View a markdown version of this page

设置 适用于 Lustre 的 Amazon FSx - FSx for Lustre
注册参加 AWS 账户添加在 Amazon S3 中使用数据存储库的权限FSx for Lustre 如何检查对 S3 存储桶的访问权限后续步骤

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

设置 适用于 Lustre 的 Amazon FSx

首次使用适用于 Lustre 的 Amazon FSx 前，请完成 注册参加 AWS 账户 部分中的任务。要完成入门教程，请确保您将链接到文件系统的 Amazon S3 存储桶具有 添加在 Amazon S3 中使用数据存储库的权限 中列出的权限。

注册参加 AWS 账户

要开始使用 AWS，你需要一个 AWS 账户. 有关创建的信息 AWS 账户，请参阅《AWS 账户管理 参考指南》 AWS 账户中的 “入门” 。

添加在 Amazon S3 中使用数据存储库的权限

适用于 Lustre 的 Amazon FSx 与 Amazon S3 深度集成。这种集成意味着，访问您的 FSx for Lustre 文件系统的应用程序也可以无缝访问链接的 Amazon S3 存储桶中存储的对象。有关更多信息，请参阅 将数据存储库与适用于 Lustre 的 Amazon FSx 结合使用。

要使用数据存储库，您必须首先允许适用于 Lustre 的 Amazon FSx 在与您的管理员用户账户关联的角色中具有某些 IAM 权限。

使用控制台为角色嵌入内联策略

  1. 登录 AWS 管理控制台 并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

  2. 在导航窗格中，选择角色。

  3. 在列表中，选择要在其中嵌入策略的角色的名称。

  4. 选择权限选项卡。

  5. 滚动到页面底部并选择添加内联策略。

    注意

    您不能在 IAM 中的服务关联角色中嵌入内联策略。由于链接服务定义了您是否能修改角色的权限，因此，您可能能够从服务控制台、API 或 AWS CLI添加其他策略。要查看服务的服务相关角色文档，请参阅与 IAM 配合使用的AWS 服务，然后在服务的 “Service-Linked 角色” 列中选择 “是”。

  6. 选择使用可视化编辑器创建策略

  7. 添加以下策略声明。

    JSON
    {
    "Version":"2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "iam:CreateServiceLinkedRole",
            "iam:AttachRolePolicy",
            "iam:PutRolePolicy"
        ],
        "Resource": "arn:aws:iam::*:role/aws-service-role/s3.data-source.lustre.fsx.amazonaws.com/*"
    }
}

创建内联策略后，它会自动嵌入您的角色。有关服务关联角色的更多信息，请参阅使用 Amazon FSx 的服务关联角色。

FSx for Lustre 如何检查对链接 S3 存储桶的访问权限

如果您用于创建 FSx for Lustre 文件系统的 IAM 角色没有 iam:AttachRolePolicy 和 iam:PutRolePolicy 权限，那么 Amazon FSx 会检查它是否可以更新您的 S3 存储桶策略。如果您的 IAM 角色中包含允许 Amazon FSx 文件系统将数据导入或导出到您的 S3 存储桶的 s3:PutBucketPolicy 权限，则 Amazon FSx 可以更新您的存储桶策略。如果允许修改存储桶策略，则 Amazon FSx 将向存储桶策略添加以下权限：

  • s3:AbortMultipartUpload

  • s3:DeleteObject

  • s3:PutObject

  • s3:Get*

  • s3:List*

  • s3:PutBucketNotification

  • s3:PutBucketPolicy

  • s3:DeleteBucketPolicy

如果 Amazon FSx 无法修改存储桶策略，则它会检查现有存储桶策略是否授予 Amazon FSx 访问存储桶的权限。

如果所有这些选项都失败，则创建文件系统的请求失败。下图说明了 Amazon FSx 在确定文件系统是否可以访问与之链接的 S3 存储桶时所遵循的检查。

Amazon FSx 用于确定其是否有权将数据导入或导出到与之链接的 S3 存储桶的检查进度。

后续步骤

要开始使用 FSx for Lustre，请参阅 开始使用适用于 Lustre 的 Amazon FSx，获取有关创建 Amazon FSx for Lustre 资源的说明。