設定即時複寫的許可

Amazon S3 需要許可，才能代您複寫物件。您可以透過建立 AWS Identity and Access Management （IAM） 角色，然後在複寫組態中指定該角色來授予這些許可。

當來源和目的地儲存貯體不是由相同的帳戶擁有時，目的地儲存貯體的擁有者也必須授予來源儲存貯體擁有者儲存複本的許可。

下列範例顯示信任政策，其中您將 Amazon S3 識別為可擔任該角色的 AWS 服務 委託人：

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "Service":"s3.amazonaws.com"
         },
         "Action":"sts:AssumeRole"
      }
   ]
}

下列範例顯示信任政策，其中您將 Amazon S3 和 S3 批次操作識別為可擔任該角色的服務主體。如果您要建立批次複寫任務，請使用此方法。如需詳細資訊，請參閱為新的複寫規則或目的地建立批次複寫任務。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "Service": [
              "s3.amazonaws.com",
              "batchoperations.s3.amazonaws.com"
           ]
         },
         "Action":"sts:AssumeRole"
      }
   ]
}

如需IAM角色的詳細資訊，請參閱 IAM 使用者指南 中的IAM角色。

下列範例顯示 許可政策 ，您可以在其中授予IAM角色許可，以代表您執行複寫任務。當 Amazon S3 擔任該角色時，即具備您在此政策中指定的許可。在這項政策中，amzn-s3-demo-source-bucket 是來源儲存貯體，amzn-s3-demo-destination-bucket 是目的地儲存貯體。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "s3:GetReplicationConfiguration",
            "s3:ListBucket"
         ],
         "Resource":[
            "arn:aws:s3:::amzn-s3-demo-source-bucket"
         ]
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:GetObjectVersionForReplication",
            "s3:GetObjectVersionAcl",
            "s3:GetObjectVersionTagging"
         ],
         "Resource":[
            "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
         ]
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:ReplicateObject",
            "s3:ReplicateDelete",
            "s3:ReplicateTags"
         ],
         "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
      }
   ]
}

許可政策授予下列動作的許可：

如需 Amazon S3 動作的清單，請參閱服務授權參考 中的 Amazon S3 的動作、資源和條件索引鍵。

如需 S3 資源類型對 S3 API操作的許可的詳細資訊，請參閱 Amazon S3 API操作的必要許可。

如果來源儲存貯體擁有者授予 Amazon S3 許可，讓 s3:GetObjectVersionTagging和 s3:ReplicateTags動作複寫物件標籤 （透過 IAM角色），Amazon S3 會隨物件複寫標籤。如需IAM角色的相關資訊，請參閱 建立IAM角色。

如果目的地儲存貯體擁有者不想要複寫標籤，擁有者可以將下列陳述式新增至目的地儲存貯體政策，以明確拒絕 s3:ReplicateTags 動作的許可。在此政策中，amzn-s3-demo-destination-bucket 是目的地儲存貯體。

...
   "Statement":[
      {
         "Effect":"Deny",
         "Principal":{
            "AWS":"arn:aws:iam::source-bucket-account-id:role/service-role/source-account-IAM-role"
         },
         "Action":"s3:ReplicateTags",
         "Resource":"arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
      }
   ]
...

在複寫組態到位之前存在的物件

先前已複寫的物件

複寫失敗的物件