View a markdown version of this page

AWSSupport-ConfigureS3ReplicationSameAndCrossAccount - AWS Systems Manager Runbook-Referenz für Automation

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWSSupport-ConfigureS3ReplicationSameAndCrossAccount

Beschreibung

Das AWSSupport-ConfigureS3ReplicationSameAndCrossAccount Automatisierungs-Runbook konfiguriert die Amazon Simple Storage Service (Amazon S3) -Bucket-Replikation zwischen einem Quell- und einem Ziel-Bucket für dieselben oder mehrere Konten. Diese Automatisierung unterstützt die Replikation von Buckets, die mit Server-Side Encryption with Amazon S3-Managed Keys (SSE-S3) und Server-Side Encryption with AWS Key Management Service () verschlüsselt wurden. SSE-KMS Sie unterstützt auch präfix- und tagbasierte selektive Replikationsfilterung, Amazon S3 Replication Time Control (Amazon S3 RTC) mit 15-minütigem SLA und die Replikation von Löschmarkern. Die Automatisierung führt die folgenden Aktionen aus:

  • Überprüft Eingabeparameter und Bucket-Konfigurationen auf Kompatibilität.

  • Überprüft die Verschlüsselungseinstellungen sowohl für Quell- als auch für Ziel-Buckets.

  • Erstellt eine neue AWS Identity and Access Management (IAM-) Rolle mit den entsprechenden Berechtigungen für die Replikation, wenn sie nicht als Eingabe angegeben wird.

  • Konfiguriert Replikationsregeln auf der Grundlage bestimmter Parameter (Präfix, Tags oder ganzer Bucket).

  • Aktiviert die Bucket-Versionierung, falls sie nicht bereits aktiviert ist.

  • Richtet die Replikationskonfiguration mit optionalen Funktionen wie Replication Time Control (RTC) und der Replikation von Löschmarkern ein.

Wichtig

  • Diese Automatisierung unterstützt keine Buckets mit vorhandenen Replikationsregeln. Der Quell-Bucket darf keine bestehende Replikationskonfiguration haben.

  • Diese Automatisierung erstellt eine neue IAM-Rolle mit den entsprechenden Berechtigungen für die Replikation, wenn keine S3ReplicationRole Eingabe bereitgestellt wird.

  • Diese Automatisierung repliziert keine vorhandenen Objekte. Die Amazon S3-Replikation gilt nur für Objekte, uploaded/created nachdem die Replikationskonfiguration aktiviert wurde.

  • Für die kontoübergreifende Replikation müssen Sie im Zielkonto eine IAM-Rolle mit den entsprechenden Berechtigungen für Amazon S3-Operationen und AWS KMS -Operationen bereitstellen (wenn der Bucket AWS KMS Verschlüsselung verwendet).

  • Diese Automatisierung verwendet die aws:approve Aktion, die die Ausführung vorübergehend unterbricht, bis die benannten Principals die Konfigurationsänderungen genehmigen. Weitere Informationen finden Sie unter Automatisierung mit Genehmigern https://docs.aws.amazon.com/systems-manager/latest/userguide/running-automations-require-approvals.html ausführen.

Wie funktioniert das?

Das Runbook führt die folgenden Schritte aus:

  • ValidateInputParameters: Überprüft alle Eingabeparameter auf Richtigkeit und Kompatibilität, um eine korrekte Replikationskonfiguration sicherzustellen.

  • PrepareApprovalMessage: Bereitet eine Genehmigungsnachricht mit allen Replikationskonfigurationsparametern zur Überprüfung durch den Benutzer vor.

  • RequestApproval: Fordert die Genehmigung autorisierter Benutzer an, bevor die Amazon S3-Replikationskonfiguration zum Quell-Bucket hinzugefügt wird.

  • CheckBucketEncryption: Überprüft die Verschlüsselungskonfiguration für Amazon S3-Quell- und Ziel-Buckets, um kompatible Replikationseinstellungen zu ermitteln.

