amazon-web-services - 无法使两个账户之间的 Amazon S3 跨区域复制正常工作

Question

我希望有人可以帮助我进行 Amazon S3 跨区域复制查询。我有两个 Amazon AWS 账户，每个账户都有一个位于不同区域的存储桶。我想将数据从一个存储桶复制到另一个存储桶，据我所知，这应该是一个简单的创建过程。但是，我真的很挣扎，我不知道自己做错了什么。我已经按照很多在线说明进行操作，包括阅读各种 AWS 教程，看到很多示例，但我无法获取要复制的数据。

我在两个存储桶上都启用了版本控制，但没有任何数据被加密。但是，我的源存储桶中确实有一个策略允许通过引用条件访问源数据，以便只能通过特定域访问数据(在本例中为图像)。这一切都很好，我怀疑这可能是限制从目标存储桶访问的原因。

我已按照在线说明设置复制规则和 IAM 策略。

所以，我的源存储桶策略是:-

{
"Version": "2012-10-17",
"Id": "http referrer policy",
"Statement": [
    {
        "Sid": "Allow get requests originated from list",
        "Effect": "Allow",
        "Principal": "*",
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::SOURCEBUCKET/*",
        "Condition": {
            "StringLike": {
                "aws:Referer": [
                    "http://www.domain1.com/*",
                    "https://www.domain2.com/*",
                    "http://domain3.com/*"
                ]
            }
        }
    }
]

我的目标存储桶策略是:-

{
"Version": "2008-10-17",
"Id": "S3-Console-Replication-Policy",
"Statement": [
    {
        "Sid": "S3ReplicationPolicyStmt1",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::MYSOURCEACCIDNUMBER:root"
        },
        "Action": [
            "s3:List*",
            "s3:GetBucketVersioning",
            "s3:PutBucketVersioning",
            "s3:ReplicateObject",
            "s3:ReplicateDelete"
        ],
        "Resource": [
            "arn:aws:s3:::DESTINATIONBUCKET",
            "arn:aws:s3:::DESTINATIONBUCKET/*"
        ]
    }
]

任何人都可以告诉我如何(如果我需要)添加到源存储桶策略以允许从目标存储桶进行访问吗？我非常有信心问题出在这里。

提前致谢。

Answer 1

为了测试这种情况，我做了以下事情:

• 在 Account-A 中使用版本控制创建了 Bucket-A
• 在 Account-B 中使用版本控制创建了 Bucket-B
• 在 Bucket-A 上配置跨区域复制，选择“创建新角色”(见下文)
• 将 UI 中提供的目标存储桶策略(与您上面的匹配)添加到 Bucket-B

进程创建了一个名为s3crr_role_for_bucket-a_to_bucket-b的角色，其中包含:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:Get*",
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::bucket-a",
                "arn:aws:s3:::bucket-a/*"
            ]
        },
        {
            "Action": [
                "s3:ReplicateObject",
                "s3:ReplicateDelete",
                "s3:ReplicateTags",
                "s3:GetObjectVersionTagging"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::bucket-b/*"
        }
    ]
}

然后我将一个文件上传到 Bucket-A 并成功复制到 Bucket-B。

所以，这个过程似乎工作正常。如果您遇到困难，一些想法是:

• 确保没有可能对存储桶应用DENY的策略
• 检查分配给 CRR 的 IAM 角色并确保它正在授予如上所示的权限
• 检查Troubleshooting Cross-Region Replication - Amazon Simple Storage Service
• 另请参阅 Cross-Region Replication Status Information - Amazon Simple Storage Service