Utilisation d'un rapport d'inventaire livré au compte de destination pour copier des objets dans des Comptes AWS

Vous pouvez utiliser un inventaire Amazon S3 pour créer un rapport d'inventaire, et utiliser celui-ci pour créer une liste d'objets à copier avec les opérations par lot S3 Pour de plus amples informations sur l'utilisation d'un manifeste CSV dans le compte source ou de destination, veuillez consulter Utilisation d'un manifeste CSV stocké dans le compte source pour copier des objets dans des Comptes AWS.

L'inventaire Amazon S3 génère des inventaires des objets dans un compartiment. La liste générée est publiée dans un fichier de sortie. Le compartiment qui est inventorié est appelé le compartiment source et le compartiment où le fichier de rapport d’inventaire est stocké est appelé le compartiment de destination.

Vous pouvez configurer le rapport Amazon S3 Inventory de façon à ce qu'il soit livré à un autre Compte AWS. Cela permet à la fonctionnalité d'opérations par lot S3 de lire le rapport d'inventaire lorsque la tâche a été créée dans le compte de destination.

Pour de plus amples informations sur les compartiments sources et de destination de l'inventaire Amazon S3, veuillez consulter Compartiments source et de destination.

Le moyen le plus simple de configurer un inventaire consiste à utiliser la AWS Management Console, mais vous pouvez également utiliser l'API REST, la AWS Command Line Interface (AWS CLI) ou des kits SDK AWS.

La procédure de console suivante contient les étapes de haut niveau permettant de configurer des autorisations pour une tâche d'opérations par lot S3. Dans cette procédure, vous copiez des objets d'un compte source vers un compte de destination, avec le rapport d'inventaire stocké dans le compte de destination.

Pour configurer Amazon S3 Inventory pour des compartiments source et de destination détenus par des comptes différents

1. Connectez-vous à la AWS Management Console et ouvrez la console Amazon S3 à l'adresse https://console.aws.amazon.com/s3/.

2. Choisissez un compartiment de destination où stocker le rapport d’inventaire.

   Déterminez un compartiment de manifeste de destination où stocker le rapport d’inventaire. Dans cette procédure, le compte de destination est le compte qui possède à la fois le compartiment de manifeste de destination et le compartiment où les objets sont copiés.

3. Configurez un inventaire pour répertorier les objets dans un compartiment source et publier la liste dans le compartiment de manifeste de destination.

   Configurez une liste d’inventaire pour un compartiment source. Ce faisant, vous spécifiez le compartiment de destination où vous souhaitez stocker la liste. Le rapport d’inventaire pour le compartiment source est publié dans le compartiment de destination. Dans cette procédure, le compte source est le compte qui possède le compartiment source.

   Pour plus d'informations sur l'utilisation de la console pour configurer un inventaire ou sur le chiffrement d'un fichier de liste d'inventaire, consultez Configuration d'Amazon S3 Inventory.

   Choisissez CSV comme format de sortie.

   Lorsque vous saisissez des informations pour le compartiment de destination, choisissez Compartiments d’un autre compte. Ensuite, saisissez le nom du compartiment de manifeste de destination. Éventuellement, vous pouvez saisir l’ID du compte de destination.

   Une fois que la configuration d’inventaire a été enregistrée, la console affiche un message similaire au message suivant :

   Amazon S3 n'a pas pu créer une stratégie sur le compartiment de destination. Demandez au propriétaire du compartiment de destination d'ajouter la stratégie de compartiment suivante pour permettre à Amazon S3 d'ajouter des données dans ce compartiment.

   Ensuite, la console affiche une stratégie de compartiment que vous pouvez utiliser pour le compartiment de destination.

4. Copiez la stratégie de compartiment de destination qui apparaît sur la console.

5. Dans le compte de destination, ajoutez la stratégie de compartiment copiée dans le compartiment de manifeste de destination où le rapport d’inventaire est stocké.

6. Créez un rôle dans le compte de destination basé sur la stratégie d'approbation de la fonctionnalité d'opérations par lot S3. Pour de plus amples informations sur la stratégie d'approbation, veuillez consulter Stratégie d'approbation.

   Pour de plus amples informations sur la création d'un rôle, veuillez consulter la section Création d'un rôle pour la délégation d'autorisations à un service AWS du Guide de l'utilisateur IAM.

   Saisissez un nom pour le rôle (l’exemple de rôle utilise le nom BatchOperationsDestinationRoleCOPY). Choisissez le service S3, puis choisissez le cas d’utilisation Opérations par lot pour le compartiment S3, lequel applique la stratégie d’approbation au rôle.

   Ensuite, choisissez Create policy (Créer une stratégie) pour attacher la stratégie suivante au rôle.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowBatchOperationsDestinationObjectCOPY",
         "Effect": "Allow",
         "Action": [
           "s3:PutObject",
           "s3:PutObjectVersionAcl",
           "s3:PutObjectAcl",
           "s3:PutObjectVersionTagging",
           "s3:PutObjectTagging",
           "s3:GetObject",
           "s3:GetObjectVersion",
           "s3:GetObjectAcl",
           "s3:GetObjectTagging",
           "s3:GetObjectVersionAcl",
           "s3:GetObjectVersionTagging"
         ],
         "Resource": [
           "arn:aws:s3:::ObjectDestinationBucket/*",
           "arn:aws:s3:::ObjectSourceBucket/*",
           "arn:aws:s3:::ObjectDestinationManifestBucket/*"
         ]
       }
     ]
   }

   Le rôle utilise la stratégie pour autoriser batchoperations.s3.amazonaws.com à lire le manifeste dans le compartiment de destination. Il octroie également des autorisations pour obtenir (GET) des objets, des listes de contrôle d’accès (ACL), des étiquettes et des versions dans le compartiment d’objet source. Enfin, il octroie des autorisations pour placer (PUT) des objets, des listes de contrôle d’accès (ACL), des étiquettes et des versions dans le compartiment d’objet de destination.

7. Dans le compte source, créez une stratégie de compartiment pour le compartiment source qui octroie au rôle créé à l’étape précédente l’autorisation d’obtenir (GET) des objets, des listes de contrôle d’accès, des étiquettes et des versions dans le compartiment source. Cette étape permet à la fonctionnalité d'opérations par lot S3 de récupérer des objets du compartiment source au moyen du rôle approuvé.

   Vous trouverez, ci-après, un exemple de stratégie de compartiment pour le compte source.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowBatchOperationsSourceObjectCOPY",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::DestinationAccountNumber:role/BatchOperationsDestinationRoleCOPY"
         },
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion",
           "s3:GetObjectAcl",
           "s3:GetObjectTagging",
           "s3:GetObjectVersionAcl",
           "s3:GetObjectVersionTagging"
         ],
         "Resource": "arn:aws:s3:::ObjectSourceBucket/*"
       }
     ]
   }

8. Une fois le rapport d'inventaire disponible, créez une tâche d'opérations par lot S3 PUT object copy dans le compte de destination, en choisissant le rapport d'inventaire dans le compartiment de manifeste de destination. Vous avez besoin de l’ARN pour le rôle que vous avez créé dans le compte de destination.

   Pour obtenir des informations générales sur la création d'une tâche, veuillez consulter Création d'une tâche d'opérations par lot S3.

   Pour en savoir plus sur la création d'une tâche à l'aide de la console, consultez Création d'une tâche d'opérations par lot S3.