複寫加密物件 (SSE-S3、SSE-KMS、DSSE-KMS、SSE-C)

複寫伺服器端加密物件 (AWS CLI)

若要使用此程序中的範例，請將 取代user input placeholders為您自己的資訊。

1. 在此範例中，您可以建立兩個來源 (amzn-s3-demo-source-bucket) 和目的地 (amzn-s3-demo-destination-bucket) 儲存貯體 AWS 帳戶。您也會設定 AWS CLI的憑證描述檔。此範例使用描述檔名稱 acctA。

   如需有關設定憑證設定檔和使用具名設定檔的資訊，請參閱 AWS Command Line Interface 使用者指南中的組態和憑證檔案設定。

2. 使用下列命令建立 amzn-s3-demo-source-bucket 儲存貯體並在其上啟用版本控制。下列範例命令會在美國東部 (維吉尼亞北部) (us-east-1) 區域中建立 amzn-s3-demo-source-bucket 儲存貯體。

   aws s3api create-bucket \
   --bucket amzn-s3-demo-source-bucket \
   --region us-east-1 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-source-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

3. 使用下列命令建立 amzn-s3-demo-destination-bucket 儲存貯體並在其上啟用版本控制。下列範例命令會在美國西部 (奧勒岡) (us-west-2) 區域中建立 amzn-s3-demo-destination-bucket 儲存貯體。

   注意

   若要在 amzn-s3-demo-source-bucket 和 amzn-s3-demo-destination-bucket 儲存貯體位於同一個 AWS 帳戶時設定複寫組態，您可以使用同一個描述檔。此範例使用 acctA。若要在儲存貯體由不同 擁有時設定複寫 AWS 帳戶，您可以為每個儲存貯體指定不同的設定檔。

   aws s3api create-bucket \
   --bucket amzn-s3-demo-destination-bucket \
   --region us-west-2 \
   --create-bucket-configuration LocationConstraint=us-west-2 \
   --profile acctA

   aws s3api put-bucket-versioning \
   --bucket amzn-s3-demo-destination-bucket \
   --versioning-configuration Status=Enabled \
   --profile acctA

4. 接下來，您可以建立 IAM 服務角色。您將在稍後新增至儲存amzn-s3-demo-source-bucket貯體的複寫組態中指定此角色。Amazon S3 就會擔任此角色以代您複寫物件。您可以透過兩個步驟建立 IAM 角色：

   • 建立服務角色。

   • 將許可政策連接到角色。

   1. 若要建立 IAM 服務角色，請執行下列動作：

      1. 複製下列信任政策，並將它儲存至本機電腦目前目錄下的 s3-role-trust-policy-kmsobj.json 檔案中。此政策授予 Amazon S3 服務主體擔任 角色的許可，以便 Amazon S3 可以代表您執行任務。

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Effect":"Allow",
                  "Principal":{
                     "Service":"s3.amazonaws.com"
                  },
                  "Action":"sts:AssumeRole"
               }
            ]
         }

      2. 使用以下命令來建立角色：

         $ aws iam create-role \
         --role-name replicationRolekmsobj \
         --assume-role-policy-document file://s3-role-trust-policy-kmsobj.json  \
         --profile acctA

   2. 接著，請將許可政策連接到角色。此政策會授予各種 Amazon S3 儲存貯體與物件動作的許可。

      1. 複製下列許可政策，並將它儲存至本機電腦目前目錄中名為 s3-role-permissions-policykmsobj.json 的檔案。您將建立 IAM 角色，稍後再將政策連接至該角色。

         重要

         在許可政策中，您可以指定要用於加密 amzn-s3-demo-source-bucket和 amzn-s3-demo-destination-bucket儲存貯體的 AWS KMS 金鑰 IDs。您必須為 amzn-s3-demo-source-bucket和 amzn-s3-demo-destination-bucket buckets. AWS KMS keys aren 建立兩個單獨的 KMS 金鑰，而不是在建立它們 AWS 區域 的 之外共用。

         {
            "Version":"2012-10-17",
            "Statement":[
               {
                  "Action":[
                     "s3:ListBucket",
                     "s3:GetReplicationConfiguration",
                     "s3:GetObjectVersionForReplication",
                     "s3:GetObjectVersionAcl",
                     "s3:GetObjectVersionTagging"
                  ],
                  "Effect":"Allow",
                  "Resource":[
                     "arn:aws:s3:::amzn-s3-demo-source-bucket",
                     "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                  ]
               },
               {
                  "Action":[
                     "s3:ReplicateObject",
                     "s3:ReplicateDelete",
                     "s3:ReplicateTags"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLikeIfExists":{
                        "s3:x-amz-server-side-encryption":[
                           "aws:kms",
                           "AES256",
                           "aws:kms:dsse"
                        ],
                        "s3:x-amz-server-side-encryption-aws-kms-key-id":[
                           "AWS KMS key IDs(in ARN format) to use for encrypting object replicas"  
                        ]
                     }
                  },
                  "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
               },
               {
                  "Action":[
                     "kms:Decrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-east-1.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs(in ARN format) used to encrypt source objects." 
                  ]
               },
               {
                  "Action":[
                     "kms:Encrypt"
                  ],
                  "Effect":"Allow",
                  "Condition":{
                     "StringLike":{
                        "kms:ViaService":"s3.us-west-2.amazonaws.com",
                        "kms:EncryptionContext:aws:s3:arn":[
                           "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
                        ]
                     }
                  },
                  "Resource":[
                     "AWS KMS key IDs (in ARN format) to use for encrypting object replicas" 
                  ]
               }
            ]
         }

