Replikasi cross-account dalam wilayah yang sama - Object Storage Service

Replikasi cross-account dalam wilayah yang sama secara otomatis dan asinkron (hampir real-time) menyalin objek dari bucket sumber ke bucket tujuan dalam wilayah yang sama di akun Alibaba Cloud lain. Fitur ini membantu Anda menerapkan disaster recovery, membuat backup terisolasi lintas akun, atau memenuhi persyaratan kepatuhan residensi data.

Untuk mengonfigurasi replikasi cross-account dalam wilayah yang sama, Anda harus melakukan tindakan di kedua akun—sumber dan tujuan. Proses ini mencakup tiga langkah utama:

Akun sumber: Buat peran RAM khusus untuk replikasi data dan berikan izin minimum yang diperlukan untuk membaca data dari bucket sumber.
Akun tujuan: Ubah kebijakan bucket dari bucket tujuan untuk memberikan akses tulis kepada peran RAM dari akun sumber.
Akun sumber (kembali): Buat aturan Same-Region Replication untuk menghubungkan bucket sumber dan bucket tujuan guna memulai tugas replikasi.

Langkah 1: Buat dan otorisasi peran RAM

Buat peran RAM: Di halaman Create RAM Role, pilih Cloud Service untuk Principal Type dan Object Storage untuk Principal Name.
Berikan izin peran RAM untuk mengakses bucket sumber. Buat kebijakan kustom yang hanya mencakup izin yang diperlukan agar replikasi dapat membaca data dari bucket sumber dan memulai tugas replikasi.
1. Di halaman Create Policy, klik tab JSON Editor. Tempel konten kebijakan berikut ke editor kebijakan, lalu ganti src-bucket dengan nama bucket sumber yang sebenarnya.
```
{
   "Version": "1",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "oss:ReplicateList",
            "oss:ReplicateGet"
         ],
         "Resource": [
            "acs:oss:*:*:src-bucket",
            "acs:oss:*:*:src-bucket/*"
         ]
      }
   ]
}
```
2. Setelah membuat kebijakan, kembali ke halaman Roles. Temukan peran tersebut, klik Add Permissions, lalu pada panel yang muncul, pilih kebijakan kustom yang baru saja Anda buat untuk Permissions Policy dan klik OK. Principal dipilih secara otomatis.
Untuk mereplikasi data yang dienkripsi KMS, Anda juga harus memberikan izin peran RAM untuk mengakses KMS.
1. Di halaman Roles, temukan peran yang telah Anda buat dan klik Add Permissions.
2. Pada panel tersebut, pilih AliyunKMSCryptoUserAccess untuk Permissions Policy dan klik OK. Principal dipilih secara otomatis.
Catat ARN peran untuk digunakan nanti. Di halaman Roles, temukan peran RAM yang telah Anda buat dan buka halaman Basic Information-nya. Formatnya adalah acs:ram::{Source-Account-ID}:role/{Role-Name}.

