View a markdown version of this page

AWSSupport-ConfigureS3ReplicationSameAndCrossAccount - AWS Systems Manager Riferimento al runbook dell’automazione

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWSSupport-ConfigureS3ReplicationSameAndCrossAccount

Descrizione

Il runbook di AWSSupport-ConfigureS3ReplicationSameAndCrossAccount automazione configura la replica dei bucket di Amazon Simple Storage Service (Amazon S3) tra un bucket di origine e uno di destinazione per lo stesso account o per più account. Questa automazione supporta la replica di bucket crittografati con Server-Side Encryption with Amazon S3-Managed Keys () e Encryption with (). SSE-S3 Server-Side AWS Key Management Service SSE-KMS Supporta inoltre il filtro di replica selettiva basato su prefissi e tag, Amazon S3 Replication Time Control (Amazon S3 RTC) con SLA di 15 minuti e la replica con marker di eliminazione. L'automazione esegue le seguenti azioni:

  • Convalida i parametri di input e le configurazioni dei bucket per verificarne la compatibilità.

  • Controlla le impostazioni di crittografia sia sui bucket di origine che su quelli di destinazione.

  • Crea un nuovo ruolo AWS Identity and Access Management (IAM) con le autorizzazioni appropriate per la replica se non viene fornito come input.

  • Configura le regole di replica in base a parametri specificati (prefisso, tag o intero bucket).

  • Abilita il controllo delle versioni del bucket se non è già abilitato.

  • Imposta la configurazione della replica con funzionalità opzionali come Replication Time Control (RTC) e delete marker replication.

Importante

  • Questa automazione non supporta i bucket con regole di replica esistenti. Il bucket di origine non deve avere alcuna configurazione di replica esistente.

  • Questa automazione crea un nuovo ruolo IAM con le autorizzazioni appropriate per la replica se non viene fornito l' S3ReplicationRole input.

  • Questa automazione non replica gli oggetti esistenti. La replica di Amazon S3 si applica agli oggetti solo uploaded/created dopo l'abilitazione della configurazione di replica.

  • Per la replica tra account, è necessario fornire un ruolo IAM nell'account di destinazione con le autorizzazioni appropriate per le operazioni e AWS KMS le operazioni di Amazon S3 (se il bucket utilizza la crittografia). AWS KMS

  • Questa automazione utilizza l'aws:approveazione, che sospende temporaneamente l'esecuzione fino a quando i principali designati non approvano le modifiche alla configurazione. Per ulteriori informazioni, consulta Esecuzione di un'automazione con approvatori.

Come funziona?

Il runbook esegue i seguenti passaggi:

  • ValidateInputParameters: convalida tutti i parametri di input per verificarne la correttezza e la compatibilità per garantire la corretta configurazione della replica.

  • PrepareApprovalMessage: prepara un messaggio di approvazione con tutti i parametri di configurazione della replica per la revisione da parte degli utenti.

  • RequestApproval: richiede l'approvazione degli utenti autorizzati prima di aggiungere la configurazione di replica di Amazon S3 nel bucket di origine.

  • CheckBucketEncryption: controlla la configurazione della crittografia per i bucket Amazon S3 di origine e di destinazione per determinare le impostazioni di replica compatibili.

  • BranchOnEncryptionType: l'esecuzione dei branch in base al tipo di crittografia dei bucket Amazon S3 per applicare la configurazione di replica appropriata per i bucket crittografati. SSE-S3 SSE-KMS

  • Configura la replica ES3: configura la replica di Amazon S3 per i bucket crittografati con Encryption with Server-Side Amazon Keys (), inclusi i ruoli IAM e le regole di replica. S3-Managed SSE-S3

  • Configura SEKMSReplication: configura la replica di Amazon S3 per i bucket crittografati con Encryption with (), inclusi i ruoli IAM, le autorizzazioni delle chiavi KMS e le regole di replica. Server-Side AWS KMS SSE-KMS

  • CleanupResources: ripulisce il ruolo IAM creato durante la configurazione di replica non riuscita quando non viene fornito come input. S3ReplicationRole

Esegui questa automazione (console)

Autorizzazioni IAM richieste

Il AutomationAssumeRole parametro richiede le seguenti azioni per utilizzare correttamente il runbook.

