View a markdown version of this page

AWSSupport-ConfigureS3ReplicationSameAndCrossAccount - AWS Systems Manager Référence du dossier d’exploitation Automation

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWSSupport-ConfigureS3ReplicationSameAndCrossAccount

Description

Le runbook AWSSupport-ConfigureS3ReplicationSameAndCrossAccount d'automatisation configure la réplication des compartiments Amazon Simple Storage Service (Amazon S3) entre un compartiment source et un compartiment de destination pour des comptes identiques ou croisés. Cette automatisation prend en charge la réplication de compartiments chiffrés avec Server-Side Encryption with Amazon S3-Managed Keys (SSE-S3) et Server-Side Encryption with AWS Key Management Service (SSE-KMS). Il prend également en charge le filtrage de réplication sélective basé sur des préfixes et des balises, Amazon S3 Replication Time Control (Amazon S3 RTC) avec un SLA de 15 minutes et la réplication par suppression de marqueurs. L'automatisme exécute les actions suivantes :

  • Valide les paramètres d'entrée et les configurations de bucket à des fins de compatibilité.

  • Vérifie les paramètres de chiffrement des compartiments source et de destination.

  • Crée un nouveau rôle Gestion des identités et des accès AWS (IAM) avec les autorisations appropriées pour la réplication s'il n'est pas fourni en entrée.

  • Configure les règles de réplication en fonction de paramètres spécifiés (préfixe, balises ou compartiment entier).

  • Active la gestion des versions des compartiments si ce n'est pas déjà fait.

  • Configure la configuration de réplication avec des fonctionnalités optionnelles telles que le contrôle du temps de réplication (RTC) et la réplication par suppression des marqueurs.

Important

  • Cette automatisation ne prend pas en charge les buckets dotés de règles de réplication existantes. Le bucket source ne doit pas avoir de configuration de réplication existante.

  • Cette automatisation crée un nouveau rôle IAM avec les autorisations appropriées pour la réplication si aucune S3ReplicationRole entrée n'est fournie.

  • Cette automatisation ne reproduit pas les objets existants. La réplication Amazon S3 s'applique uniquement aux objets une uploaded/created fois que la configuration de réplication est activée.

  • Pour la réplication entre comptes, vous devez fournir un rôle IAM dans le compte de destination avec les autorisations appropriées pour les opérations et AWS KMS les opérations Amazon S3 (si le bucket utilise le AWS KMS chiffrement).

  • Cette automatisation utilise l'aws:approveaction, qui interrompt temporairement l'exécution jusqu'à ce que les principaux responsables désignés approuvent les modifications de configuration. Consultez Exécuter une automatisation avec des approbateurs pour plus d'informations.

Fonctionnement

Le runbook exécute les étapes suivantes :

  • ValidateInputParameters: Valide l'exactitude et la compatibilité de tous les paramètres d'entrée afin de garantir une configuration de réplication correcte.

  • PrepareApprovalMessage: prépare un message d'approbation contenant tous les paramètres de configuration de réplication pour examen par l'utilisateur.

  • RequestApproval: demande l'approbation des utilisateurs autorisés avant d'ajouter la configuration de réplication Amazon S3 au compartiment source.

  • CheckBucketEncryption: Vérifie la configuration de chiffrement pour les compartiments Amazon S3 source et de destination afin de déterminer les paramètres de réplication compatibles.

  • BranchOnEncryptionType: Exécution des branches en fonction du type de chiffrement des compartiments Amazon S3 afin d'appliquer une configuration de réplication appropriée SSE-S3 ou des compartiments SSE-KMS chiffrés.

  • Configuration de la réplication SES3  : configure la réplication Amazon S3 pour les compartiments chiffrés à l'aide du Server-Side chiffrement avec Amazon S3-Managed Keys (SSE-S3), y compris les rôles IAM et les règles de réplication.

  • ConfigureSSEKMSReplication  : configure la réplication Amazon S3 pour les compartiments chiffrés avec Server-Side Encryption with AWS KMS (SSE-KMS), y compris les rôles IAM, les autorisations relatives aux clés KMS et les règles de réplication.

  • CleanupResources: nettoie le rôle IAM créé lors de l'échec de la configuration de réplication lorsqu'il n' S3ReplicationRole est pas fourni en entrée.