Langkah 2: Berikan izin dan siapkan sumber daya

Berikan izin peran RAM untuk menulis ke bucket tujuan. Di akun tujuan, ubah kebijakan bucket dari bucket tujuan untuk memberikan akses tulis kepada peran RAM dari akun sumber.
1. Login dengan akun tujuan, buka halaman Bucket List, lalu klik bucket tujuan.
2. Di panel navigasi sebelah kiri, pilih Permissions > Bucket Policy.
3. Klik tab Visual Editor, lalu klik Authorize to Receive Replicated Objects.
4. Pada panel yang muncul, konfigurasikan parameter berikut:
  - Method to Obtain UID and RAM Role: Pilih Obtain from the RAM role ARN of the source.
  - Source RAM Role ARN: Masukkan ARN peran RAM dari akun sumber yang telah Anda catat di Langkah 1.
  - Authorization Purpose: Pilih Cross-account same-region replication.
5. Klik Generate Policy, lalu klik Save.
(Opsional) Konfigurasikan kunci KMS di akun tujuan. Jika Anda ingin mereplikasi objek yang dienkripsi KMS, Anda harus terlebih dahulu mengonfigurasi kunci KMS di akun tujuan.
1. Login ke halaman Instance Management di konsol KMS, lalu di wilayah yang sama dengan bucket akun sumber, beli dan aktifkan instans KMS. Saat membeli instans KMS, pastikan bahwa kuota Access Management Quota lebih besar dari atau sama dengan 2 dan biarkan parameter lainnya pada pengaturan default.
  Catatan
  Replikasi cross-account objek yang dienkripsi KMS bergantung pada KMS. Wilayah yang didukung dibatasi oleh ketersediaan KMS. Untuk informasi selengkapnya tentang wilayah yang didukung, lihat Wilayah dan titik akhir yang didukung untuk manajemen kunci perangkat lunak.
2. Di instans KMS, buat kunci perangkat lunak. Jenis kunci harus berupa kunci non-default (kunci perangkat lunak direkomendasikan). Setelah kunci dibuat, catat Key ARN dari bagian Configure Basic Information untuk digunakan saat membuat aturan replikasi nanti.
3. Tetapkan kebijakan kunci untuk kunci yang telah dibuat. Dalam kebijakan kunci tersebut, tambahkan ARN peran RAM yang dibuat oleh akun sumber sebagai Cross-account User. Ini adalah ARN peran yang telah Anda buat di langkah sebelumnya. Untuk informasi selengkapnya, lihat Tetapkan kebijakan kunci.
  Secara default, operasi ini memberikan izin yang diperlukan kepada peran, seperti Decrypt (kms:Decrypt) dan GenerateDataKey (kms:GenerateDataKey), sehingga peran tersebut dapat menggunakan kunci ini untuk membuat objek terenkripsi di bucket tujuan. Wizard konsol sudah menyertakan izin yang diperlukan secara default, tetapi jika Anda menetapkan kebijakan kunci kustom menggunakan OpenAPI, Anda harus memastikan secara manual bahwa izin-izin tersebut telah ditambahkan dengan benar.

Langkah 3: Buat aturan Same-Region Replication

Setelah memberikan izin yang diperlukan, kembali ke konsol akun sumber untuk membuat aturan replikasi dan memulai tugas.

