データ移行の前提条件 - Data Online Migration - Alibaba Cloud ドキュメントセンター

ステップ 1：ソースバケットインベントリの作成

バケットインベントリの作成手順については、「バケットインベントリ」をご参照ください。

ステップ 2：移行先バケットの作成

移行するデータを格納するバケットを作成します。

ステップ 3：RAM ユーザーの作成と権限付与

重要

この RAM ユーザーを使用して、ロールの作成と移行タスクの実行を行います。ソースバケットまたは移行先バケットを所有する Alibaba Cloud アカウントでユーザーを作成します。
RAM ユーザーがない場合は、「クイックスタート：RAM ユーザーの作成と権限付与」に従って作成してください。

RAM コンソールにログインします。[ユーザー] ページで対象の RAM ユーザーを見つけ、[Actions] 列の [Add Permissions] をクリックします。

システムポリシー：AliyunOSSImportFullAccess (Data Online Migration 管理権限) をアタッチします。

カスタムポリシー：このポリシーには、ram:CreateRole、ram:CreatePolicy、ram:AttachPolicyToRole、ram:ListRoles の権限を含める必要があります。

カスタムポリシーを作成します。ポリシーの例：

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Allow",
            "Action":[
                "ram:CreateRole",
                "ram:CreatePolicy",
                "ram:AttachPolicyToRole",
                "ram:ListRoles"
            ],
            "Resource":"*"
        }
    ]
}

ステップ 4：ソースバケット権限の付与

ソースバケットがご使用の Alibaba Cloud アカウントに属しているかどうかに基づいてタブを選択してください。

説明

このトピックでは、「ご使用のアカウント」とは、Data Online Migration コンソールにアクセスする Alibaba Cloud アカウントを指します。バケットは、同じアカウントに属している場合、「ご使用のアカウントに属する」と見なされます。

ご使用のアカウント内のバケット

自動権限付与

Data Online Migration コンソールで自動ロール権限付与を使用してください：[Migration Implementation] > [Step 2] > [Authorize Role]。
手動権限付与

説明

手動権限付与は、次のようなシナリオに適しています。

複数のソースバケットに対して単一のロールを使用する場合。
ご使用のアカウントが RAM ロールの上限に近づいている場合。
自動権限付与が不適切または利用できない場合。

1. RAM ロールの作成

RAM ユーザーとして RAM コンソールにログインし、[ロール] ページで [Create Role] をクリックします。

[Select Trusted Entity] で、[Alibaba Cloud Service] を選択します。
[Select Trusted Service] で、[Data Transport] を選択します。
[Role Name] を入力します。ロール名はすべて小文字にする必要があります。

2. ソースバケットの権限付与

[ロール] ページで対象の RAM ロールを見つけ、[Actions] 列の [Add Permissions] をクリックします。

カスタムポリシー：このポリシーには、oss:List* と oss:Get* の権限を含める必要があります。

カスタムポリシーを作成します。ポリシーの例：

説明

<mySrcBucket> をソースバケット名に置き換えてください。

OSS 権限ポリシーについては、「RAM ポリシーの一般的な例」をご参照ください。

重要

ソースバケットに Key Management Service (KMS) で暗号化されたオブジェクトが含まれている場合は、ロールに AliyunKMSFullAccess システムポリシーも付与する必要があります。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*"
      ],
      "Resource": [
        "acs:oss:*:*:<mySrcBucket>",
        "acs:oss:*:*:<mySrcBucket>/*"
      ]
    }
  ]
}

別のアカウント内のバケット

1. RAM ロールの作成

RAM ユーザーとして RAM コンソールにログインし、[ロール] ページで [Create Role] をクリックします。

[Select Trusted Entity] で、[Alibaba Cloud Service] を選択します。
[Select Trusted Service] で、[Data Transport] を選択します。
[Role Name] を入力します。ロール名はすべて小文字にする必要があります。

2. ソースバケットの権限付与

重要

バケットポリシーを追加すると、既存のポリシーは上書きされます。既存の権限を失わないように、古いポリシーの内容を含めてください。

ソースバケットを所有する Alibaba Cloud アカウントでOSS コンソールにログインします。
左側のナビゲーションペインで バケット をクリックし、ソースバケットの名前をクリックします。
左側のナビゲーションペインで、権限管理 > バケット承認ポリシー を選択します。
構文で追加 タブで編集をクリックして、カスタムバケットポリシーを追加します。

