View a markdown version of this page

AWSSupport-ConfigureS3ReplicationSameAndCrossAccount - AWS Systems Manager Referencia del manual de procedimientos de Automatización

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWSSupport-ConfigureS3ReplicationSameAndCrossAccount

Descripción

El manual de AWSSupport-ConfigureS3ReplicationSameAndCrossAccount automatización configura la replicación de cubos de Amazon Simple Storage Service (Amazon S3) entre un bucket de origen y uno de destino para cuentas iguales o entre cuentas. Esta automatización admite la replicación de cubos cifrados mediante el Server-Side cifrado con Amazon S3-Managed Keys (SSE-S3) y el Server-Side cifrado con AWS Key Management Service (). SSE-KMS También admite el filtrado de replicación selectiva basado en prefijos y etiquetas, el control del tiempo de replicación de Amazon S3 (Amazon S3 RTC) con un SLA de 15 minutos y la replicación de marcadores de eliminación. La automatización realiza las siguientes acciones:

  • Valida los parámetros de entrada y las configuraciones de los cubos para garantizar su compatibilidad.

  • Comprueba la configuración de cifrado en los buckets de origen y destino.

  • Crea un nuevo rol AWS Identity and Access Management (IAM) con los permisos adecuados para la replicación si no se proporciona como entrada.

  • Configura las reglas de replicación en función de los parámetros especificados (prefijos, etiquetas o todo el bucket).

  • Habilita el control de versiones de cubos si aún no está habilitado.

  • Configura la configuración de la replicación con funciones opcionales, como el control del tiempo de replicación (RTC) y la replicación por eliminación de marcadores.

importante

  • Esta automatización no admite grupos con reglas de replicación existentes. El bucket de origen no debe tener ninguna configuración de replicación existente.

  • Esta automatización crea un nuevo rol de IAM con los permisos adecuados para la replicación si no S3ReplicationRole se proporcionan los datos.

  • Esta automatización no replica los objetos existentes. La replicación de Amazon S3 solo se aplica a los objetos una uploaded/created vez habilitada la configuración de replicación.

  • Para la replicación entre cuentas, debe proporcionar un rol de IAM en la cuenta de destino con los permisos adecuados para las operaciones y AWS KMS operaciones de Amazon S3 (si el bucket utiliza el AWS KMS cifrado).

  • Esta automatización utiliza la aws:approve acción, que detiene temporalmente la ejecución hasta que los directores designados aprueben los cambios de configuración. Consulte Ejecutar una automatización con los aprobadores para obtener más información.

¿Cómo funciona?

El manual lleva a cabo los siguientes pasos:

  • ValidateInputParameters: valida todos los parámetros de entrada para comprobar su exactitud y compatibilidad a fin de garantizar una configuración de replicación adecuada.

  • PrepareApprovalMessage: Prepara un mensaje de aprobación con todos los parámetros de configuración de la replicación para que el usuario lo revise.

  • RequestApproval: Solicita la aprobación de los usuarios autorizados antes de añadir la configuración de replicación de Amazon S3 al bucket de origen.

  • CheckBucketEncryption: Comprueba la configuración de cifrado de los buckets de Amazon S3 de origen y destino para determinar la configuración de replicación compatible.

  • BranchOnEncryptionType: La ejecución de las ramas se basa en el tipo de cifrado de los cubos de Amazon S3 para aplicar la configuración de replicación adecuada para los cubos SSE-S3 SSE-KMS cifrados.

  • Configura la replicación de SES3: configura la replicación de Amazon S3 para cubos cifrados con Server-Side cifrado con Amazon S3-Managed Keys (SSE-S3), incluidas las funciones de IAM y las reglas de replicación.

  • Configura la replicación de SEKMS: configura la replicación de Amazon S3 para cubos cifrados con Server-Side cifrado con AWS KMS (SSE-KMS), incluidas las funciones de IAM, los permisos de clave de KMS y las reglas de replicación.

  • CleanupResources: Limpia el rol de IAM creado durante una configuración de replicación fallida cuando no se proporciona como entrada. S3ReplicationRole

Ejecuta esta automatización (consola)

Permisos de IAM necesarios

El parámetro AutomationAssumeRole requiere las siguientes acciones para utilizar el manual de procedimientos correctamente.