Exécutez cette automatisation (console)

Autorisations IAM requises

Le AutomationAssumeRole paramètre nécessite les actions suivantes pour utiliser correctement le runbook.

  • s3 : ListBucket

  • s3 : GetBucketVersioning

  • s3 : GetEncryptionConfiguration

  • s3 : GetBucketLocation

  • s3 : GetReplicationConfiguration

  • s3 : PutBucketVersioning

  • s3 : PutReplicationConfiguration

  • iam : ListRoles

  • iam : GetRole

  • iam : GetRolePolicy

  • iam : ListRoleTags

  • iam : ListAttachedRolePolicies

  • iam : ListRolePolicies

  • iam : SimulatePrincipalPolicy

  • iam : CreateRole

  • iam : TagRole

  • iam : PassRole

  • iam : DeleteRole

  • iam : DeleteRolePolicy

  • iam : DetachRolePolicy

  • iam : PutRolePolicy

  • ensembles : GetCallerIdentity

  • sns:Publish

  • kms : GetKeyPolicy (lorsque les buckets sont utilisés SSE-KMS, réplication sur le même compte)

  • kms : DescribeKey (lorsque les buckets sont utilisés SSE-KMS, réplication sur le même compte)

  • kms : PutKeyPolicy (lorsque les buckets sont utilisés SSE-KMS, réplication sur le même compte)

  • sts : AssumeRole (pour la réplication entre comptes)

CrossAccountReplicationRole (pour les scénarios multicomptes) :

Pour la réplication entre comptes, vous devez fournir un CrossAccountReplicationRole compte de destination doté des autorisations suivantes :

  • s3 : ListBucket

  • s3 : GetBucketVersioning

  • s3 : GetBucketLocation

  • s3 : GetBucketPolicy

  • s3 : GetEncryptionConfiguration

  • s3 : PutBucketVersioning

  • s3 : PutBucketPolicy

  • kms : GetKeyPolicy (en cas d'utilisation SSE-KMS d'un compartiment de destination entre comptes)

  • kms : DescribeKey (en cas d'utilisation SSE-KMS d'un compartiment de destination entre comptes)

  • kms : PutKeyPolicy (en cas d'utilisation SSE-KMS d'un compartiment de destination entre comptes)

S3ReplicationRole (rôle fourni par le client) :

Si vous fournissez un existant S3ReplicationRole, il doit disposer des autorisations suivantes :

  • s3 : ListBucket

  • s3 : GetBucketLocation

  • s3 : GetReplicationConfiguration

  • s3 : GetObjectVersionAcl

  • s3 : GetObjectVersionTagging

  • s3 : GetObjectVersionForReplication

  • s3 : GetObjectTagging

  • s3 : ReplicateObject

  • s3 : ReplicateDelete

  • s3 : ReplicateTags

  • s3 : ObjectOwnerOverrideToBucketOwner

  • KMS:Decrypt (pour les SSE-KMS scénarios, clé KMS source)

  • KMS:Encrypt (pour les SSE-KMS scénarios, clé KMS de destination)

  • kms : GenerateDataKey (pour les SSE-KMS scénarios, clé KMS de destination)

  • kms ReEncrypt :* (pour les SSE-KMS scénarios, clé KMS de destination)

Exemple AutomationAssumeRole de politique pour la réplication d'un même compte :


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetEncryptionConfiguration",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::SOURCE_BUCKET",
                "arn:aws:s3:::DESTINATION_BUCKET"
            ]
        },
        {
            "Sid": "IAMReadOperations",
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:ListRoleTags",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:SimulatePrincipalPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMListRolesForCleanup",
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Sid": "IAMCreateAndTagRole",
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:TagRole"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "IAMPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "s3.amazonaws.com"
                }
            }
        },
        {
            "Sid": "TaggedIAMRoleModifyAndDeleteOperations",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "STSGetCallerIdentity",
            "Effect": "Allow",
            "Action": "sts:GetCallerIdentity",
            "Resource": "*"
        },
        {
            "Sid": "SNSPublish",
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "SNS_TOPIC_ARN"
        },
        {
            "Sid": "KMSKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:REGION:ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
                "arn:aws:kms:REGION:ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
            ]
        },
        {
            "Sid": "KMSKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": [
                "arn:aws:kms:REGION:ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
                "arn:aws:kms:REGION:ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "ACCOUNT_ID"
                }
            }
        }
    ]
}
Note

Les déclarations de politique (KMSKeyReadOperations et KMSKeyMutatingOperations) ne sont requises que lorsque les buckets utilisent SSE-KMS le chiffrement.

