變更複本擁有者

在來源和目的地儲存貯體由不同 AWS 帳戶 （AWS CLI） 擁有時變更複本擁有權

若要在此程序中使用範例 AWS CLI 命令，請將 取代user input placeholders為您自己的資訊。

1. 在此範例中，您可以在兩個不同的 中建立來源和目的地儲存貯體 AWS 帳戶。若要使用這兩個帳戶， AWS CLI 請使用兩個具名設定檔來設定 。此範例使用名為 的設定檔 acctA 以及 acctB，分別是 。如需設定憑證設定檔和使用具名設定檔的相關資訊，請參閱 AWS Command Line Interface 使用者指南 中的組態和憑證檔案設定。

   重要

   您用於此程序的設定檔必須具有必要的許可。例如，在複寫組態中，您可以指定 Amazon S3 可以擔任IAM的角色。只有在您使用的設定檔具有 iam:PassRole 許可時，您才能執行此操作。如果您使用管理員使用者憑證來建立具名設定檔，則可以執行此程序中的所有任務。如需詳細資訊，請參閱 IAM 使用者指南 中的授予使用者將角色傳遞至 的許可 AWS 服務。

2. 建立 source 儲存貯體並啟用版本控制。此範例會在美國東部 （維吉尼亞北部） （us-east-1） amzn-s3-demo-source-bucket 區域中建立名為 的來源儲存貯體。

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. 建立 destination 儲存貯體並啟用版本控制。此範例會在美國西部 （奧勒岡） （us-west-2） 區域中建立名為 amzn-s3-demo-destination-bucket的目的地儲存貯體。使用 AWS 帳戶 與您用於來源儲存貯體的設定檔不同的設定檔。

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctB

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctB

4. 您必須在 destination 儲存貯體政策中新增許可，以允許複本擁有權的變更。

   1. 將下列政策儲存至名為 的檔案destination-bucket-policy.json。請務必取代 使用者輸入預留位置 使用您自己的資訊。

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "destination_bucket_policy_sid",
            "Principal": {
              "AWS": "source-bucket-owner-account-id"
            },
            "Action": [
              "s3:ReplicateObject",
              "s3:ReplicateDelete",
              "s3:ObjectOwnerOverrideToBucketOwner",
              "s3:ReplicateTags",
              "s3:GetObjectVersionTagging"
            ],
            "Effect": "Allow",
            "Resource": [
              "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
            ]
          }
        ]
      }                             
                                

   2. 使用下列put-bucket-policy命令，將上述政策新增至目的地儲存貯體：

      aws s3api put-bucket-policy --region $ {destination-region} --bucket $ {amzn-s3-demo-destination-bucket} --policy file://destination_bucket_policy.json

5. 建立 IAM 角色。您可以在複寫組態中指定稍後要新增至 source 儲存貯體的角色，Amazon S3 就會擔任此角色以代您複寫物件。建立IAM角色的步驟分為兩個：

   • 建立角色。

   • 將許可政策連接到角色。

   1. 建立IAM角色。

      1. 複製下列信任政策，並將它儲存至本機電腦目前目錄下名稱為 s3-role-trust-policy.json 的檔案中。此政策會授予 Amazon S3 擔任該角色的許可。

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. 執行下列 AWS CLI create-role命令以建立IAM角色：

         $ aws iam create-role \
         --role-name replicationRole \
         --assume-role-policy-document file://s3-role-trust-policy.json  \
         --profile acctA

         記下您建立之IAM角色的 Amazon Resource Name （ARN）。您會在稍後的步驟ARN中需要此操作。

   2. 將許可政策連接到角色。

      1. 複製下列許可政策，並將它儲存至本機電腦目前目錄中名為 s3-role-perm-pol-changeowner.json 的檔案。此政策會授予各種 Amazon S3 儲存貯體與物件動作的許可。在下列步驟中，您可以將此政策連接至您先前建立IAM的角色。

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl"
                  ],
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration"
                  ],
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket"
                  ]
               },
               {
                  "Effect":"Allow",
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ObjectOwnerOverrideToBucketOwner",
                     "s3:ReplicateTags",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               }
            ]
         }

      2. 若要將上述許可政策連接至角色，請執行下列put-role-policy命令：

         $ aws iam put-role-policy \
         --role-name replicationRole \
         --policy-document file://s3-role-perm-pol-changeowner.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

6. 將複寫組態新增到來源儲存貯體。

   1. AWS CLI 需要將複寫組態指定為 JSON。JSON 將下列項目儲存在本機電腦上replication.json目前目錄中名為 的檔案中。在組態中， AccessControlTranslation指定從來源儲存貯體擁有者到目的地儲存貯體擁有者的複本擁有權變更。

      {
         "Role":"IAM-role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
               },
               "Status":"Enabled",
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "Account":"destination-bucket-owner-account-id",
                  "AccessControlTranslation":{
                     "Owner":"Destination"
                  }
               }
            }
         ]
      }

   2. JSON 透過提供目的地儲存貯體名稱、目的地儲存貯體擁有者帳戶 ID 和 的值來編輯 IAM-role-ARN。Replace (取代) IAM-角色-ARN 以及您先前建立之IAM角色ARN的 。儲存變更。

   3. 若要將複寫組態新增至來源儲存貯體，請執行下列命令：

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

7. 透過檢查 Amazon S3 主控台中的複本擁有權來測試複寫組態。

   1. 登入 AWS Management Console 並在 開啟 Amazon S3 主控台https://console.aws.amazon.com/s3/。

   2. 將物件新增到來源儲存貯體。確認目的地儲存貯體包含物件複本，且複本的擁有權已變更為 AWS 帳戶 擁有目的地儲存貯體的 。