  • s3: ListBucket

  • s3: GetBucketVersioning

  • s3: GetEncryptionConfiguration

  • s3: GetBucketLocation

  • s3: GetReplicationConfiguration

  • s3: PutBucketVersioning

  • s3: PutReplicationConfiguration

  • Objetivo: ListRoles

  • iam: GetRole

  • iam: GetRolePolicy

  • iam: ListRoleTags

  • iam: ListAttachedRolePolicies

  • iam: ListRolePolicies

  • iam: SimulatePrincipalPolicy

  • iam: CreateRole

  • iam: TagRole

  • iam: PassRole

  • iam: DeleteRole

  • iam: DeleteRolePolicy

  • iam: DetachRolePolicy

  • iam: PutRolePolicy

  • conjuntos: GetCallerIdentity

  • sns:Publish

  • kms: GetKeyPolicy (cuando se usan cubos SSE-KMS, replicación en la misma cuenta)

  • kms: DescribeKey (cuando se usan SSE-KMS cubos, replicación en la misma cuenta)

  • kms: PutKeyPolicy (cuando se usan SSE-KMS cubos, replicación en la misma cuenta)

  • sts: AssumeRole (para la replicación entre cuentas)

CrossAccountReplicationRole (para escenarios de cuentas cruzadas):

Para la replicación entre cuentas, debe proporcionar una cuenta CrossAccountReplicationRole en la cuenta de destino con los siguientes permisos:

  • s3: ListBucket

  • s3: GetBucketVersioning

  • s3: GetBucketLocation

  • s3: GetBucketPolicy

  • s3: GetEncryptionConfiguration

  • s3: PutBucketVersioning

  • s3: PutBucketPolicy

  • kms: GetKeyPolicy (cuando se usa SSE-KMS un bucket de destino multicuenta)

  • kms: DescribeKey (cuando se usa un bucket de destino multicuenta) SSE-KMS

  • kms: PutKeyPolicy (cuando se usa un bucket de destino multicuenta) SSE-KMS

S3ReplicationRole (función proporcionada por el cliente):

Si proporcionas una existente S3ReplicationRole, debe tener los siguientes permisos:

  • s3: ListBucket

  • s3: GetBucketLocation

  • s3: GetReplicationConfiguration

  • s3: GetObjectVersionAcl

  • s3: GetObjectVersionTagging

  • s3: GetObjectVersionForReplication

  • s3: GetObjectTagging

  • s3: ReplicateObject

  • s3: ReplicateDelete

  • s3: ReplicateTags

  • s3: ObjectOwnerOverrideToBucketOwner

  • KMS:Decrypt (para SSE-KMS escenarios, clave KMS de origen)

  • KMS:cifrar (para escenarios, clave KMS de destino) SSE-KMS

  • kms: GenerateDataKey (para SSE-KMS escenarios, clave KMS de destino)

  • kms: ReEncrypt * (para SSE-KMS escenarios, clave de KMS de destino)

Ejemplo AutomationAssumeRole de política para la replicación en la misma cuenta: 


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetEncryptionConfiguration",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::SOURCE_BUCKET",
                "arn:aws:s3:::DESTINATION_BUCKET"
            ]
        },
        {
            "Sid": "IAMReadOperations",
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:ListRoleTags",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:SimulatePrincipalPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMListRolesForCleanup",
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Sid": "IAMCreateAndTagRole",
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:TagRole"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "IAMPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "s3.amazonaws.com"
                }
            }
        },
        {
            "Sid": "TaggedIAMRoleModifyAndDeleteOperations",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "STSGetCallerIdentity",
            "Effect": "Allow",
            "Action": "sts:GetCallerIdentity",
            "Resource": "*"
        },
        {
            "Sid": "SNSPublish",
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "SNS_TOPIC_ARN"
        },
        {
            "Sid": "KMSKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:REGION:ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
                "arn:aws:kms:REGION:ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
            ]
        },
        {
            "Sid": "KMSKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": [
                "arn:aws:kms:REGION:ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
                "arn:aws:kms:REGION:ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "ACCOUNT_ID"
                }
            }
        }
    ]
}
nota