  • BranchOnEncryptionType: Verzweigt die Ausführung auf der Grundlage des Amazon S3-Bucket-Verschlüsselungstyps, um die entsprechende Replikationskonfiguration für SSE-S3 oder SSE-KMS verschlüsselte Buckets anzuwenden.

  • ConfigureSSES3Replication: Konfiguriert die Amazon S3-Replikation für Buckets, die mit Server-Side Encryption with Amazon S3-Managed Keys (SSE-S3) verschlüsselt sind, einschließlich IAM-Rollen und Replikationsregeln.

  • ConfiguresSekMSReplication: Konfiguriert die Amazon S3-Replikation für Buckets, die mit Server-Side Encryption with AWS KMS () SSE-KMS verschlüsselt sind, einschließlich IAM-Rollen, KMS-Schlüsselberechtigungen und Replikationsregeln.

  • CleanupResources: Bereinigt die IAM-Rolle, die während einer fehlgeschlagenen Replikationskonfiguration erstellt wurde, wenn sie nicht als Eingabe bereitgestellt wurde. S3ReplicationRole

Führen Sie diese Automatisierung aus (Konsole)

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

  • s3: ListBucket

  • s3: GetBucketVersioning

  • s3: GetEncryptionConfiguration

  • s3: GetBucketLocation

  • s3: GetReplicationConfiguration

  • s3: PutBucketVersioning

  • s3: PutReplicationConfiguration

  • Ich bin: ListRoles

  • ich bin: GetRole

  • ich bin: GetRolePolicy

  • ich bin: ListRoleTags

  • ich bin: ListAttachedRolePolicies

  • ich bin: ListRolePolicies

  • ich bin: SimulatePrincipalPolicy

  • ich bin: CreateRole

  • ich bin: TagRole

  • ich bin: PassRole

  • ich bin: DeleteRole

  • ich bin: DeleteRolePolicy

  • ich bin: DetachRolePolicy

  • ich bin: PutRolePolicy

  • Sätze: GetCallerIdentity

  • sns:Publish

  • kms: GetKeyPolicy (wenn Buckets verwendet werden SSE-KMS, Replikation mit demselben Konto)

  • kms: DescribeKey (wenn Buckets verwendet SSE-KMS werden, Replikation mit demselben Konto)

  • kms: PutKeyPolicy (wenn Buckets verwendet SSE-KMS werden, Replikation mit demselben Konto)

  • sts: AssumeRole (für kontoübergreifende Replikation)

CrossAccountReplicationRole (für kontoübergreifende Szenarien):

Für die kontoübergreifende Replikation müssen Sie CrossAccountReplicationRole im Zielkonto ein Konto mit den folgenden Berechtigungen angeben:

  • s3: ListBucket

  • s3: GetBucketVersioning

  • s3: GetBucketLocation

  • s3: GetBucketPolicy

  • s3: GetEncryptionConfiguration

  • s3: PutBucketVersioning

  • s3: PutBucketPolicy

  • kms: GetKeyPolicy (bei kontoübergreifender Nutzung SSE-KMS des Ziel-Buckets)

  • kms: DescribeKey (bei kontoübergreifender Nutzung des Ziel-Buckets) SSE-KMS

  • kms: PutKeyPolicy (bei kontoübergreifender Nutzung des Ziel-Buckets) SSE-KMS

S3ReplicationRole (vom Kunden bereitgestellte Rolle):

Wenn Sie eine vorhandene angeben S3ReplicationRole, muss diese über die folgenden Berechtigungen verfügen:

  • s3: ListBucket

  • s3: GetBucketLocation

  • s3: GetReplicationConfiguration

  • s3: GetObjectVersionAcl

  • s3: GetObjectVersionTagging

  • s3: GetObjectVersionForReplication

  • s3: GetObjectTagging

  • s3: ReplicateObject

  • s3: ReplicateDelete

  • s3: ReplicateTags

  • s3: ObjectOwnerOverrideToBucketOwner

  • kms:Decrypt (für SSE-KMS Szenarien, Quell-KMS-Schlüssel)