Exemple AutomationAssumeRole de politique pour la réplication entre comptes :


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3SourceBucketOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetEncryptionConfiguration",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": "arn:aws:s3:::SOURCE_BUCKET"
        },
        {
            "Sid": "IAMReadOperations",
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:ListRoleTags",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:SimulatePrincipalPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMListRolesForCleanup",
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Sid": "IAMCreateAndTagRole",
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:TagRole"
            ],
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "IAMPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "s3.amazonaws.com"
                }
            }
        },
        {
            "Sid": "TaggedIAMRoleModifyAndDeleteOperations",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "CrossAccountRoleAssumption",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "CROSS_ACCOUNT_REPLICATION_ROLE_ARN"
        },
        {
            "Sid": "STSGetCallerIdentity",
            "Effect": "Allow",
            "Action": "sts:GetCallerIdentity",
            "Resource": "*"
        },
        {
            "Sid": "SNSPublish",
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "SNS_TOPIC_ARN"
        },
        {
            "Sid": "KMSSourceKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID"
        },
        {
            "Sid": "KMSSourceKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "SOURCE_ACCOUNT_ID"
                }
            }
        }
    ]
}
Note

  • Les déclarations de politique (KMSSourceKeyReadOperations et KMSSourceKeyMutatingOperations) ne sont requises que lorsque le compartiment source utilise le SSE-KMS chiffrement.

  • Remplacez CROSS_ACCOUNT_REPLICATION_ROLE_ARN par la valeur de paramètre réelle que vous fournissez à l'automatisation. CrossAccountReplicationRole

Exemple CrossAccountReplicationRole de politique :


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3DestinationBucketReadOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy",
                "s3:GetEncryptionConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutBucketPolicy"
            ],
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET"
        },
        {
            "Sid": "KMSDestinationKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
        },
        {
            "Sid": "KMSDestinationKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "DESTINATION_ACCOUNT_ID"
                }
            }
        }
    ]
}
Note

Les instructions KMS (KMSDestinationKeyReadOperations et KMSDestinationKeyMutatingOperations) ne sont requises que lorsque le compartiment de destination utilise le SSE-KMS chiffrement. Supprimez ces déclarations pour les SSE-S3 scénarios.

Exemple de politique de CrossAccountReplicationRole confiance :


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "AUTOMATION_ASSUME_ROLE_ARN"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}
Note

Remplacez AUTOMATION_ASSUME_ROLE_ARN par la valeur de paramètre réelle que vous fournissez à l'automatisation. AutomationAssumeRole

Exemple S3ReplicationRole de politique :


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3SourceBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectTagging"
            ],
            "Resource": [
                "arn:aws:s3:::SOURCE_BUCKET",
                "arn:aws:s3:::SOURCE_BUCKET/*"
            ]
        },
        {
            "Sid": "S3DestinationBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ReplicateObject",
                "s3:ReplicateDelete",
                "s3:ReplicateTags"
            ],
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET/*"
        },
        {
            "Sid": "S3CrossAccountPermissions",
            "Effect": "Allow",
            "Action": "s3:ObjectOwnerOverrideToBucketOwner",
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET/*"
        },
        {
            "Sid": "KMSSourceKeyPermissions",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID"
        },
        {
            "Sid": "KMSDestinationKeyPermissions",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey",
                "kms:ReEncrypt*"
            ],
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
        }
    ]
}
Note

  • Les instructions KMS (KMSSourceKeyPermissions et KMSDestinationKeyPermissions) ne sont requises que lorsque les buckets utilisent SSE-KMS le chiffrement.

  • L' S3CrossAccountPermissions instruction n'est requise que pour la réplication de bucket entre comptes.