Las declaraciones de política (KMSKeyReadOperations y KMSKeyMutatingOperations) solo son necesarias cuando los depósitos utilizan el cifrado. SSE-KMS

Ejemplo AutomationAssumeRole de política para la replicación entre cuentas: 


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3SourceBucketOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetEncryptionConfiguration",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": "arn:aws:s3:::SOURCE_BUCKET"
        },
        {
            "Sid": "IAMReadOperations",
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:ListRoleTags",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:SimulatePrincipalPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMListRolesForCleanup",
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Sid": "IAMCreateAndTagRole",
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:TagRole"
            ],
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "IAMPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "s3.amazonaws.com"
                }
            }
        },
        {
            "Sid": "TaggedIAMRoleModifyAndDeleteOperations",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "CrossAccountRoleAssumption",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "CROSS_ACCOUNT_REPLICATION_ROLE_ARN"
        },
        {
            "Sid": "STSGetCallerIdentity",
            "Effect": "Allow",
            "Action": "sts:GetCallerIdentity",
            "Resource": "*"
        },
        {
            "Sid": "SNSPublish",
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "SNS_TOPIC_ARN"
        },
        {
            "Sid": "KMSSourceKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID"
        },
        {
            "Sid": "KMSSourceKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "SOURCE_ACCOUNT_ID"
                }
            }
        }
    ]
}
nota

  • Las declaraciones de política (KMSSourceKeyReadOperations y KMSSourceKeyMutatingOperations) solo son necesarias cuando el bucket de origen utiliza el SSE-KMS cifrado.

  • Sustituya CROSS_ACCOUNT_REPLICATION_ROLE_ARN por el valor del parámetro real que proporcionó a la automatización. CrossAccountReplicationRole

CrossAccountReplicationRoleEjemplo de política:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3DestinationBucketReadOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy",
                "s3:GetEncryptionConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutBucketPolicy"
            ],
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET"
        },
        {
            "Sid": "KMSDestinationKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
        },
        {
            "Sid": "KMSDestinationKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "DESTINATION_ACCOUNT_ID"
                }
            }
        }
    ]
}
nota

Las instrucciones (KMSDestinationKeyReadOperations y KMSDestinationKeyMutatingOperations) de KMS solo son necesarias cuando el bucket de destino utiliza el SSE-KMS cifrado. Elimine estas instrucciones para SSE-S3 los escenarios.

Ejemplo de política de CrossAccountReplicationRole confianza:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "AUTOMATION_ASSUME_ROLE_ARN"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}
nota

Sustituya AUTOMATION_ASSUME_ROLE_ARN por el valor de parámetro real que proporcionó a la automatización. AutomationAssumeRole

S3ReplicationRoleEjemplo de política:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3SourceBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectTagging"
            ],
            "Resource": [
                "arn:aws:s3:::SOURCE_BUCKET",
                "arn:aws:s3:::SOURCE_BUCKET/*"
            ]
        },
        {
            "Sid": "S3DestinationBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ReplicateObject",
                "s3:ReplicateDelete",
                "s3:ReplicateTags"
            ],
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET/*"
        },
        {
            "Sid": "S3CrossAccountPermissions",
            "Effect": "Allow",
            "Action": "s3:ObjectOwnerOverrideToBucketOwner",
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET/*"
        },
        {
            "Sid": "KMSSourceKeyPermissions",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID"
        },
        {
            "Sid": "KMSDestinationKeyPermissions",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey",
                "kms:ReEncrypt*"
            ],
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
        }
    ]
}
nota

  • Las sentencias (KMSSourceKeyPermissions y KMSDestinationKeyPermissions) de KMS solo son necesarias cuando los buckets utilizan el SSE-KMS cifrado.

  • La S3CrossAccountPermissions declaración solo es necesaria para la replicación de cubos entre cuentas.