  • kms:Encrypt (für Szenarien, KMS-Schlüssel als Ziel) SSE-KMS

  • kms: GenerateDataKey (für SSE-KMS Szenarien, Ziel-KMS-Schlüssel)

  • kms: ReEncrypt * (für SSE-KMS Szenarien, Ziel-KMS-Schlüssel)

AutomationAssumeRoleBeispielrichtlinie für die Replikation desselben Kontos: 


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetEncryptionConfiguration",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::SOURCE_BUCKET",
                "arn:aws:s3:::DESTINATION_BUCKET"
            ]
        },
        {
            "Sid": "IAMReadOperations",
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:ListRoleTags",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:SimulatePrincipalPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMListRolesForCleanup",
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Sid": "IAMCreateAndTagRole",
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:TagRole"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "IAMPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "s3.amazonaws.com"
                }
            }
        },
        {
            "Sid": "TaggedIAMRoleModifyAndDeleteOperations",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "STSGetCallerIdentity",
            "Effect": "Allow",
            "Action": "sts:GetCallerIdentity",
            "Resource": "*"
        },
        {
            "Sid": "SNSPublish",
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "SNS_TOPIC_ARN"
        },
        {
            "Sid": "KMSKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:REGION:ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
                "arn:aws:kms:REGION:ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
            ]
        },
        {
            "Sid": "KMSKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": [
                "arn:aws:kms:REGION:ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
                "arn:aws:kms:REGION:ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "ACCOUNT_ID"
                }
            }
        }
    ]
}
Anmerkung

Die Policy-Anweisungen (KMSKeyReadOperations und KMSKeyMutatingOperations) sind nur erforderlich, wenn Buckets Verschlüsselung verwenden. SSE-KMS

Beispiel für AutomationAssumeRole eine Richtlinie für die kontoübergreifende Replikation: 


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3SourceBucketOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetEncryptionConfiguration",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": "arn:aws:s3:::SOURCE_BUCKET"
        },
        {
            "Sid": "IAMReadOperations",
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:ListRoleTags",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:SimulatePrincipalPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMListRolesForCleanup",
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Sid": "IAMCreateAndTagRole",
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:TagRole"
            ],
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "IAMPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "s3.amazonaws.com"
                }
            }
        },
        {
            "Sid": "TaggedIAMRoleModifyAndDeleteOperations",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "CrossAccountRoleAssumption",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "CROSS_ACCOUNT_REPLICATION_ROLE_ARN"
        },
        {
            "Sid": "STSGetCallerIdentity",
            "Effect": "Allow",
            "Action": "sts:GetCallerIdentity",
            "Resource": "*"
        },
        {
            "Sid": "SNSPublish",
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "SNS_TOPIC_ARN"
        },
        {
            "Sid": "KMSSourceKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID"
        },
        {
            "Sid": "KMSSourceKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "SOURCE_ACCOUNT_ID"
                }
            }
        }
    ]
}
Anmerkung

  • Die Policy-Anweisungen (KMSSourceKeyReadOperations und KMSSourceKeyMutatingOperations) sind nur erforderlich, wenn der Quell-Bucket SSE-KMS Verschlüsselung verwendet.

  • Ersetzen Sie CROSS_ACCOUNT_REPLICATION_ROLE_ARN durch den tatsächlichen Parameterwert, den Sie der Automatisierung zur Verfügung stellen. CrossAccountReplicationRole

CrossAccountReplicationRoleBeispiel für eine Richtlinie:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3DestinationBucketReadOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy",
                "s3:GetEncryptionConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutBucketPolicy"
            ],
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET"
        },
        {
            "Sid": "KMSDestinationKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
        },
        {
            "Sid": "KMSDestinationKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "DESTINATION_ACCOUNT_ID"
                }
            }
        }
    ]
}
Anmerkung

Die KMS-Anweisungen (KMSDestinationKeyReadOperations und KMSDestinationKeyMutatingOperations) sind nur erforderlich, wenn der Ziel-Bucket SSE-KMS Verschlüsselung verwendet. Entfernen Sie diese Anweisungen für SSE-S3 Szenarien.