RAM ロールに、バケット内のすべてのリソースを一覧表示および読み取る権限を付与してください。

説明
プレースホルダー <otherSrcBucket> を [ソースバケット名] に、<otherUid> を [ソースバケットを所有する] Alibaba Cloud アカウントの UID に、<myUid> を [Data Online Migration コンソールへのアクセスに使用する Alibaba Cloud アカウントの UID] に、<roleName> を [作成した] ロール名に置き換えます。 OSS 権限ポリシーについては、「RAM ポリシーの一般的な例」をご参照ください。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*"
      ],
      "Principal": [
         "arn:sts::<myUid>:assumed-role/<roleName>/*"
      ],
      "Resource": [
        "acs:oss:*:<otherUid>:<otherSrcBucket>",
        "acs:oss:*:<otherUid>:<otherSrcBucket>/*"
      ]
    }
  ]
}
```

3. KMS 権限の付与

ソースバケットに KMS で暗号化されたオブジェクトが含まれている場合は、ロールに AliyunKMSFullAccess システムポリシーも付与する必要があります。
ソースバケットのオブジェクトが KMS のカスタマーマネージドキーで暗号化されている場合は、ロールにキーへのアクセス権を付与してください。
1. Key Management Service コンソールにログインし、キーを見つけます。
2. [キーポリシー]を設定してください。[Users of Other Accounts] を選択し、プリンシパルの ARN を入力します。キーポリシーを設定します。

ステップ 5：インベントリバケット権限の付与

インベントリバケットがお客様のアカウントに属しているかどうかによって手順が異なります。

お客様のアカウント内のインベントリバケット

ワンクリック権限付与

Data Online Migration コンソールのワンクリック権限付与機能を使用することを推奨します。このオプションは、[Migration Implementation] > [Step 2] > [Authorize List Role] にあります。
手動権限付与

インベントリバケット権限の付与
ロール ページで、作成した RAM ロールを見つけ、[Actions] 列の [Add Permissions] をクリックします。
- カスタムポリシー: このポリシーには、oss:List* および oss:Get* 権限が含まれている必要があります。
カスタムポリシーの作成方法の詳細については、「カスタムポリシーの作成」をご参照ください。以下にポリシーの例を示します。
説明
これはポリシーの例です。<myInvBucket> を実際のインベントリバケットの名前に置き換えてください。

OSS の権限ポリシーの詳細については、「RAM ポリシーの一般的な例」をご参照ください。

重要
インベントリバケットに KMS で暗号化されたオブジェクトが含まれている場合は、AliyunKMSFullAccess システムポリシーも RAM ロールにアタッチする必要があります。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*"
      ],
      "Resource": [
        "acs:oss:*:*:<myInvBucket>",
        "acs:oss:*:*:<myInvBucket>/*"
      ]
    }
  ]
}
```

他のアカウントのインベントリバケット

インベントリバケット権限の付与

インベントリバケットを所有する Alibaba Cloud アカウントで OSS コンソールにログインします。
左側のナビゲーションペインで、バケット をクリックし、インベントリバケットの名前をクリックします。
左側のナビゲーションペインで、権限管理 > バケット承認ポリシー を選択します。
構文で追加 タブで、編集をクリックして、次のバケットポリシーを追加します。

カスタムポリシー：

RAM ロールに、バケット内のすべてのリソースを一覧表示および読み取りする権限を付与します。

説明
これはポリシーの例です。プレースホルダーを実際の値に置き換えます。<otherInvBucket> をインベントリバケット名に、<myuid> を Data Online Migration コンソールへのアクセスに使用するアカウントのAlibaba Cloud アカウント ID に、<otherUid> を[Alibaba Cloud アカウント ID] (インベントリバケット所有者の) に、<roleName> を[ロール名] (作成した) に置き換えます。OSS 権限ポリシーの詳細については、「RAM ポリシーの一般的な例」をご参照ください。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*"
      ],
      "Principal": [
         "arn:sts::<myUid>:assumed-role/<roleName>/*"
      ],
      "Resource": [
        "acs:oss:*:<otherUid>:<otherInvBucket>",
        "acs:oss:*:<otherUid>:<otherInvBucket>/*"
      ]
    }
  ]
}
```

2. KMS 権限の付与

インベントリバケットに KMS で暗号化されたオブジェクトが含まれている場合は、AliyunKMSFullAccess システムポリシーも RAM ロールにアタッチする必要があります。
インベントリバケット内のオブジェクトがカスタマーマネージドキーで暗号化されている場合は、次の手順に従って、そのキーへのアクセス権を RAM ロールに付与します。
1. Key Management Service コンソールにログインし、キーを見つけます。
2. Key Policy を設定し、[他のアカウントのユーザー] を選択して、プリンシパル ARN を入力します。詳細については、「キーポリシーの設定」をご参照ください。 [キーポリシー] をクリックします。表示されるパネルで、RAM ユーザーまたは RAM ロール名で検索して選択し、[管理者] と [ユーザー] を設定します。 [他のアカウントのユーザー] セクションで、プリンシパル ARN を acs:ram::<userId>:role/<ramrole> または acs:ram::<userId>:user/<ramuser> の形式で入力します。 [プリンシパル ARN の追加] をクリックして、複数の ARN を追加します。

ステップ 6：移行先バケット権限の付与

移行先バケットがご使用の Alibaba Cloud アカウントに属しているかどうかに基づいてタブを選択してください。

ご使用のアカウント内のバケット

自動権限付与

Data Online Migration コンソールで自動ロール権限付与を使用してください：[Migration Implementation] > [Step 3] > [Authorize Role]。
手動権限付与

移行先バケットの権限付与
[ロール] ページで対象の RAM ロールを見つけ、[Actions] 列の [Add Permissions] をクリックします。
- カスタムポリシー：このポリシーには、oss:List*、oss:Get*、oss:Put*、oss:AbortMultipartUpload の権限を含める必要があります。
カスタムポリシーを作成します。ポリシーの例：

説明
<myDestBucket> を移行先バケット名に置き換えてください。

OSS 権限ポリシーについては、「RAM ポリシーの一般的な例」をご参照ください。

重要
移行先バケットに KMS を使用したサーバー側の暗号化が設定されている場合は、ロールに AliyunKMSFullAccess システムポリシーも付与する必要があります。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*",
        "oss:Put*",
        "oss:AbortMultipartUpload"
      ],
      "Resource": [
        "acs:oss:*:*:<myDestBucket>",
        "acs:oss:*:*:<myDestBucket>/*"
      ]
    }
  ]
}
```