Login dengan akun sumber, buka halaman Bucket List, lalu klik bucket sumber.
Di panel navigasi sebelah kiri, pilih Data Management > SRR.
Klik SRR. Pada kotak dialog yang muncul, konfigurasikan parameter berikut:
1. Set Destination Bucket: Pilih Specify a bucket in another account, pilih wilayah bucket tujuan, lalu masukkan nama bucket tersebut.
  - Objects to Replicate: Pilih Synchronize all files atau Objects with Specified Prefix. Objek di bucket sumber dengan awalan tertentu akan direplikasi ke bucket tujuan. Secara default, Anda dapat menambahkan hingga 10 awalan. Untuk meningkatkan jumlah awalan, hubungi . Batas tersebut dapat ditingkatkan hingga maksimal 100.
  - Object Tagging:
    Catatan
    Untuk mengonfigurasi parameter ini, Anda harus memenuhi kondisi berikut:
    Anda telah menetapkan tag objek.
    Anda tidak memilih opsi Replicate delete markers dan Replicate deletes of specific versions.
    Setelah Anda memilih kotak centang Configure Rules, Anda dapat menyalin objek dengan tag tertentu ke bucket tujuan. Anda dapat menambahkan hingga 10 tag (pasangan kunci-nilai). Setelah menambahkan tag, Anda dapat memilih kebijakan penyaringan tag berikut:
    - Include all tags: Objek direplikasi jika semua tag-nya termasuk dalam himpunan tag yang ditentukan dalam aturan filter.
    - Include any one tag: Objek direplikasi jika salah satu tag-nya ada dalam himpunan tag yang ditentukan dalam aturan filter.
  - Replicate KMS-encrypted objects: Jika objek sumber dienkripsi dengan KMS dan Anda ingin objek hasil replikasi tetap terenkripsi, pilih Replicate dan berikan kunci KMS yang telah Anda konfigurasi di akun tujuan pada Langkah 2. Jika Anda memilih Do not replicate, OSS tidak akan mereplikasi file yang dienkripsi KMS.
    Catatan
    Anda dapat menggunakan operasi HeadObject dan GetBucketEncryption untuk memeriksa status enkripsi objek sumber dan bucket tujuan, masing-masing.
  - Role for Authorization: Dari daftar drop-down, pilih peran RAM yang telah Anda buat di akun sumber pada Langkah 1.
2. Set Replication Policy:
  - Replicate delete operations (Opsi ini muncul ketika Pengendalian versi dinonaktifkan untuk bucket sumber): Pilih apakah akan menyinkronkan operasi penghapusan dari bucket sumber ke bucket tujuan.
    - Yes: Menyalin operasi pembuatan, pembaruan, dan penghapusan agar bucket tujuan tetap konsisten dengan bucket sumber. Ini cocok untuk lingkungan tempat beberapa pengguna atau aplikasi perlu berbagi dan mengakses dataset yang sama. Namun, dengan pengaturan ini, ketika suatu objek dihapus dari bucket sumber—baik secara manual maupun oleh aturan siklus hidup—OSS juga akan menghapus objek yang sesuai di bucket tujuan, dan tidak dapat dipulihkan.
    - No: Hanya menyalin objek baru dan yang diperbarui. Menghapus objek dari bucket sumber tidak memengaruhi bucket tujuan. Dalam skenario disaster recovery, memilih No mencegah replikasi penghapusan tidak disengaja dari bucket sumber, sehingga meningkatkan keamanan data.
  - Replicate historical data: Pilih apakah akan mereplikasi objek yang sudah ada di bucket sumber sebelum Anda membuat aturan replikasi. Operasi ini akan menimpa objek dengan nama yang sama di bucket tujuan. Untuk mencegah kehilangan data, kami sarankan Anda mengaktifkan Pengendalian versi untuk kedua bucket, baik sumber maupun tujuan.
  - Replicate delete markers (Opsi ini muncul ketika Pengendalian versi diaktifkan untuk bucket sumber): Pilih apakah akan mereplikasi penanda hapus dari bucket sumber ke bucket tujuan.
    - Replicate: Ketika suatu objek dihapus dari bucket sumber tanpa menentukan ID versi, OSS mereplikasi penanda hapus yang dibuat di bucket sumber ke bucket tujuan. Ini cocok untuk skenario tempat Anda perlu berbagi dan mengakses dataset yang sama serta memastikan konsistensi status data antara bucket sumber dan tujuan.
      Penting
      Jika Anda mengonfigurasi kebijakan ini, ketika suatu objek dihapus dari bucket sumber—baik secara manual maupun oleh aturan siklus hidup—OSS juga akan membuat penanda hapus di bucket tujuan, sehingga data di bucket tujuan menjadi tidak dapat diakses.
    - Do not replicate (Disarankan untuk skenario disaster recovery): OSS tidak mereplikasi penanda hapus yang dibuat di bucket sumber ke bucket tujuan. Hal ini secara efektif mencegah kehilangan data di bucket tujuan akibat penghapusan tidak disengaja atau penghapusan otomatis oleh aturan siklus hidup di bucket sumber.
  - Replicate deletes of specific versions (Opsi ini muncul ketika Pengendalian versi diaktifkan untuk bucket sumber): Pilih apakah akan mereplikasi penghapusan permanen versi objek tertentu dari bucket sumber ke bucket tujuan.
    - Replicate: Ketika versi tertentu dari objek sumber—termasuk versi saat ini dan versi sebelumnya—dihapus secara permanen, OSS juga akan menghapus secara permanen versi yang sesuai di bucket tujuan. Ini cocok untuk skenario yang memerlukan identitas data sumber dan tujuan secara lengkap.
      Penting
      Dengan pengaturan ini, Anda tidak dapat memulihkan versi objek dari bucket tujuan yang telah dihapus secara permanen dari bucket sumber. Gunakan opsi ini dengan hati-hati.
    - Do not replicate (Disarankan untuk skenario disaster recovery): Ketika versi tertentu dari objek sumber dihapus secara permanen, OSS tidak menghapus versi yang sesuai di bucket tujuan. Hal ini mencegah operasi penghapusan permanen di bucket sumber memengaruhi keamanan data di bucket tujuan.
    Jika suatu objek diunggah ke bucket sumber menggunakan unggah multi-bagian, OSS mereplikasi setiap operasi unggah bagian ke bucket tujuan. OSS juga mereplikasi objek akhir yang dihasilkan setelah operasi CompleteMultipartUpload. Untuk informasi selengkapnya tentang perilaku replikasi saat Pengendalian versi diaktifkan, lihat Same-Region Replication dengan Pengendalian versi.
Catatan
Setelah dibuat, aturan Same-Region Replication tidak dapat diubah atau dihapus. Tinjau semua konfigurasi dengan cermat sebelum Anda mengklik OK. Untuk menghentikan replikasi, Anda dapat menonaktifkan tugas replikasi.
Setelah memastikan semua pengaturan sudah benar, klik OK lalu Confirm Enable.
Tugas replikasi dimulai 3 hingga 5 menit setelah aturan replikasi dalam wilayah yang sama dikonfigurasi. Anda dapat melihat progres replikasi di tab SRR bucket sumber. Karena replikasi dalam wilayah yang sama antar bucket merupakan proses asinkron (hampir real-time), waktu yang dibutuhkan untuk mereplikasi data ke bucket tujuan bergantung pada ukuran datanya dan biasanya berkisar dari beberapa menit hingga beberapa jam.