Beispiel für eine CrossAccountReplicationRole Vertrauensrichtlinie:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "AUTOMATION_ASSUME_ROLE_ARN"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}
Anmerkung

Ersetzen Sie AUTOMATION_ASSUME_ROLE_ARN durch den tatsächlichen Parameterwert, den Sie der Automatisierung zur Verfügung stellen. AutomationAssumeRole

S3ReplicationRoleBeispiel für eine Richtlinie:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3SourceBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectTagging"
            ],
            "Resource": [
                "arn:aws:s3:::SOURCE_BUCKET",
                "arn:aws:s3:::SOURCE_BUCKET/*"
            ]
        },
        {
            "Sid": "S3DestinationBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ReplicateObject",
                "s3:ReplicateDelete",
                "s3:ReplicateTags"
            ],
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET/*"
        },
        {
            "Sid": "S3CrossAccountPermissions",
            "Effect": "Allow",
            "Action": "s3:ObjectOwnerOverrideToBucketOwner",
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET/*"
        },
        {
            "Sid": "KMSSourceKeyPermissions",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID"
        },
        {
            "Sid": "KMSDestinationKeyPermissions",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey",
                "kms:ReEncrypt*"
            ],
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
        }
    ]
}
Anmerkung

  • Die KMS-Anweisungen (KMSSourceKeyPermissions und KMSDestinationKeyPermissions) sind nur erforderlich, wenn Buckets SSE-KMS Verschlüsselung verwenden.

  • Die S3CrossAccountPermissions Anweisung ist nur für die kontoübergreifende Bucket-Replikation erforderlich.

Beispiel für eine S3ReplicationRole Vertrauensrichtlinie:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Anweisungen

Folgen Sie diesen Schritten, um die Automatisierung zu konfigurieren:

  1. Navigieren Sie AWSSupport-ConfigureS3ReplicationSameAndCrossAccount im Systems Manager unter Dokumente zu.

  2. Wählen Sie Execute automation (Automatisierung ausführen).

  3. Geben Sie für die Eingabeparameter Folgendes ein:

    • AutomationAssumeRole (Erforderlich):

      • Beschreibung: (Erforderlich) Der Amazon-Ressourcenname (ARN) der AWS Identity and Access Management (IAM) -Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen auszuführen. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation die Berechtigungen des Benutzers, der dieses Runbook startet.

      • Typ: AWS::IAM::Role::Arn

    • SourceBucket (Erforderlich):

      • Beschreibung: (Erforderlich) Der Name des Amazon S3-Quell-Buckets, in dem die Replikationsregeln erstellt oder aktualisiert werden.

      • Typ: AWS::S3::Bucket::Name

    • DestinationBucket (Erforderlich):

      • Beschreibung: (Erforderlich) Der Name des Amazon S3-Ziel-Buckets, in den Objekte repliziert werden.

      • Typ: String

      • Zulässiges Muster: ^[0-9a-z][a-z0-9\\-\\.]{3,63}$

    • SourceAccountId (Erforderlich):

      • Beschreibung: (Erforderlich) Die AWS Konto-ID, unter der sich der Quell-Bucket befindet.

      • Typ: String

      • Zulässiges Muster: ^[0-9]{12,13}$

    • DestinationAccountId (Erforderlich):

      • Beschreibung: (Erforderlich) Die AWS Konto-ID, unter der sich der Ziel-Bucket befindet.