  • s3: ListBucket

  • s3: GetBucketVersioning

  • s3: GetEncryptionConfiguration

  • s3: GetBucketLocation

  • s3: GetReplicationConfiguration

  • s3: PutBucketVersioning

  • s3: PutReplicationConfiguration

  • sono: ListRoles

  • sono: GetRole

  • sono: GetRolePolicy

  • sono: ListRoleTags

  • sono: ListAttachedRolePolicies

  • sono: ListRolePolicies

  • sono: SimulatePrincipalPolicy

  • sono: CreateRole

  • sono: TagRole

  • sono: PassRole

  • sono: DeleteRole

  • sono: DeleteRolePolicy

  • sono: DetachRolePolicy

  • sono: PutRolePolicy

  • set: GetCallerIdentity

  • sns:Publish

  • kms: GetKeyPolicy (quando i bucket utilizzano SSE-KMS, replica con lo stesso account)

  • kms: DescribeKey (quando i bucket utilizzano, replica con lo stesso account) SSE-KMS

  • kms: PutKeyPolicy (quando i bucket utilizzano, replica con lo stesso account) SSE-KMS

  • sts: AssumeRole (per la replica su più account)

CrossAccountReplicationRole (per scenari con più account):

Per la replica tra account, è necessario fornire un CrossAccountReplicationRole account di destinazione con le seguenti autorizzazioni:

  • s3: ListBucket

  • s3: GetBucketVersioning

  • s3: GetBucketLocation

  • s3: GetBucketPolicy

  • s3: GetEncryptionConfiguration

  • s3: PutBucketVersioning

  • s3: PutBucketPolicy

  • kms: GetKeyPolicy (quando si utilizza un bucket di destinazione tra account) SSE-KMS

  • kms: DescribeKey (quando si utilizza un bucket di destinazione tra account) SSE-KMS

  • kms: PutKeyPolicy (quando si utilizza un bucket di destinazione tra account) SSE-KMS

S3ReplicationRole (ruolo fornito dal cliente):

Se ne fornisci uno esistente S3ReplicationRole, deve avere le seguenti autorizzazioni:

  • s3: ListBucket

  • s3: GetBucketLocation

  • s3: GetReplicationConfiguration

  • s3: GetObjectVersionAcl

  • s3: GetObjectVersionTagging

  • s3: GetObjectVersionForReplication

  • s3: GetObjectTagging

  • s3: ReplicateObject

  • s3: ReplicateDelete

  • s3: ReplicateTags

  • s3: ObjectOwnerOverrideToBucketOwner

  • KMS:Decrypt (per gli scenari, chiave KMS di origine SSE-KMS )

  • KMS:Encrypt (per gli scenari, chiave KMS di destinazione) SSE-KMS

  • kms: GenerateDataKey (per SSE-KMS gli scenari, chiave KMS di destinazione)

  • kms: ReEncrypt * (per SSE-KMS gli scenari, chiave KMS di destinazione)

Esempio di AutomationAssumeRole politica per la replica sullo stesso account: 


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetEncryptionConfiguration",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::SOURCE_BUCKET",
                "arn:aws:s3:::DESTINATION_BUCKET"
            ]
        },
        {
            "Sid": "IAMReadOperations",
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:ListRoleTags",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:SimulatePrincipalPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMListRolesForCleanup",
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Sid": "IAMCreateAndTagRole",
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:TagRole"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "IAMPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "s3.amazonaws.com"
                }
            }
        },
        {
            "Sid": "TaggedIAMRoleModifyAndDeleteOperations",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "STSGetCallerIdentity",
            "Effect": "Allow",
            "Action": "sts:GetCallerIdentity",
            "Resource": "*"
        },
        {
            "Sid": "SNSPublish",
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "SNS_TOPIC_ARN"
        },
        {
            "Sid": "KMSKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:REGION:ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
                "arn:aws:kms:REGION:ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
            ]
        },
        {
            "Sid": "KMSKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": [
                "arn:aws:kms:REGION:ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
                "arn:aws:kms:REGION:ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "ACCOUNT_ID"
                }
            }
        }
    ]
}
Nota

Le dichiarazioni della politica (KMSKeyReadOperations e KMSKeyMutatingOperations) sono richieste solo quando i bucket utilizzano la crittografia. SSE-KMS

Esempio AutomationAssumeRole di politica per la replica tra account: 