FAQ

Apakah saya dapat menggunakan kebijakan JSON untuk izin bucket?

Ya. Anda dapat memilih Add Policy by Syntax di halaman kebijakan bucket bucket tujuan untuk konfigurasi yang lebih fleksibel. Perhatikan poin-poin berikut saat menggunakan kebijakan JSON:

Kebijakan baru akan menimpa kebijakan bucket yang sudah ada. Pastikan kebijakan baru mencakup semua aturan otorisasi yang diperlukan.
Tetapkan bidang Principal dalam kebijakan ke ARN peran RAM di akun sumber.
Jika nama peran berisi huruf kapital, Anda harus mengubahnya menjadi huruf kecil dalam kebijakan. Misalnya, peran bernama AliyunOssDrsRole harus ditulis sebagai aliyunossdrsrole dalam kebijakan.
Anda harus memberikan UID akun sumber dan tujuan serta nama bucket tujuan secara akurat.

Berikut contoh kebijakan:

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Allow",
            "Action":[
                "oss:ReplicateList",
                "oss:ReplicateGet",
                "oss:ReplicatePut",
                "oss:ReplicateDelete"
            ],
            "Principal": {
                "RAM": [
                    "acs:ram::{Source-Account-ID}:role/{role-name}"
                ]
            },
            "Resource":[
                "acs:oss:*:{Destination-Account-ID}:{Destination-Bucket-Name}",
                "acs:oss:*:{Destination-Account-ID}:{Destination-Bucket-Name}/*"
            ]
        }
    ]
}

Object Storage Service:Replikasi cross-account dalam wilayah yang sama

Langkah 1: Buat dan otorisasi peran RAM

Langkah 2: Berikan izin dan siapkan sumber daya

Langkah 3: Buat aturan Same-Region Replication

FAQ

Apakah saya dapat menggunakan kebijakan JSON untuk izin bucket?

Referensi