Exemple de politique de S3ReplicationRole confiance :


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Instructions

Pour configurer l'automatisation, procédez comme suit :

  1. Accédez à AWSSupport-ConfigureS3ReplicationSameAndCrossAccount la section Documents dans Systems Manager.

  2. Sélectionnez Execute automation (Exécuter l'automatisation).

  3. Pour les paramètres d'entrée, entrez les informations suivantes :

    • AutomationAssumeRole (Obligatoire) :

      • Description : (Obligatoire) Le nom de ressource Amazon (ARN) du rôle Gestion des identités et des accès AWS (IAM) qui permet à Systems Manager Automation d'effectuer les actions en votre nom. Si aucun rôle n'est spécifié, Systems Manager Automation utilise les autorisations de l'utilisateur qui démarre ce runbook.

      • Type : AWS::IAM::Role::Arn

    • SourceBucket (Obligatoire) :

      • Description : (Obligatoire) Le nom du compartiment Amazon S3 source dans lequel les règles de réplication seront créées ou mises à jour.

      • Type : AWS::S3::Bucket::Name

    • DestinationBucket (Obligatoire) :

      • Description : (Obligatoire) Le nom du compartiment Amazon S3 de destination vers lequel les objets seront répliqués.

      • Type : String

      • Schéma autorisé : ^[0-9a-z][a-z0-9\\-\\.]{3,63}$

    • SourceAccountId (Obligatoire) :

      • Description : (Obligatoire) L'ID du AWS compte où se trouve le compartiment source.

      • Type : String

      • Schéma autorisé : ^[0-9]{12,13}$

    • DestinationAccountId (Obligatoire) :

      • Description : (Obligatoire) L'identifiant du AWS compte sur lequel se trouve le compartiment de destination.

      • Type : String

      • Schéma autorisé : ^[0-9]{12,13}$

    • SnsNotificationArn (Obligatoire) :

      • Description : (Obligatoire) L'ARN d'une rubrique Amazon Simple Notification Service (Amazon SNS) pour les approbations d'automatisation.

      • Type : String

      • Schéma autorisé : ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):sns:[a-z]{2}(-gov)?(-iso[a-z]?)?-[a-z]{2,10}-[0-9]{1,2}:\\d{12}:[0-9a-zA-Z-_]{1,256}(.fifo)?$

    • Approbateurs (obligatoire) :

      • Description : (Obligatoire) La liste des ARN IAM user/role autorisés à approuver l'exécution de l'automatisation.

      • Type : StringList

      • Schéma autorisé : ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:(user|role)/[\\w+=,.@\\-/]+$

    • S3ReplicationRole (Facultatif) :

      • Description : (Facultatif) L'ARN d'un rôle IAM existant à utiliser pour les opérations de réplication Amazon S3. Ce rôle doit être autorisé à lire dans le compartiment source et à écrire dans le compartiment de destination, y compris des autorisations KMS si les compartiments utilisent SSE-KMS le chiffrement. S'il n'est pas fourni, l'automatisation créera un nouveau rôle avec les autorisations appropriées.

      • Type : String

      • Schéma autorisé : ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:role/[\\w+=,.@\\-/]+$

      • Valeur par défaut : ""

    • CrossAccountReplicationRole (Facultatif) :

      • Description : (Facultatif) L'ARN d'un rôle IAM dans le compte de destination que l'automatisation peut assumer. Cela est nécessaire pour la réplication entre comptes. Pour la réplication du même compte, laissez ce champ vide.

      • Type : String

      • Schéma autorisé : ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:role/[\\w+=,.@\\-/]+$

      • Valeur par défaut : ""

    • ReplicateEntireBucket (Facultatif) :

      • Description : (Facultatif) Si ce paramètre est défini surtrue, l'intégralité du compartiment sera répliquée et le préfixe et les balises doivent être vides. Si la valeur est fausse, la réplication sera basée sur le préfixe ou les balises spécifiés.

      • Type : Boolean

      • Valeurs autorisées : [true, false]

      • Valeur par défaut : true

    • ReplicationRuleStatus (Facultatif) :

      • Description : (Facultatif) Si cette option est définie surtrue, les règles de réplication créées seront activées. Si ce paramètre est défini surfalse, les règles de réplication créées seront définies sur Désactivé.

      • Type : Boolean

      • Valeurs autorisées : [true, false]

      • Valeur par défaut : true

    • DeleteMarkerReplicationStatus (Facultatif) :

      • Description : (Facultatif) Si ce paramètre est défini surtrue, l'automatisation active la réplication des marqueurs de suppression.