      • Typ: String

      • Zulässiges Muster: ^[0-9]{12,13}$

    • SnsNotificationArn (Erforderlich):

      • Beschreibung: (Erforderlich) Die ARN eines Amazon Simple Notification Service (Amazon SNS) -Themas für Automatisierungsgenehmigungen.

      • Typ: String

      • Zulässiges Muster: ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):sns:[a-z]{2}(-gov)?(-iso[a-z]?)?-[a-z]{2,10}-[0-9]{1,2}:\\d{12}:[0-9a-zA-Z-_]{1,256}(.fifo)?$

    • Genehmigende Personen (erforderlich):

      • Beschreibung: (Erforderlich) Die Liste der user/role IAM-ARNs, die zur Genehmigung der Automatisierungsausführung autorisiert sind.

      • Typ: StringList

      • Zulässiges Muster: ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:(user|role)/[\\w+=,.@\\-/]+$

    • S3ReplicationRole (Fakultativ):

      • Beschreibung: (Optional) Der ARN einer vorhandenen IAM-Rolle, die für Amazon S3-Replikationsvorgänge verwendet werden soll. Diese Rolle muss über Berechtigungen zum Lesen aus dem Quell-Bucket und zum Schreiben in den Ziel-Bucket verfügen, einschließlich KMS-Berechtigungen, wenn Buckets Verschlüsselung verwenden SSE-KMS . Falls nicht angegeben, erstellt die Automatisierung eine neue Rolle mit den entsprechenden Berechtigungen.

      • Typ: String

      • Zulässiges Muster: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:role/[\\w+=,.@\\-/]+$

      • Standard: ""

    • CrossAccountReplicationRole (Fakultativ):

      • Beschreibung: (Optional) Die ARN einer IAM-Rolle im Zielkonto, die die Automatisierung annehmen kann. Dies ist für die kontoübergreifende Replikation erforderlich. Lassen Sie dieses Feld leer, wenn Sie dasselbe Konto replizieren möchten.

      • Typ: String

      • Zulässiges Muster: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:role/[\\w+=,.@\\-/]+$

      • Standard: ""

    • ReplicateEntireBucket (Fakultativ):

      • Beschreibung: (Optional) Bei Einstellung auf true wird der gesamte Bucket repliziert und sowohl Präfix als auch Tags müssen leer sein. Wenn der Wert falsch ist, basiert die Replikation auf dem angegebenen Präfix oder den angegebenen Tags.

      • Typ: Boolean

      • Zulässige Werte: [true, false]

      • Standard: true

    • ReplicationRuleStatus (Fakultativ):

      • Beschreibung: (Optional) Wenn auf gesetzttrue, werden die erstellten Replikationsregeln aktiviert. Wenn auf gesetztfalse, werden die erstellten Replikationsregeln auf Deaktiviert gesetzt.

      • Typ: Boolean

      • Zulässige Werte: [true, false]

      • Standard: true

    • DeleteMarkerReplicationStatus (Fakultativ):

      • Beschreibung: (Optional) Wenn diese Option auf gesetzt isttrue, aktiviert die Automatisierung die Replikation von Löschmarkern.

      • Typ: Boolean

      • Zulässige Werte: [true, false]

      • Standard: false

    • ReplicationTimeControl (Fakultativ):

      • Beschreibung: (Optional) Wenn auf gesetzttrue, wird Amazon S3 Replication Time Control (Amazon S3 RTC) mit 15-Minuten-SLA für vorhersehbare Replikationszeiten aktiviert.

      • Typ: Boolean

      • Zulässige Werte: [true, false]

      • Standard: false

    • ReplicaModifications (Fakultativ):

      • Beschreibung: (Optional) Wenn auf gesetzttrue, wird die Replikation von Metadatenänderungen an Replikatobjekten aktiviert, sodass Änderungen an replizierten Objekten wieder mit der Quelle synchronisiert werden können.