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3SourceBucketOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetEncryptionConfiguration",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": "arn:aws:s3:::SOURCE_BUCKET"
        },
        {
            "Sid": "IAMReadOperations",
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:ListRoleTags",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:SimulatePrincipalPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMListRolesForCleanup",
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Sid": "IAMCreateAndTagRole",
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:TagRole"
            ],
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "IAMPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "s3.amazonaws.com"
                }
            }
        },
        {
            "Sid": "TaggedIAMRoleModifyAndDeleteOperations",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/S3RepRole-*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/AWSSupport-ConfigureS3ReplicationSameAndCrossAccount": "*"
                }
            }
        },
        {
            "Sid": "CrossAccountRoleAssumption",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "CROSS_ACCOUNT_REPLICATION_ROLE_ARN"
        },
        {
            "Sid": "STSGetCallerIdentity",
            "Effect": "Allow",
            "Action": "sts:GetCallerIdentity",
            "Resource": "*"
        },
        {
            "Sid": "SNSPublish",
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "SNS_TOPIC_ARN"
        },
        {
            "Sid": "KMSSourceKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID"
        },
        {
            "Sid": "KMSSourceKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "SOURCE_ACCOUNT_ID"
                }
            }
        }
    ]
}
Nota

  • Le dichiarazioni della politica (KMSSourceKeyReadOperations e KMSSourceKeyMutatingOperations) sono richieste solo quando il bucket di origine utilizza la crittografia. SSE-KMS

  • Sostituisci CROSS_ACCOUNT_REPLICATION_ROLE_ARN con il valore effettivo del parametro fornito all'automazione. CrossAccountReplicationRole

CrossAccountReplicationRoleEsempio di politica:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3DestinationBucketReadOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketVersioning",
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy",
                "s3:GetEncryptionConfiguration",
                "s3:ListBucket",
                "s3:PutBucketVersioning",
                "s3:PutBucketPolicy"
            ],
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET"
        },
        {
            "Sid": "KMSDestinationKeyReadOperations",
            "Effect": "Allow",
            "Action": [
                "kms:GetKeyPolicy",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
        },
        {
            "Sid": "KMSDestinationKeyMutatingOperations",
            "Effect": "Allow",
            "Action": "kms:PutKeyPolicy",
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "DESTINATION_ACCOUNT_ID"
                }
            }
        }
    ]
}
Nota

Le istruzioni KMS (KMSDestinationKeyReadOperations e KMSDestinationKeyMutatingOperations) sono richieste solo quando il bucket di destinazione utilizza SSE-KMS la crittografia. Rimuovi queste istruzioni per gli SSE-S3 scenari.

Esempio CrossAccountReplicationRole di politica di fiducia:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "AUTOMATION_ASSUME_ROLE_ARN"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}
Nota

Sostituisci AUTOMATION_ASSUME_ROLE_ARN con il valore effettivo del parametro fornito all'automazione. AutomationAssumeRole

S3ReplicationRoleEsempio di politica:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3SourceBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:GetReplicationConfiguration",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectTagging"
            ],
            "Resource": [
                "arn:aws:s3:::SOURCE_BUCKET",
                "arn:aws:s3:::SOURCE_BUCKET/*"
            ]
        },
        {
            "Sid": "S3DestinationBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ReplicateObject",
                "s3:ReplicateDelete",
                "s3:ReplicateTags"
            ],
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET/*"
        },
        {
            "Sid": "S3CrossAccountPermissions",
            "Effect": "Allow",
            "Action": "s3:ObjectOwnerOverrideToBucketOwner",
            "Resource": "arn:aws:s3:::DESTINATION_BUCKET/*"
        },
        {
            "Sid": "KMSSourceKeyPermissions",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:SOURCE_REGION:SOURCE_ACCOUNT_ID:key/SOURCE_KMS_KEY_ID"
        },
        {
            "Sid": "KMSDestinationKeyPermissions",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey",
                "kms:ReEncrypt*"
            ],
            "Resource": "arn:aws:kms:DESTINATION_REGION:DESTINATION_ACCOUNT_ID:key/DESTINATION_KMS_KEY_ID"
        }
    ]
}
Nota

  • Le istruzioni KMS (KMSSourceKeyPermissions e KMSDestinationKeyPermissions) sono richieste solo quando i bucket utilizzano SSE-KMS la crittografia.

  • L' S3CrossAccountPermissions istruzione è richiesta solo per la replica tra bucket tra account.