Ejemplo de política de S3ReplicationRole confianza:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Instrucciones

Siga estos pasos para configurar la automatización:

  1. Diríjase AWSSupport-ConfigureS3ReplicationSameAndCrossAccount a la sección Documentos del Administrador de Sistemas.

  2. Elija Execute automation (Ejecutar automatización).

  3. Para los parámetros de entrada, introduzca lo siguiente:

    • AutomationAssumeRole (Obligatorio):

      • Descripción: (obligatorio) El nombre de recurso de Amazon (ARN) del rol AWS Identity and Access Management (IAM) que permite a Systems Manager Automation realizar las acciones en su nombre. Si no se especifica ningún rol, Systems Manager Automation utiliza los permisos del usuario que comienza este manual de procedimientos.

      • Tipo: AWS::IAM::Role::Arn

    • SourceBucket (Obligatorio):

      • Descripción: (Obligatorio) El nombre del bucket de Amazon S3 de origen en el que se crearán o actualizarán las reglas de replicación.

      • Tipo: AWS::S3::Bucket::Name

    • DestinationBucket (Obligatorio):

      • Descripción: (Obligatorio) El nombre del bucket de Amazon S3 de destino en el que se replicarán los objetos.

      • Tipo: String

      • Valor permitido: ^[0-9a-z][a-z0-9\\-\\.]{3,63}$

    • SourceAccountId (Obligatorio):

      • Descripción: (Obligatorio) El ID de la AWS cuenta donde se encuentra el bucket de origen.

      • Tipo: String

      • Valor permitido: ^[0-9]{12,13}$

    • DestinationAccountId (Obligatorio):

      • Descripción: (Obligatorio) El identificador de la AWS cuenta en el que se encuentra el bucket de destino.

      • Tipo: String

      • Valor permitido: ^[0-9]{12,13}$

    • SnsNotificationArn (Obligatorio):

      • Descripción: (Obligatorio) El ARN de un tema de Amazon Simple Notification Service (Amazon SNS) para la aprobación de la automatización.

      • Tipo: String

      • Valor permitido: ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):sns:[a-z]{2}(-gov)?(-iso[a-z]?)?-[a-z]{2,10}-[0-9]{1,2}:\\d{12}:[0-9a-zA-Z-_]{1,256}(.fifo)?$

    • Autorizadores (obligatorio):

      • Descripción: (Obligatorio) La lista de ARN de IAM user/role autorizados para aprobar la ejecución de la automatización.

      • Tipo: StringList

      • Valor permitido: ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:(user|role)/[\\w+=,.@\\-/]+$

    • S3ReplicationRole (Opcional):

      • Descripción: (Opcional) El ARN de un rol de IAM existente que se utilizará en las operaciones de replicación de Amazon S3. Este rol debe tener permisos para leer desde el bucket de origen y escribir en el bucket de destino, incluidos los permisos de KMS si los cubos utilizan el cifrado. SSE-KMS Si no se proporciona, la automatización creará un nuevo rol con los permisos adecuados.

      • Tipo: String

      • Valor permitido: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:role/[\\w+=,.@\\-/]+$

      • Valor predeterminado: ""

    • CrossAccountReplicationRole (Opcional):

      • Descripción: (opcional) El ARN de un rol de IAM en la cuenta de destino que puede asumir la automatización. Esto es necesario para la replicación entre cuentas. Para la replicación en la misma cuenta, deje este campo vacío.

      • Tipo: String

      • Valor permitido: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:role/[\\w+=,.@\\-/]+$

      • Valor predeterminado: ""

    • ReplicateEntireBucket (Opcional):

      • Descripción: (opcional) Si se establece entrue, se replicará todo el bucket y tanto el prefijo como las etiquetas deberán estar vacíos. Si es falso, la replicación se basará en el prefijo o las etiquetas especificados.

      • Tipo: Boolean

      • Valores permitidos: [true, false]

      • Valor predeterminado: true

    • ReplicationRuleStatus (Opcional):

      • Descripción: (Opcional) Si se establece entrue, se habilitarán las reglas de replicación creadas. Si se establece enfalse, las reglas de replicación creadas se establecerán en Inhabilitadas.

      • Tipo: Boolean

      • Valores permitidos: [true, false]

      • Valor predeterminado: true

    • DeleteMarkerReplicationStatus (Opcional):

      • Descripción: (Opcional) Si se establece entrue, la automatización permite eliminar la replicación de marcadores.