別のアカウント内のバケット

1. 移行先バケットの権限付与

重要

バケットポリシーを追加すると、既存のポリシーは上書きされます。既存の権限を失わないように、古いポリシーの内容を含めてください。

移行先バケットを所有する Alibaba Cloud アカウントでOSS コンソールにログインします。
左側のナビゲーションペインで バケット をクリックし、移行先バケットの名前をクリックします。
左側のナビゲーションペインで、権限管理 > バケット承認ポリシー を選択します。
構文で追加 タブで編集をクリックして、カスタムバケットポリシーを追加します。
- RAM ロールに、バケット内のすべてのリソースを一覧表示、読み取り、書き込みする権限を付与してください。

説明

次のプレースホルダーを置き換えます: <otherDestBucket> を [移行先バケット名] に、<otherUid> を Alibaba Cloud アカウントの UID [移行先バケットを所有する] に、<myUid> を [Data Online Migration コンソールへのアクセスに使用する Alibaba Cloud アカウントの UID] に、<roleName> を ロール名 [作成した] に置き換えます。 OSS 権限ポリシーは、RAM ポリシーの一般的な例に記載されています。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*",
        "oss:Put*",
        "oss:AbortMultipartUpload"
      ],
      "Principal": [
         "arn:sts::<myUid>:assumed-role/<roleName>/*"
      ],
      "Resource": [
        "acs:oss:*:<otherUid>:<otherDestBucket>",
        "acs:oss:*:<otherUid>:<otherDestBucket>/*"
      ]
    }
  ]
}

2. KMS 権限の付与

移行先バケットに KMS を使用したサーバー側の暗号化が設定されている場合は、ロールに AliyunKMSFullAccess システムポリシーも付与する必要があります。
移行先バケットの暗号化に KMS のカスタマーマネージドキーを使用する場合は、ロールにキーへのアクセス権を付与してください。
1. Key Management Service コンソールにログインし、キーを見つけます。
2. [キーポリシー]を設定してください。[Users of Other Accounts] を選択し、プリンシパルの ARN を入力します。キーポリシーを設定します。

ステップ 7：ソースバケットデータの復元

ソースデータがアーカイブ内にある場合は、移行タスクを作成する前にデータを解凍する必要があります。データを解凍する際は、次の点に注意してください:

ソースデータアドレスと移行タスクを作成する前に、データが完全に解凍されていることを確認してください。
移行するデータの総量に基づいて、データが十分な期間、解凍されたままであることを確認してください。これにより、移行中にデータが再度アーカイブされるのを防ぎます。
解凍操作にはデータ取得料金が課金されます。一部の解凍サービスは料金が高額です。特定の課金ルールの詳細については、ソースストレージサービスプロバイダーにお問い合わせください。

説明

データオンライン移行は、ソースデータに対して解凍操作を実行しません。ソースに解凍されていないファイル、またはまだ解凍中のファイルが含まれている場合、これらのファイルの移行は失敗します。

Alibaba Cloud OSS でオブジェクトを復元する方法については、「オブジェクトの復元」をご参照ください。

ステップ 1：ソースバケットインベントリの作成

ステップ 2：移行先バケットの作成

ステップ 3：RAM ユーザーの作成と権限付与

ステップ 4：ソースバケット権限の付与

ご使用のアカウント内のバケット

自動権限付与

手動権限付与

1. RAM ロールの作成

2. ソースバケットの権限付与

別のアカウント内のバケット

1. RAM ロールの作成

2. ソースバケットの権限付与

3. KMS 権限の付与

ステップ 5：インベントリバケット権限の付与

お客様のアカウント内のインベントリバケット

ワンクリック権限付与

手動権限付与

インベントリバケット権限の付与

他のアカウントのインベントリバケット

インベントリバケット権限の付与

2. KMS 権限の付与

ステップ 6：移行先バケット権限の付与

ご使用のアカウント内のバケット

自動権限付与

手動権限付与

移行先バケットの権限付与

別のアカウント内のバケット

1. 移行先バケットの権限付与

2. KMS 権限の付与

ステップ 7：ソースバケットデータの復元