Voraussetzungen für S3-Dateien

Sie haben ein AWS Konto.

Sie haben eine Rechenressource und einen S3-Allzweck-Bucket in AWS der gewünschten Region, in der Sie Ihr Dateisystem erstellen möchten. Weitere Informationen finden Sie unter Erstellen eines Allzweck-Buckets.

Für Ihren S3-Bucket ist die Versionierung aktiviert. Für S3 Files ist die S3-Versionierung erforderlich, um Änderungen zwischen Ihrem Dateisystem und Ihrem S3-Bucket zu synchronisieren. Weitere Informationen finden Sie unter Aktivieren des Versioning für Buckets.

Ihr S3-Bucket muss einen der folgenden Verschlüsselungstypen verwenden: Server-side Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) oder Server-side Verschlüsselung mit AWS Key Management Service (AWS KMS) -Schlüsseln (SSE-KMS).

Greifen Sie über Secure Shell (SSH) auf das Terminal für Ihre Amazon EC2-Instance zu und melden Sie sich mit dem entsprechenden Benutzernamen an. Weitere Informationen finden Sie im Amazon Elastic Compute Cloud-Benutzerhandbuch unter Stellen Sie eine Verbindung zu Ihrer EC2-Instance her.

Wenn Sie Amazon Linux verwenden, gehen Sie wie folgt vor, um efs-utils aus den Repositorys von Amazon zu installieren:

sudo yum -y install amazon-efs-utils

Wenn Sie andere unterstützte Linux-Distributionen verwenden, können Sie Folgendes tun:

curl https://amazon-efs-utils.aws.com/efs-utils-installer.sh | sudo sh -s -- --install

Informationen zu anderen Linux-Distributionen finden Sie unter Über andere Linux-Distributionen in der README-Datei von amazon-efs-utils. GitHub

Vom Dateisystem aus auf Ihren Bucket zugreifen

Ihr Dateisystem an AWS Rechenressourcen anhängen

Eine Inline-Richtlinie wie folgt:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions"
            ],
            "Resource": "arn:aws:s3:::bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:List*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithS3Files",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.region.amazonaws.com",
                    "kms:EncryptionContext:aws:s3:arn": [
                        "arn:aws:s3:::bucket",
                        "arn:aws:s3:::bucket/*"
                    ]
                }
            },
            "Resource": "arn:aws:kms:region:accountId:*"
        },
        {
            "Sid": "EventBridgeManage",
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:DisableRule",
                "events:EnableRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "elasticfilesystem.amazonaws.com"
                }
            },
            "Resource": [
                "arn:aws:events:*:*:rule/DO-NOT-DELETE-S3-Files*"
            ]
        },
        {
            "Sid": "EventBridgeRead",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/*"
            ]
        }
    ]
}

Ersetzen Sie die Platzhalterwerte durch Ihre eigenen Werte.

Eine Vertrauensrichtlinie, die es S3 Files ermöglicht, die IAM-Rolle zu übernehmen. Fügen Sie der IAM-Rolle die folgende Vertrauensrichtlinie hinzu, damit der S3 Files-Dienst sie übernehmen kann. Ersetzen Sie accountId und region durch Ihre Werte.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3FilesAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountId"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3files:region:accountId:file-system/*"
                }
            }
        }
    ]
}

Berechtigungen für die Rechenressource, um eine Verbindung zu S3-Dateisystemen herzustellen und mit diesen zu interagieren

Die IAM-Rolle muss Berechtigungen für den Mount Helper enthalten, um eine Verbindung zu S3-Dateisystemen herzustellen und mit diesen zu interagieren. Sie können eine AWS verwaltete Richtlinie, z. B. eine AmazonS3FilesClientFullAccess verwaltete Richtlinie, anhängen, wenn Sie der Rechenressource vollen Lese- und Schreibzugriff auf Ihr S3-Dateisystem gewähren möchten, oder wenn Sie nur lesenden AmazonS3FilesClientReadOnlyAccess Zugriff gewähren möchten. Sie können die AmazonElasticFileSystemsUtils verwaltete Richtlinie auch anhängen, wenn Sie die CloudWatch Amazon-Überwachung aktivieren möchten. Weitere Informationen und eine vollständige Liste der verfügbaren verwalteten Richtlinien für S3-Dateien finden Sie unter AWS Verwaltete Richtlinien für Amazon S3-Dateien. Sie können diese Berechtigungen auch bereitstellen, indem Sie der IAM-Rolle Ihrer Rechenressource individuelle IAM-Berechtigungen wie s3files:ClientMount oder s3files:ClientWrite (nicht erforderlich für schreibgeschützte Verbindungen) hinzufügen.

Eine Inline-Richtlinie, die der Rechenressource Lesezugriff auf S3-Objekte gewährt

Fügen Sie der IAM-Rolle die folgende Inline-Richtlinie hinzu. Diese Richtlinie gewährt den Rechenressourcen die Berechtigungen, Objekte aus dem verknüpften S3-Bucket im gleichen Konto direkt zu lesen, um die Leseleistung zu optimieren. bucketErsetzen Sie ihn durch Ihren S3-Bucket-Namen oder Bucket-Namen mit Präfix.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket/*"
        },
        {
            "Sid": "S3BucketListAccess",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}