Replikasi Lintas Wilayah (Cross-Region Replication/CRR) secara otomatis dan asinkron mereplikasi objek dari bucket sumber di satu wilayah ke bucket tujuan di wilayah lain dalam akun Alibaba Cloud yang sama. Operasi pembuatan, pembaruan, dan penghapusan objek direplikasi hampir secara real time. Topik ini menjelaskan cara mengonfigurasi CRR untuk bucket dalam akun yang sama.
Prasyarat
Anda telah membuat bucket sumber di suatu wilayah dalam akun Alibaba Cloud Anda. Catat UID akun, nama bucket sumber, dan wilayahnya.
Anda telah membuat bucket tujuan di wilayah berbeda dalam akun Alibaba Cloud yang sama. Catat nama bucket tujuan dan wilayahnya.
Jenis peran
Untuk menjalankan CRR, Anda harus menentukan peran RAM yang dapat diasumsikan oleh Object Storage Service (OSS) guna mereplikasi objek dari bucket sumber ke bucket tujuan. Anda dapat memilih salah satu jenis peran berikut untuk replikasi.
Anda dapat menggunakan RAM user untuk membuat peran tersebut. RAM user harus memiliki izin berikut: ram:CreateRole, ram:GetRole, ram:ListPoliciesForRole, dan ram:AttachPolicyToRole. Namun, memberikan izin terkait peran seperti ram:CreateRole dan ram:GetRole kepada RAM user menimbulkan risiko keamanan. Kami menyarankan agar Anda menggunakan akun Alibaba Cloud induk untuk membuat dan mengotorisasi peran RAM, yang kemudian dapat diasumsikan oleh RAM user.
(Direkomendasikan) peran RAM baru
Saat membuat aturan CRR, Anda dapat membuat peran RAM baru untuk replikasi. OSS secara otomatis membuat peran bernama oss-replication-{uuid} dan menyambungkan kebijakan izin berbeda tergantung pada apakah Anda mereplikasi objek yang dienkripsi dengan Key Management Service (KMS).
Replikasi objek yang dienkripsi KMS
Setelah membuat peran, berikan izin yang diperlukan sesuai prompt. Setelah diotorisasi, peran menerima kebijakan izin detail halus untuk replikasi dari bucket sumber ke bucket tujuan serta kebijakan AliyunKMSCryptoUserAccess untuk mengelola Key Management Service (KMS).
Tidak mereplikasi objek yang dienkripsi KMS
Setelah membuat peran, berikan izin yang diperlukan sesuai prompt. Setelah diotorisasi, peran menerima kebijakan izin detail halus untuk replikasi dari bucket sumber ke bucket tujuan.
AliyunOSSRole
Saat membuat aturan CRR, Anda dapat memilih AliyunOSSRole untuk menjalankan replikasi. OSS menyambungkan kebijakan izin berbeda ke peran tersebut berdasarkan pilihan Anda untuk mereplikasi atau tidak mereplikasi objek yang dienkripsi KMS.
Replikasi objek yang dienkripsi KMS
Jika Anda memilih AliyunOSSRole, OSS secara otomatis menyambungkan kebijakan izin berikut ke peran tersebut: AliyunOSSFullAccess (izin untuk mengelola Object Storage Service) dan AliyunKMSCryptoUserAccess (izin untuk mengelola Key Management Service).
PeringatanPeran ini memiliki izin luas yang memungkinkan semua operasi pada semua bucket dan resource KMS dalam akun saat ini. Gunakan peran ini dengan hati-hati.
Tidak mereplikasi objek yang dienkripsi KMS
Jika Anda memilih AliyunOSSRole, OSS secara otomatis menyambungkan AliyunOSSFullAccess (izin untuk mengelola Object Storage Service) ke peran tersebut.
PeringatanPeran ini memiliki izin luas yang memungkinkan semua operasi pada semua bucket dalam akun saat ini. Gunakan peran ini dengan hati-hati.
Peran kustom
Saat membuat aturan CRR, Anda dapat menggunakan peran kustom untuk replikasi. Anda harus membuat peran kustom tersebut di Konsol Resource Access Management (RAM) dan memberikan izin yang diperlukan kepada peran tersebut.
Buat peran layanan reguler.
Saat membuat peran, pilih Alibaba Cloud Service sebagai entitas tepercaya dan Object Storage Service sebagai layanan tepercaya. Untuk informasi selengkapnya, lihat Buat peran layanan reguler.
Berikan izin kepada peran tersebut.
Anda dapat menggunakan salah satu metode berikut untuk memberikan izin kepada peran tersebut.
Kebijakan sistem
PeringatanAnda dapat menyambungkan kebijakan sistem
AliyunOSSFullAccesske peran RAM. Secara default,AliyunOSSFullAccessmemberikan izin penuh atas semua bucket dalam akun saat ini. Gunakan kebijakan ini dengan hati-hati.Untuk mereplikasi objek yang dienkripsi KMS, Anda juga harus menyambungkan kebijakan sistem
AliyunKMSFullAccesske peran tersebut.Untuk informasi selengkapnya, lihat Berikan izin kepada peran RAM.
Kebijakan kustom
Gunakan kebijakan RAM untuk memberikan peran RAM izin minimum yang diperlukan untuk replikasi dari bucket sumber (src-bucket) ke bucket tujuan (dest-bucket).
CatatanGanti nama bucket sumber dan tujuan dengan nama bucket aktual Anda.
{ "Version":"1", "Statement":[ { "Effect":"Allow", "Action":[ "oss:ReplicateList", "oss:ReplicateGet" ], "Resource":[ "acs:oss:*:*:src-bucket", "acs:oss:*:*:src-bucket/*" ] }, { "Effect":"Allow", "Action":[ "oss:ReplicateList", "oss:ReplicateGet", "oss:ReplicatePut", "oss:ReplicateDelete" ], "Resource":[ "acs:oss:*:*:dest-bucket", "acs:oss:*:*:dest-bucket/*" ] } ] }Untuk informasi selengkapnya, lihat Berikan izin kepada peran RAM.
CatatanUntuk mereplikasi objek yang dienkripsi KMS, Anda juga harus menyambungkan kebijakan sistem
AliyunKMSFullAccesske peran tersebut.
Saat mereplikasi data lintas wilayah dalam akun yang sama, OSS hanya memvalidasi kebijakan izin peran RAM yang digunakan untuk replikasi. OSS tidak memvalidasi kebijakan bucket pada bucket sumber atau tujuan.