Replikasi lintas wilayah (CRR) dalam akun yang sama secara otomatis dan asinkron menyalin objek dari bucket sumber di satu wilayah ke bucket tujuan di wilayah lain. Proses ini mencakup pembuatan, pembaruan, dan penghapusan objek. Topik ini menjelaskan cara mengonfigurasi CRR dalam akun yang sama.
Prasyarat
Bucket sumber (Bucket A) telah dibuat di suatu wilayah. Catat UID akun, nama Bucket A, dan wilayahnya.
Bucket tujuan (Bucket B) telah dibuat di wilayah berbeda di bawah akun yang sama. Catat nama Bucket B dan wilayahnya.
Jenis peran
Untuk mengonfigurasi CRR dalam akun yang sama, Anda harus menentukan peran untuk replikasi. Anda dapat memilih salah satu dari peran berikut untuk tugas tersebut.
Anda dapat membuat peran menggunakan Pengguna RAM. Pengguna RAM harus memiliki izin berikut: ram:CreateRole, ram:GetRole, ram:ListPoliciesForRole, dan ram:AttachPolicyToRole. Namun, karena memberikan izin terkait peran kepada Pengguna RAM, seperti ram:CreateRole dan ram:GetRole, menimbulkan risiko keamanan tinggi, Anda dapat menggunakan Akun Alibaba Cloud terkait untuk membuat Peran RAM dan memberikan izin kepadanya. Pengguna RAM kemudian dapat mengasumsikan Peran RAM yang dibuat oleh Akun Alibaba Cloud.
(Direkomendasikan) Buat peran baru
Saat membuat aturan CRR untuk akun yang sama, Anda dapat membuat peran baru untuk tugas replikasi. Jika Anda memilih untuk membuat peran baru, peran bernama oss-replication-{uuid} akan dibuat secara otomatis. Kebijakan akses yang diberikan bergantung pada apakah Anda memilih untuk mereplikasi objek yang dienkripsi menggunakan Key Management Service (KMS).
Replikasi Objek yang Dienskripsi dengan KMS
Setelah membuat peran, ikuti petunjuk di layar untuk memberikan izin. Setelah otorisasi, peran diberi kebijakan detail halus untuk replikasi dari bucket sumber ke bucket tujuan dan kebijakan AliyunKMSFullAccess, yang memberikan izin untuk mengelola KMS.
Tidak Mereplikasi Objek yang Dienskripsi dengan KMS
Setelah membuat peran, ikuti petunjuk di layar untuk memberikan izin. Setelah otorisasi, peran diberi kebijakan detail halus untuk replikasi dari bucket sumber ke bucket tujuan.
AliyunOSSRole
Saat membuat aturan CRR untuk akun yang sama, Anda dapat memilih AliyunOSSRole untuk menyelesaikan tugas replikasi. Jika Anda memilih peran ini, kebijakan akses yang diberikan bergantung pada apakah Anda memilih untuk mereplikasi objek yang dienkripsi dengan KMS.
Replikasi Objek yang Dienskripsi dengan KMS
Jika Anda memilih AliyunOSSRole, peran ini secara otomatis diberi kebijakan AliyunOSSFullAccess, yang memberikan izin untuk mengelola Object Storage Service (OSS), dan kebijakan AliyunKMSFullAccess, yang memberikan izin untuk mengelola KMS.
PeringatanPeran ini memiliki izin untuk melakukan semua operasi pada semua bucket dan kunci KMS di bawah akun saat ini. Ruang lingkup izin besar. Gunakan peran ini dengan hati-hati.
Tidak Mereplikasi Objek yang Dienskripsi dengan KMS
Jika Anda memilih AliyunOSSRole, peran ini secara otomatis diberi kebijakan AliyunOSSFullAccess, yang memberikan izin penuh untuk mengelola OSS.
PeringatanPeran ini memiliki izin untuk melakukan semua operasi pada semua bucket di bawah akun saat ini. Ruang lingkup izin besar. Gunakan peran ini dengan hati-hati.
Peran kustom
Saat membuat aturan CRR untuk akun yang sama, Anda dapat menggunakan peran kustom untuk tugas replikasi. Anda harus membuat peran kustom di konsol RAM dan memberikan izin yang diperlukan kepada peran tersebut.
Buat Peran Layanan
Saat membuat peran, atur jenis entitas tepercaya menjadi Alibaba Cloud Service dan nama entitas tepercaya menjadi Object Storage Service. Untuk informasi lebih lanjut, lihat Buat Peran Layanan.
Berikan Izin kepada Peran
Anda dapat memberikan izin kepada peran dengan salah satu cara berikut.
Berikan kebijakan sistem ke peran RAM
PeringatanAnda dapat memberikan kebijakan sistem
AliyunOSSFullAccesske peran RAM. KebijakanAliyunOSSFullAccessmemberikan izin untuk melakukan semua operasi pada semua bucket di bawah akun saat ini secara default. Gunakan kebijakan ini dengan hati-hati.Jika Anda ingin mereplikasi objek yang dienkripsi dengan KMS ke bucket tujuan, Anda juga harus memberikan kebijakan sistem
AliyunKMSFullAccesske peran.Untuk informasi lebih lanjut, lihat Berikan Izin ke Peran RAM.
Berikan kebijakan kustom ke peran RAM
Anda dapat menggunakan kebijakan RAM untuk memberikan peran RAM hak istimewa minimal yang diperlukan untuk replikasi dari bucket sumber (src-bucket) ke bucket tujuan (dest-bucket).
CatatanSaat menggunakan kebijakan ini, ganti nama bucket sumber dan tujuan dengan nama sebenarnya mereka.
{ "Version":"1", "Statement":[ { "Effect":"Allow", "Action":[ "oss:ReplicateList", "oss:ReplicateGet" ], "Resource":[ "acs:oss:*:*:src-bucket", "acs:oss:*:*:src-bucket/*" ] }, { "Effect":"Allow", "Action":[ "oss:ReplicateList", "oss:ReplicateGet", "oss:ReplicatePut", "oss:ReplicateDelete" ], "Resource":[ "acs:oss:*:*:dest-bucket", "acs:oss:*:*:dest-bucket/*" ] } ] }Untuk informasi lebih lanjut, lihat Berikan Izin ke Peran RAM.
CatatanJika Anda ingin mereplikasi objek yang dienkripsi dengan KMS ke bucket tujuan, Anda juga harus memberikan kebijakan sistem
AliyunKMSFullAccesske peran.
Saat mereplikasi data lintas wilayah dalam akun yang sama, OSS hanya memeriksa kebijakan akses dari peran RAM yang digunakan untuk replikasi. OSS tidak memeriksa kebijakan bucket dari bucket sumber dan tujuan.