       </SourceSelectionCriteria>
       <Destination>
         <Bucket>arn:aws:s3:::amzn-s3-demo-destination-bucket</Bucket>
         <EncryptionConfiguration>
           <ReplicaKmsKeyID>AWS KMS key IDs to use for encrypting object replicas</ReplicaKmsKeyID>
         </EncryptionConfiguration>
       </Destination>
     </Rule>
   </ReplicationConfiguration>

   要将复制配置添加到 amzn-s3-demo-source-bucket 存储桶，请执行以下操作：

   1. AWS CLI 要求以 JSON 形式指定复制配置。将以下 JSON 保存到本地计算机上当前目录中的一个文件 (replication.json)。

      {
         "Role":"IAM-Role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
                  "Prefix":"Tax"
               },
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "EncryptionConfiguration":{
                     "ReplicaKmsKeyID":"AWS KMS key IDs (in ARN format) to use for encrypting object replicas"
                  }
               },
               "SourceSelectionCriteria":{
                  "SseKmsEncryptedObjects":{
                     "Status":"Enabled"
                  }
               }
            }
         ]
      }

   2. 编辑 JSON 以提供 amzn-s3-demo-destination-bucket 存储桶、AWS KMS key IDs (in ARN format) 和 IAM-role-ARN 的值。保存更改。

   3. 使用以下命令以将复制配置添加到 amzn-s3-demo-source-bucket 存储桶中。请务必提供 amzn-s3-demo-source-bucket 存储桶名称。

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

6. 测试该配置以确认已经复制了加密对象。在 Amazon S3 控制台中，执行以下操作：

   1. 登录到AWS Management Console，然后通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

   2. 在 amzn-s3-demo-source-bucket 存储桶中，创建一个名为 Tax 的文件夹。

   3. 将示例对象添加到文件夹。请务必选择加密选项并指定用于加密对象的 KMS 密钥。

   4. 确认 amzn-s3-demo-destination-bucket 存储桶包含对象副本，并且它们已使用在配置中指定的 KMS 密钥进行了加密。有关更多信息，请参阅 获取复制状态信息。