      • Type : Boolean

      • Valeurs autorisées : [true, false]

      • Valeur par défaut : false

    • ReplicationTimeControl (Facultatif) :

      • Description : (Facultatif) Si ce paramètre est défini surtrue, active le contrôle du temps de réplication Amazon S3 (Amazon S3 RTC) avec un SLA de 15 minutes pour des temps de réplication prévisibles.

      • Type : Boolean

      • Valeurs autorisées : [true, false]

      • Valeur par défaut : false

    • ReplicaModifications (Facultatif) :

      • Description : (Facultatif) Si cette option est définie surtrue, active la réplication des modifications de métadonnées apportées aux objets répliqués, ce qui permet de synchroniser les modifications apportées aux objets répliqués avec la source.

      • Type : Boolean

      • Valeurs autorisées : [true, false]

      • Valeur par défaut : false

    • Préfixe (facultatif) :

      • Description : (Facultatif) Filtre de préfixe pour la réplication sélective d'objets avec des préfixes de clé spécifiques. Le préfixe doit se terminer par une barre oblique (/) pour que le filtrage des préfixes Amazon S3 soit correct.

      • Type : String

      • Schéma autorisé : ^$|^[a-zA-Z0-9!_'()\\-]*/+$

      • Valeur par défaut : ""

    • Tags (facultatif) :

      • Description : tableau JSON (facultatif) de balises permettant de filtrer les objets à répliquer. Format pour une seule balise : [{"Key » : » TagKey «, "Value » : » TagValue «}] et pour plusieurs balises : [{" Key » : » TagKey 1", "Value » : » TagValue 1"}, {"Key » : » TagKey 2", "Value » : » TagValue 2"}].

      • Type : String

      • Schéma autorisé : ^\\[((\\{\"Key\":\"[a-zA-Z0-9+\\-=.:/ @\\s]{1,128}\",\"Value\":\"[a-zA-Z0-9+\\-=.:/@\\s]{0,256}\"\\})(,\\{\"Key\":\"[a-zA-Z0-9+\\-=.:/ @\\s]{1,128}\",\"Value\":\"[a-zA-Z0-9+\\-=.:/@\\s]{0,256}\"\\})*)?\\]$

      • Valeur par défaut : []

  4. Sélectionnez Exécuter.

  5. L'automatisation démarre.

  6. Le document exécute les étapes suivantes :

    • ValidateInputParameters:

      Valide l'exactitude et la compatibilité de tous les paramètres d'entrée afin de garantir une configuration de réplication correcte.

    • PrepareApprovalMessage:

      Prépare le message d'approbation avec tous les paramètres de configuration de réplication pour examen par l'utilisateur.

    • RequestApproval:

      Demande l'approbation des utilisateurs autorisés avant de procéder aux modifications de configuration de réplication Amazon S3.

    • CheckBucketEncryption:

      Vérifie la configuration de chiffrement pour les compartiments Amazon S3 source et de destination afin de déterminer les paramètres de réplication compatibles.

    • BranchOnEncryptionType:

      Exécution des branches en fonction du type de chiffrement des compartiments Amazon S3 afin d'appliquer une configuration de réplication appropriée SSE-S3 ou des compartiments SSE-KMS chiffrés.

    • Configure la réplication SES3 :

      Configure la réplication Amazon S3 pour les compartiments chiffrés avec Server-Side Encryption with Amazon S3-Managed Keys (SSE-S3), y compris les rôles IAM et les règles de réplication.

    • Configure la réplication SEKMS :

      Configure la réplication Amazon S3 pour les compartiments chiffrés avec Server-Side Encryption with AWS KMS (SSE-KMS), y compris les rôles IAM, les autorisations relatives aux clés KMS et les règles de réplication.

    • CleanupResources:

      Nettoie les rôles IAM créés lors de l'échec de la configuration de réplication alors que le S3ReplicationRole client ne les avait pas fournis.

  7. Une fois terminé, examinez les résultats de l'étape ConfiguresSES3Replication (pour les compartiments SSE-S3 chiffrés) ou de l'étape ConfigureSSEKMSReplication (pour les compartiments SSE-KMS chiffrés) pour connaître les résultats de l'exécution, notamment l'état de la configuration de réplication ainsi que le rôle IAM utilisé pour la réplication.

Références

Systems Manager Automation