本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
使用將資料從 S3 儲存貯體複製到另一個帳戶和區域 AWS CLI
創建者:巴加利(AWS)和普魯斯霍坦 G K()AWS
環境:生產 | 技術:儲存與備份 | AWS服務:AWSCLI; AWS Identity and Access Management; Amazon S3 |
Summary
此模式說明如何將資料從AWS來源帳戶中的 Amazon Simple Storage Service (Amazon S3) 儲存貯體遷移到另一個AWS帳戶 (位於相同AWS區域或不同區域) 的目的地 S3 儲存貯體。
來源 S3 儲存貯體允許使用附加的資源政策存取AWS身分和存取管理 (IAM)。目的地帳戶中的使用者必須擔任具有來源值區PutObject
和GetObject
權限的角色。最後,您執行copy
和sync
命令將資料從來源 S3 儲存貯體傳輸到目的地 S3 儲存貯體。
帳戶擁有上傳到 S3 儲存貯體的物件。如果您跨帳戶和區域複製物件,則授與複製物件的目標帳戶擁有權。您可以將物件的存取控制清單 (ACL) 變更為物件的所有權bucket-owner-full-control
。不過,我們建議您將程式設計跨帳戶權限授與目的地帳戶,因為管理多個物件ACLs可能很困難。
警告:此案例需要具有程式設計存取權限和長期認證的IAM使用者,這會帶來安全性風險。為了減輕此風險,我們建議您僅向這些使用者提供執行工作所需的權限,並在不再需要這些使用者時移除這些使用者。如有必要,可更新存取金鑰。如需詳細資訊,請參閱《IAM使用指南》中的〈更新存取金鑰〉。 |
此模式涵蓋一次性移轉。對於需要將新物件從來源儲存貯體連續自動遷移到目的地儲存貯體的案例,您可以改用 S3 Batch 複寫,如使用 S3 Batch 複寫將資料從 S3 儲存貯體複製到另一個帳戶和區域模式中所述。
先決條件和限制
相同或不同AWS地區的兩個活躍AWS帳戶。
來源帳戶中現有的 S3 儲存貯體。
如果您的來源或目的地 Amazon S3 儲存貯體已啟用預設加密,則必須修改AWS金鑰管理服務 (AWSKMS) 金鑰許可。如需詳細資訊,請參閱有關此主題的 AWSRe: POST 文章
。 熟悉跨帳戶權限。
架構
![將 Amazon S3 資料複製到其他帳戶或區域](images/pattern-img/a574c26b-fdd9-4472-842b-b34c3eb2bfe9/images/80d47b54-0309-4472-ae00-041ec27bc25b.png)
工具
Amazon Simple Storage Service (Amazon S3) 是一種雲端型物件儲存服務,可協助您儲存、保護和擷取任何數量的資料。
AWS命令列介面 (AWSCLI) 是一種開放原始碼工具,可協助您透過命令列殼層中的命令與AWS服務互動。
AWSIdentity and Access Management (IAM) 可協助您控制已驗證及授權使用AWS資源的使用者,藉此安全地管理對資源的存取。
最佳實務
中的安全性最佳做法 IAM (IAM文件)
套用最低權限權限 (文件) IAM
史诗
任務 | 描述 | 所需技能 |
---|---|---|
建立IAM使用者並取得存取金鑰。 |
| AWS DevOps |
建立以IAM身分識別為基礎的原則。 | 使用下列權限建立以IAM身分識別為
注意:根據您的使用案例修改來源和目的地值區名稱。 此基於身份的策略允許擔任此角色的使用者存取來源值區和目的地值區。 | AWS DevOps |
建立 IAM 角色。 | 建立使用下列信任原則命名
附註:根據您的使用案例,修改信任政策中目的地IAM角色或使用者名稱的 Amazon 資源名稱 (ARN)。 此信任策略允許新創建的IAM用戶進行假設 | AWS DevOps |
任務 | 描述 | 所需技能 |
---|---|---|
建立並附加 S3 儲存貯體政策。 | 登入來源帳戶的AWS管理主控台,然後開啟 Amazon S3 主控台。選擇您的來源 S3 儲存貯體,然後選擇權限。在「值區政策」下,選擇「編輯」,然後貼上下列值區政策。選擇 Save (儲存)。
注意:請確定您已包含目的地AWS帳戶的帳戶 ID,並根據您的需求設定值區政策範本。 此資源型政策允許目標角色存取 | 雲端管理員 |
任務 | 描述 | 所需技能 |
---|---|---|
建立目的地 S3 儲存貯體。 | 登入目的地帳戶的AWS管理主控台,開啟 Amazon S3 主控台,然後選擇「建立儲存貯體」。根據您的需求建立 S3 儲存貯體。如需詳細資訊,請參閱 Amazon S3 文件中的建立儲存貯體。 | 雲端管理員 |
任務 | 描述 | 所需技能 |
---|---|---|
使AWSCLI用新建立的使用者認證進行設定。 |
| AWS DevOps |
假設 S3 移轉角色。 |
如需詳細資訊,請參閱AWS知識中心 | AWS管理員 |
將資料從來源 S3 儲存貯體複製並同步到目的地 S3 儲存貯體。 | 當您擔任角色時, 複製(有關詳細信息,請參閱AWSCLI命令參考):
同步(如需詳細資訊,請參閱AWSCLI命令參考):
| 雲端管理員 |
故障診斷
問題 | 解決方案 |
---|---|
調用 |
|
相關資源
建立 S3 儲存貯體 (Amazon S3 文件)
Amazon S3 儲存貯體政策和使用者政策 (Amazon S3 文件)
IAM識別 (使用者、群組和角色) (IAM說明文件)
cp 指令 (AWSCLI文件集)
同步命令 (AWSCLI文件)