Esempio S3ReplicationRole di politica di fiducia:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Istruzioni

Segui questi passaggi per configurare l'automazione:

  1. Accedi AWSSupport-ConfigureS3ReplicationSameAndCrossAccount a Systems Manager in Documenti.

  2. Seleziona Execute automation (Esegui automazione).

  3. Per i parametri di input, inserisci quanto segue:

    • AutomationAssumeRole (Obbligatorio):

      • Descrizione: (Obbligatorio) L'Amazon Resource Name (ARN) del ruolo AWS Identity and Access Management (IAM) che consente a Systems Manager Automation di eseguire le azioni per tuo conto. Se non viene specificato alcun ruolo, Systems Manager Automation utilizza le autorizzazioni dell'utente che avvia questo runbook.

      • Tipo: AWS::IAM::Role::Arn

    • SourceBucket (Obbligatorio):

      • Descrizione: (Obbligatorio) Il nome del bucket Amazon S3 di origine in cui verranno create o aggiornate le regole di replica.

      • Tipo: AWS::S3::Bucket::Name

    • DestinationBucket (Obbligatorio):

      • Descrizione: (Obbligatorio) Il nome del bucket Amazon S3 di destinazione in cui verranno replicati gli oggetti.

      • Tipo: String

      • Modello consentito: ^[0-9a-z][a-z0-9\\-\\.]{3,63}$

    • SourceAccountId (Obbligatorio):

      • Descrizione: (Obbligatorio) L'ID AWS dell'account in cui si trova il bucket di origine.

      • Tipo: String

      • Modello consentito: ^[0-9]{12,13}$

    • DestinationAccountId (Obbligatorio):

      • Descrizione: (Obbligatorio) L'ID AWS dell'account in cui si trova il bucket di destinazione.

      • Tipo: String

      • Modello consentito: ^[0-9]{12,13}$

    • SnsNotificationArn (Obbligatorio):

      • Descrizione: (Obbligatorio) L'ARN di un argomento di Amazon Simple Notification Service (Amazon SNS) per le approvazioni di automazione.

      • Tipo: String

      • Modello consentito: ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):sns:[a-z]{2}(-gov)?(-iso[a-z]?)?-[a-z]{2,10}-[0-9]{1,2}:\\d{12}:[0-9a-zA-Z-_]{1,256}(.fifo)?$

    • Approvatori (obbligatorio):

      • Descrizione: (Obbligatorio) L'elenco degli user/role ARN IAM autorizzati ad approvare l'esecuzione dell'automazione.

      • Tipo: StringList

      • Modello consentito: ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:(user|role)/[\\w+=,.@\\-/]+$

    • S3ReplicationRole (Facoltativo):

      • Descrizione: (Facoltativo) L'ARN di un ruolo IAM esistente da utilizzare per le operazioni di replica di Amazon S3. Questo ruolo deve disporre delle autorizzazioni per leggere dal bucket di origine e scrivere nel bucket di destinazione, incluse le autorizzazioni KMS se i bucket utilizzano la crittografia. SSE-KMS Se non viene fornito, l'automazione creerà un nuovo ruolo con le autorizzazioni appropriate.

      • Tipo: String

      • Modello consentito: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:role/[\\w+=,.@\\-/]+$

      • Impostazione predefinita: ""

    • CrossAccountReplicationRole (Facoltativo):

      • Descrizione: (Facoltativo) L'ARN di un ruolo IAM nell'account di destinazione che l'automazione può assumere. È necessario per la replica tra account. Per la replica sullo stesso account, lascia questo campo vuoto.

      • Tipo: String

      • Modello consentito: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::\\d{12}:role/[\\w+=,.@\\-/]+$

      • Impostazione predefinita: ""

    • ReplicateEntireBucket (Facoltativo):

      • Descrizione: (Facoltativo) Se impostato sutrue, l'intero bucket verrà replicato e sia il prefisso che i tag devono essere vuoti. Se false, la replica si baserà sul prefisso o sui tag specificati.

      • Tipo: Boolean

      • Valori consentiti: [true, false]

      • Impostazione predefinita: true

    • ReplicationRuleStatus (Facoltativo):

      • Descrizione: (Facoltativo) Se impostato sutrue, le regole di replica create saranno abilitate. Se impostato sufalse, le regole di replica create verranno impostate su Disabilitato.

