Object Storage Service:Autorisations requises pour la réplication des données

Remarques sur l'utilisation

• Chaque opération de réplication nécessite un ensemble d'autorisations spécifiques. OSS endosse le rôle RAM que vous créez afin d'obtenir les autorisations requises pour répliquer les données.

• Les ressources spécifiées dans une politique d'autorisation du rôle RAM ne concernent que les ressources appartenant au compte Alibaba Cloud actuel. Par conséquent, les politiques requises pour la réplication des données entre comptes et pour la réplication au sein d'un même compte diffèrent.

  • Réplication des données au sein d'un même compte : les buckets source et de destination sont des ressources appartenant au même compte Alibaba Cloud. Vous pouvez donc accorder les autorisations de réplication sur ces buckets au rôle RAM du compte Alibaba Cloud.

  • Réplication des données entre comptes : les buckets source et de destination appartiennent à deux comptes Alibaba Cloud distincts. Dans cette rubrique, le bucket source et le bucket de destination dans le cadre de la réplication des données entre comptes appartiennent respectivement au Compte A et au Compte B. Pour autoriser la réplication des données du bucket source vers le bucket de destination, joignez une politique RAM au rôle RAM du Compte A et spécifiez une politique de bucket pour le bucket de destination dans le Compte B afin d'accorder les autorisations requises au rôle RAM du Compte A.

Autorisations requises du rôle RAM pour la réplication des données intra-compte

Cette section décrit la politique de confiance et les autorisations minimales requises par le rôle RAM pour la réplication des données au sein d'un même compte.

• Politique de confiance requise pour le rôle RAM

  La politique de confiance suivante est jointe au rôle RAM. OSS est sélectionné en tant qu'entité de confiance et est autorisé à endosser le rôle RAM pour répliquer les données.

  {
    "Statement": [
      {
        "Action": "sts:AssumeRole",
        "Effect": "Allow",
        "Principal": {
          "Service": [
            "oss.aliyuncs.com"
          ]
        }
      }
    ],
    "Version": "1"
  }

• Autorisations minimales requises pour le rôle RAM

  Utilisez une politique RAM pour accorder au rôle RAM les autorisations minimales requises pour répliquer les données sur les buckets source et de destination.

  {
     "Version":"1",
     "Statement":[
        {
           "Effect":"Allow",
           "Action":[
              "oss:ReplicateList",
              "oss:ReplicateGet"
           ],
           "Resource":[
              "acs:oss:*:*:src-bucket",
              "acs:oss:*:*:src-bucket/*"
           ]
        },
        {
           "Effect":"Allow",
           "Action":[
              "oss:ReplicateList",
              "oss:ReplicateGet",
              "oss:ReplicatePut",
              "oss:ReplicateDelete"
           ],
           "Resource":[
              "acs:oss:*:*:dest-bucket",
              "acs:oss:*:*:dest-bucket/*"
           ]
        }
     ]
  }

  Actions

  Action	Description
  oss:ReplicateList	Autorisations de liste dans le processus de réplication. Elles permettent à OSS de lister les données historiques dans le bucket source, puis de les répliquer vers le bucket de destination.
  oss:ReplicateGet	Autorisations de lecture dans le processus de réplication. Elles permettent à OSS de lire les données et les métadonnées des buckets source et de destination, telles que les objets, les parties et les tâches de téléchargement en plusieurs parties.
  oss:ReplicatePut	Autorisations d'écriture dans le processus de réplication. Elles permettent à OSS d'effectuer des opérations d'écriture sur le bucket de destination, telles que l'écriture d'objets, de tâches de téléchargement en plusieurs parties, de parties et de liens symboliques, ainsi que la modification des métadonnées des objets.
  oss:ReplicateDelete	Autorisations de suppression dans le processus de réplication. Elles permettent à OSS d'effectuer des opérations de suppression sur le bucket de destination, telles que DeleteObject, AbortMultipartUpload et DeleteMarker. Important Cette action n'est requise que si la méthode de réplication des données est définie sur Add/Delete/Change.

Autorisations requises du rôle RAM pour la réplication des données inter-comptes

La réplication des données entre comptes nécessite deux buckets appartenant à différents comptes Alibaba Cloud. Les éléments suivants décrivent la politique de confiance et les autorisations minimales requises par le rôle RAM pour la réplication des données entre comptes.

{
    "Version": "1",
    "Statement": [
       {
        "Effect": "Allow",
        "Action": [
            "oss:ReplicateList",
            "oss:ReplicateGet",
            "oss:ReplicatePut",
            "oss:ReplicateDelete"
        ],
        "Principal": [
            "arn:sts::src-uid:assumed-role/role-name/*"
        ],
        "Resource": [
            "acs:oss:*:dest-uid:dest-bucket",
            "acs:oss:*:dest-uid:dest-bucket/*"
         ]
      }
   ]
}

Références

• CRR intra-compte

• SRR intra-compte

• CRR inter-comptes

• SRR inter-comptes