Replikasi di wilayah yang sama (SRR) mereplikasi objek—termasuk pembuatan, pembaruan, dan penghapusannya—secara otomatis dan asinkron (dalam waktu nyaris real-time) dari bucket sumber ke bucket tujuan. Bucket sumber dan bucket tujuan harus berada di wilayah yang sama dan dimiliki oleh Akun Alibaba Cloud yang sama. Topik ini menjelaskan cara mengonfigurasi SRR untuk bucket dalam akun yang sama.
Prasyarat
Bucket sumber telah dibuat di suatu wilayah di bawah Akun Alibaba Cloud Anda. UID akun, nama bucket sumber, dan wilayahnya telah dicatat.
Bucket tujuan telah dibuat di wilayah yang sama di bawah Akun Alibaba Cloud yang sama. Nama bucket tujuan telah dicatat.
Jenis peran RAM
Untuk menjalankan SRR, Anda harus menentukan peran RAM yang dapat diasumsikan oleh Object Storage Service (OSS) guna mereplikasi objek dari bucket sumber ke bucket tujuan. Anda dapat menggunakan salah satu jenis peran berikut untuk tugas SRR.
Anda dapat membuat peran dengan menggunakan Pengguna RAM. Pengguna RAM tersebut harus memiliki izin berikut: ram:CreateRole, ram:GetRole, ram:ListPoliciesForRole, dan ram:AttachPolicyToRole. Karena pemberian izin terkait peran seperti ram:CreateRole dan ram:GetRole kepada Pengguna RAM melibatkan risiko tinggi, kami menyarankan agar Anda menggunakan Akun Alibaba Cloud yang terkait dengan Pengguna RAM tersebut untuk membuat peran RAM dan memberikan izin kepada peran tersebut. Setelah otorisasi selesai, Pengguna RAM dapat langsung menggunakan kembali peran RAM yang dibuat oleh Akun Alibaba Cloud.
Peran RAM baru (disarankan)
Saat membuat aturan replikasi di wilayah yang sama dalam akun yang sama, Anda dapat memilih untuk membuat peran baru guna menyelesaikan tugas replikasi. Jika memilih opsi ini, sistem akan secara otomatis membuat peran dengan nama berformat oss-replication-{uuid} di latar belakang dan memberikan kebijakan izin yang berbeda tergantung pada apakah Anda memilih untuk mereplikasi objek yang dienkripsi dengan KMS.
Mereplikasi objek yang dienkripsi dengan KMS
Setelah peran dibuat, Anda harus mengotorisasinya dengan mengikuti instruksi di layar. Setelah diotorisasi, peran tersebut menerima kebijakan detail halus untuk replikasi data dan kebijakan AliyunKMSCryptoUserAccess untuk mengelola KMS.
Tidak mereplikasi objek yang dienkripsi dengan KMS
Setelah peran dibuat, Anda harus mengotorisasinya dengan mengikuti instruksi di layar. Setelah diotorisasi, peran tersebut menerima kebijakan detail halus untuk replikasi data.
AliyunOSSRole
Saat membuat aturan SRR, Anda dapat memilih AliyunOSSRole untuk tugas replikasi. Setelah memilih peran ini, sistem akan menyambungkan kebijakan berdasarkan apakah Anda memilih untuk mereplikasi objek yang dienkripsi dengan KMS.
Mereplikasi objek yang dienkripsi dengan KMS
Jika memilih AliyunOSSRole, sistem secara otomatis menyambungkan kebijakan AliyunOSSFullAccess (memberikan izin untuk mengelola OSS) dan kebijakan AliyunKMSCryptoUserAccess (memberikan izin untuk mengelola KMS) ke peran tersebut.
PeringatanPeran ini memiliki izin untuk melakukan semua operasi pada semua bucket dan kunci KMS di akun saat ini. Ini merupakan cakupan izin yang luas, sehingga gunakan peran ini dengan hati-hati.
Tidak mereplikasi objek yang dienkripsi dengan KMS
Jika memilih AliyunOSSRole, sistem secara otomatis menyambungkan kebijakan AliyunOSSFullAccess (memberikan izin untuk mengelola OSS) ke peran tersebut.
PeringatanPeran ini memiliki izin untuk melakukan semua operasi pada semua bucket di akun saat ini. Ini merupakan cakupan izin yang luas, sehingga gunakan peran ini dengan hati-hati.
Peran kustom
Saat membuat aturan SRR, Anda dapat menggunakan peran kustom untuk tugas replikasi. Anda harus membuat peran kustom di Konsol RAM dan memberikan izin yang diperlukan kepada peran tersebut.
Buat peran layanan reguler.
Saat membuat peran, pilih Alibaba Cloud Service sebagai tipe entitas tepercaya dan Object Storage Service sebagai layanan tepercaya. Untuk informasi selengkapnya, lihat Buat peran layanan reguler.
Berikan izin kepada peran tersebut.
Anda dapat memberikan izin kepada peran tersebut dengan salah satu cara berikut.
Kebijakan sistem
PeringatanAnda dapat memberikan kebijakan sistem
AliyunOSSFullAccesskepada peran RAM. KebijakanAliyunOSSFullAccessmemberikan izin penuh atas semua bucket di akun saat ini secara default. Gunakan kebijakan ini dengan hati-hati.Jika Anda ingin menyalin objek yang dienkripsi dengan KMS ke bucket tujuan, Anda juga perlu memberikan kebijakan sistem
AliyunKMSFullAccesskepada peran tersebut.Untuk informasi selengkapnya, lihat Berikan izin kepada peran RAM.
Kebijakan kustom
Kami menyarankan agar Anda memberikan izin minimum yang diperlukan kepada peran RAM untuk mereplikasi objek dari bucket sumber (src-bucket) ke bucket tujuan (dest-bucket).
CatatanSaat menggunakan kebijakan ini, ganti nama bucket sumber dan bucket tujuan dengan nama aktualnya.
{ "Version":"1", "Statement":[ { "Effect":"Allow", "Action":[ "oss:ReplicateList", "oss:ReplicateGet" ], "Resource":[ "acs:oss:*:*:src-bucket", "acs:oss:*:*:src-bucket/*" ] }, { "Effect":"Allow", "Action":[ "oss:ReplicateList", "oss:ReplicateGet", "oss:ReplicatePut", "oss:ReplicateDelete" ], "Resource":[ "acs:oss:*:*:dest-bucket", "acs:oss:*:*:dest-bucket/*" ] } ] }Untuk informasi selengkapnya, lihat Berikan izin kepada peran RAM.
CatatanJika Anda ingin menyalin objek yang dienkripsi dengan KMS ke bucket tujuan, Anda juga perlu memberikan kebijakan sistem
AliyunKMSFullAccesskepada peran tersebut.
Untuk SRR dalam akun yang sama, OSS hanya mengevaluasi izin berdasarkan kebijakan peran RAM. OSS tidak memeriksa kebijakan bucket dari bucket sumber atau bucket tujuan.