      • Tipo: Boolean

      • Valori consentiti: [true, false]

      • Impostazione predefinita: true

    • DeleteMarkerReplicationStatus (Facoltativo):

      • Descrizione: (Facoltativo) Se impostata sutrue, l'automazione consente la replica degli indicatori di eliminazione.

      • Tipo: Boolean

      • Valori consentiti: [true, false]

      • Impostazione predefinita: false

    • ReplicationTimeControl (Facoltativo):

      • Descrizione: (Facoltativo) Se impostato sutrue, abilita Amazon S3 Replication Time Control (Amazon S3 RTC) con SLA di 15 minuti per tempi di replica prevedibili.

      • Tipo: Boolean

      • Valori consentiti: [true, false]

      • Impostazione predefinita: false

    • ReplicaModifications (Facoltativo):

      • Descrizione: (Facoltativo) Se impostato sutrue, abilita la replica delle modifiche ai metadati apportate agli oggetti di replica, consentendo la sincronizzazione delle modifiche agli oggetti replicati con l'origine.

      • Tipo: Boolean

      • Valori consentiti: [true, false]

      • Impostazione predefinita: false

    • Prefisso (opzionale):

      • Descrizione: (Facoltativo) Filtro prefisso per la replica selettiva di oggetti con prefissi chiave specifici. Il prefisso deve terminare con una barra finale (/) per un corretto filtraggio dei prefissi Amazon S3.

      • Tipo: String

      • Modello consentito: ^$|^[a-zA-Z0-9!_'()\\-]*/+$

      • Impostazione predefinita: ""

    • Tag (facoltativi):

      • Descrizione: (Facoltativo) array JSON di tag per filtrare gli oggetti da replicare. Formato per tag singolo: [{"Key»:» TagKey «, "Value»:» TagValue «}] e per più tag: [{" Key»:» 1", "Value»:» TagKey 1"}, {TagValue"Key»:» TagKey 2", "Value»:» 2"}]. TagValue

      • Tipo: String

      • Modello consentito: ^\\[((\\{\"Key\":\"[a-zA-Z0-9+\\-=.:/ @\\s]{1,128}\",\"Value\":\"[a-zA-Z0-9+\\-=.:/@\\s]{0,256}\"\\})(,\\{\"Key\":\"[a-zA-Z0-9+\\-=.:/ @\\s]{1,128}\",\"Value\":\"[a-zA-Z0-9+\\-=.:/@\\s]{0,256}\"\\})*)?\\]$

      • Impostazione predefinita: []

  4. Seleziona Esegui.

  5. L'automazione viene avviata.

  6. Il documento esegue i seguenti passaggi:

    • ValidateInputParameters:

      Convalida tutti i parametri di input per verificarne la correttezza e la compatibilità per garantire la corretta configurazione della replica.

    • PrepareApprovalMessage:

      Prepara il messaggio di approvazione con tutti i parametri di configurazione della replica per la revisione da parte degli utenti.

    • RequestApproval:

      Richiede l'approvazione degli utenti autorizzati prima di procedere con le modifiche alla configurazione della replica di Amazon S3.

    • CheckBucketEncryption:

      Verifica la configurazione della crittografia per i bucket Amazon S3 di origine e di destinazione per determinare le impostazioni di replica compatibili.

    • BranchOnEncryptionType:

      L'esecuzione dei branch in base al tipo di crittografia dei bucket Amazon S3 per applicare la configurazione di replica appropriata per i bucket crittografati. SSE-S3 SSE-KMS

    • Configura la replica ES3:

      Configura la replica di Amazon S3 per i bucket crittografati con Server-Side Encryption with Amazon S3-Managed Keys (), inclusi i ruoli IAM e le regole di replica. SSE-S3

    • Configura la replica SEKMS:

      Configura la replica di Amazon S3 per i bucket crittografati con Server-Side Encryption with AWS KMS (SSE-KMS), inclusi i ruoli IAM, le autorizzazioni delle chiavi KMS e le regole di replica.

    • CleanupResources:

      Pulisce i ruoli IAM creati durante la configurazione di replica non riuscita quando non sono stati forniti dal cliente. S3ReplicationRole

  7. Al termine, esamina gli output della fase ConfiguresSES3Replication (per i bucket SSE-S3 crittografati) o della fase ConfiguresSEKMSReplication (per i bucket crittografati) per i risultati dell'esecuzione, incluso lo stato della configurazione della replica e il SSE-KMS ruolo IAM utilizzato per Replication.

Riferimenti

Systems Manager Automation