      • Typ: Boolean

      • Zulässige Werte: [true, false]

      • Standard: false

    • Präfix (optional):

      • Beschreibung: (Optional) Präfixfilter für die selektive Replikation von Objekten mit bestimmten Schlüsselpräfixen. Für eine korrekte Amazon S3-Präfixfilterung muss das Präfix mit einem abschließenden Schrägstrich (/) enden.

      • Typ: String

      • Zulässiges Muster: ^$|^[a-zA-Z0-9!_'()\\-]*/+$

      • Standard: ""

    • Schlagworte (optional):

      • Beschreibung: (Optional) JSON-Array von Tags zum Filtern der zu replizierenden Objekte. Format für ein einzelnes Tag: [{"Key“:“ TagKey „, "Value“:“ TagValue „}] und für mehrere Tags: [{" Key“:“ TagKey 1", "Value“:“ TagValue 1"}, {"Key“:“ TagKey 2", "Value“:“ TagValue 2"}].

      • Typ: String

      • Zulässiges Muster: ^\\[((\\{\"Key\":\"[a-zA-Z0-9+\\-=.:/ @\\s]{1,128}\",\"Value\":\"[a-zA-Z0-9+\\-=.:/@\\s]{0,256}\"\\})(,\\{\"Key\":\"[a-zA-Z0-9+\\-=.:/ @\\s]{1,128}\",\"Value\":\"[a-zA-Z0-9+\\-=.:/@\\s]{0,256}\"\\})*)?\\]$

      • Standard: []

  4. Wählen Sie Ausführen aus.

  5. Die Automatisierung wird initiiert.

  6. Das Dokument führt die folgenden Schritte aus:

    • ValidateInputParameters:

      Überprüft alle Eingabeparameter auf Richtigkeit und Kompatibilität, um eine korrekte Replikationskonfiguration sicherzustellen.

    • PrepareApprovalMessage:

      Bereitet die Genehmigungsnachricht mit allen Replikationskonfigurationsparametern zur Überprüfung durch den Benutzer vor.

    • RequestApproval:

      Fordert die Genehmigung autorisierter Benutzer an, bevor mit Änderungen an der Amazon S3-Replikationskonfiguration fortgefahren wird.

    • CheckBucketEncryption:

      Überprüft die Verschlüsselungskonfiguration für Amazon S3-Quell- und Ziel-Buckets, um kompatible Replikationseinstellungen zu ermitteln.

    • BranchOnEncryptionType:

      Verzweigt die Ausführung basierend auf dem Amazon S3-Bucket-Verschlüsselungstyp, um die entsprechende Replikationskonfiguration für SSE-S3 oder SSE-KMS verschlüsselte Buckets anzuwenden.

    • Konfiguriert die SES3-Replikation:

      Konfiguriert die Amazon S3-Replikation für Buckets, die mit Server-Side Encryption with Amazon S3-Managed Keys (SSE-S3) verschlüsselt sind, einschließlich IAM-Rollen und Replikationsregeln.

    • Konfiguriert die SEKMS-Replikation:

      Konfiguriert die Amazon S3-Replikation für Buckets, die mit Server-Side Encryption with AWS KMS (SSE-KMS) verschlüsselt wurden, einschließlich IAM-Rollen, KMS-Schlüsselberechtigungen und Replikationsregeln.

    • CleanupResources:

      Bereinigt IAM-Rollen, die während einer fehlgeschlagenen Replikationskonfiguration erstellt wurden, aber nicht vom S3ReplicationRole Kunden bereitgestellt wurden.

  7. Überprüfen Sie nach Abschluss des Vorgangs die Ergebnisse des Schritts ConfigureSSES3Replication (für SSE-S3 verschlüsselte Buckets) oder des ConfiguresSEKMSReplication-Schritts (für SSE-KMS verschlüsselte Buckets) auf die Ergebnisse der Ausführung, einschließlich des Status der Replikationskonfiguration und der für die Replikation verwendeten IAM-Rolle.

Referenzen

Systems Manager Automation