      • Tipo: Boolean

      • Valores permitidos: [true, false]

      • Valor predeterminado: false

    • ReplicationTimeControl (Opcional):

      • Descripción: (Opcional) Si se establece entrue, habilita el control del tiempo de replicación de Amazon S3 (Amazon S3 RTC) con un SLA de 15 minutos para lograr tiempos de replicación predecibles.

      • Tipo: Boolean

      • Valores permitidos: [true, false]

      • Valor predeterminado: false

    • ReplicaModifications (Opcional):

      • Descripción: (Opcional) Si se establece entrue, permite la replicación de los cambios en los metadatos realizados en los objetos de réplica, lo que permite que las modificaciones en los objetos replicados se sincronicen con el origen.

      • Tipo: Boolean

      • Valores permitidos: [true, false]

      • Valor predeterminado: false

    • Prefijo (opcional):

      • Descripción: filtro de prefijos (opcional) para la replicación selectiva de objetos con prefijos clave específicos. El prefijo debe terminar con una barra al final (/) para filtrar correctamente los prefijos de Amazon S3.

      • Tipo: String

      • Valor permitido: ^$|^[a-zA-Z0-9!_'()\\-]*/+$

      • Valor predeterminado: ""

    • Etiquetas (opcional):

      • Descripción: matriz JSON de etiquetas (opcional) para filtrar objetos para replicarlos. Formato para una sola etiqueta: [{"Key»:» TagKey «, "Value»:» TagValue «}] y para varias etiquetas: [{" Key»:» TagKey 1", "Value»:» TagValue 1"}, {"Key»:» TagKey 2", "Value»:» TagValue 2"}].

      • Tipo: String

      • Valor permitido: ^\\[((\\{\"Key\":\"[a-zA-Z0-9+\\-=.:/ @\\s]{1,128}\",\"Value\":\"[a-zA-Z0-9+\\-=.:/@\\s]{0,256}\"\\})(,\\{\"Key\":\"[a-zA-Z0-9+\\-=.:/ @\\s]{1,128}\",\"Value\":\"[a-zA-Z0-9+\\-=.:/@\\s]{0,256}\"\\})*)?\\]$

      • Valor predeterminado: []

  4. Seleccione Ejecutar.

  5. Se inicia la automatización.

  6. Este documento realiza los siguientes pasos:

    • ValidateInputParameters:

      Valida todos los parámetros de entrada para comprobar su exactitud y compatibilidad a fin de garantizar una configuración de replicación adecuada.

    • PrepareApprovalMessage:

      Prepara el mensaje de aprobación con todos los parámetros de configuración de la replicación para que el usuario lo revise.

    • RequestApproval:

      Solicita la aprobación de los usuarios autorizados antes de continuar con los cambios en la configuración de la replicación de Amazon S3.

    • CheckBucketEncryption:

      Comprueba la configuración de cifrado de los buckets de Amazon S3 de origen y destino para determinar la configuración de replicación compatible.

    • BranchOnEncryptionType:

      La ejecución de las ramas se basa en el tipo de cifrado de los cubos de Amazon S3 para aplicar la configuración de replicación adecuada para los cubos SSE-S3 SSE-KMS cifrados.

    • Configura la replicación de SES3:

      Configura la replicación de Amazon S3 para cubos cifrados mediante el Server-Side cifrado con Amazon S3-Managed Keys (SSE-S3), incluidas las funciones de IAM y las reglas de replicación.

    • Configura la replicación de SEKMS:

      Configura la replicación de Amazon S3 para cubos cifrados con Server-Side cifrado con AWS KMS (SSE-KMS), incluidas las funciones de IAM, los permisos de clave de KMS y las reglas de replicación.

    • CleanupResources:

      Limpia las funciones de IAM creadas durante una configuración de replicación fallida cuando el cliente no las S3ReplicationRole proporcionó.

  7. Una vez finalizado, revise los resultados del paso ConfiguresSES3 (para los buckets SSE-S3 cifrados) o del paso ConfiguresSekmsReplication (para los buckets SSE-KMS cifrados) para ver los resultados de la ejecución, incluidos el estado de la configuración de la replicación y la función de IAM utilizada para la replicación.

Referencias

Automatización de Systems Manager