      2. 建立政策，並將政策連接至角色。

         $ aws iam put-role-policy \
         --role-name replicationRolekmsobj \
         --policy-document file://s3-role-permissions-policykmsobj.json \
         --policy-name replicationRolechangeownerPolicy \
         --profile acctA

5. 接著，請將下列複寫組態新增至 amzn-s3-demo-source-bucket 儲存貯體。該組態會指示 Amazon S3 使用 amzn-s3-demo-destination-bucket 儲存貯體的 Tax/ 字首複寫物件。

   重要

   在複寫組態中，您可以指定 Amazon S3 可以擔任的 IAM 角色。只有當您有 iam:PassRole 許可時才可執行此作業。您在 CLI 命令中指定的設定檔必須具有此許可。如需詳細資訊，請參閱 IAM 使用者指南中的授予使用者將角色傳遞至 的許可 AWS 服務。

    <ReplicationConfiguration>
     <Role>IAM-Role-ARN</Role>
     <Rule>
       <Priority>1</Priority>
       <DeleteMarkerReplication>
          <Status>Disabled</Status>
       </DeleteMarkerReplication>
       <Filter>
          <Prefix>Tax</Prefix>
       </Filter>
       <Status>Enabled</Status>
       <SourceSelectionCriteria>
         <SseKmsEncryptedObjects>
           <Status>Enabled</Status>
         </SseKmsEncryptedObjects>
       </SourceSelectionCriteria>
       <Destination>
         <Bucket>arn:aws:s3:::amzn-s3-demo-destination-bucket</Bucket>
         <EncryptionConfiguration>
           <ReplicaKmsKeyID>AWS KMS key IDs to use for encrypting object replicas</ReplicaKmsKeyID>
         </EncryptionConfiguration>
       </Destination>
     </Rule>
   </ReplicationConfiguration>

   請執行下列操作，將複寫組態新增至 amzn-s3-demo-source-bucket 儲存貯體：

   1. AWS CLI 需要您將複寫組態指定為 JSON。將下列 JSON 儲存在本機電腦上目前目錄中的檔案 (replication.json) 中。

      {
         "Role":"IAM-Role-ARN",
         "Rules":[
            {
               "Status":"Enabled",
               "Priority":1,
               "DeleteMarkerReplication":{
                  "Status":"Disabled"
               },
               "Filter":{
                  "Prefix":"Tax"
               },
               "Destination":{
                  "Bucket":"arn:aws:s3:::amzn-s3-demo-destination-bucket",
                  "EncryptionConfiguration":{
                     "ReplicaKmsKeyID":"AWS KMS key IDs (in ARN format) to use for encrypting object replicas"
                  }
               },
               "SourceSelectionCriteria":{
                  "SseKmsEncryptedObjects":{
                     "Status":"Enabled"
                  }
               }
            }
         ]
      }

   2. 編輯 JSON 以提供amzn-s3-demo-destination-bucket儲存貯體、 AWS KMS key IDs (in ARN format)和 的值IAM-role-ARN。儲存變更。

   3. 使用下列命令，將複寫組態新增至您的 amzn-s3-demo-source-bucket 儲存貯體。請務必提供 amzn-s3-demo-source-bucket 儲存貯體名稱。

      $ aws s3api put-bucket-replication \
      --replication-configuration file://replication.json \
      --bucket amzn-s3-demo-source-bucket \
      --profile acctA

6. 測試組態，確認已複寫加密的物件。在 Amazon S3 主控台中，執行下列操作：

   1. 登入 AWS Management Console 並在 Word 開啟 Amazon S3 主控台。 https://console.aws.amazon.com/s3/

   2. 在 amzn-s3-demo-source-bucket 儲存貯體中，建立名為 Tax 的資料夾。

   3. 將範例物件新增至資料夾。請務必選擇加密選項，並指定您的 KMS 金鑰來加密物件。

   4. 確認儲存amzn-s3-demo-destination-bucket貯體包含物件複本，並使用您在組態中指定的 KMS 金鑰進行加密。如需詳細資訊，請參閱取得複寫狀態資訊。