:Preparações

Faça login no console RAM como o usuário RAM criado. Na página Roles, clique em Create Role.

1. Em Select Trusted Entity, selecione Alibaba Cloud Service.

2. Em Role Type, selecione Normal Service Role e escolha Data Transport na lista suspensa.

3. Insira um Role Name (o nome da função deve estar todo em letras minúsculas).

   Em Select Trusted Entity, selecione Alibaba Cloud Service. Em Role Type, selecione Data Transport mgw.aliyuncs.com e clique em OK.

   Por exemplo, insira role-test e clique em OK.

2. Conceder permissões no bucket de origem

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*"
      ],
      "Resource": [
        "acs:oss:*:*:<mySrcBucket>",
        "acs:oss:*:*:<mySrcBucket>/*"
      ]
    }
  ]
}

1. Faça login no console OSS com a conta Alibaba Cloud proprietária do bucket de origem.

2. No painel de navegação à esquerda, clique em Buckets e clique no nome do bucket de origem.

3. No painel de navegação à esquerda, escolha Permission Control > Bucket Policy.

4. Na aba Add by Syntax, clique em Edit para adicionar uma política de bucket personalizada.

• Conceda à função RAM permissões para listar, obter, enviar e abortar uploads multipart de todos os objetos no bucket.

  Nota

  Esta política serve apenas como referência. Substitua os seguintes espaços reservados pelos valores reais: pelo source bucket name, pelo UID of the Alibaba Cloud account that owns the source bucket, pelo UID of the Alibaba Cloud account that you use to access the Data Online Migration console e pelo name of the RAM role that you created. Para mais informações sobre políticas de permissão do OSS, consulte Common examples of RAM policies.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "oss:List*",
          "oss:Get*",
          "oss:Put*",
          "oss:AbortMultipartUpload"
        ],
        "Principal": [
           "arn:sts::<myUid>:assumed-role/<roleName>/*"
        ],
        "Resource": [
          "acs:oss:*:<otherUid>:<otherSrcBucket>",
          "acs:oss:*:<otherUid>:<otherSrcBucket>/*"
        ]
      }
    ]
  }

3. Conceder permissões KMS

1. Se o bucket de origem contiver objetos criptografados com KMS, conceda também a política de sistema AliyunKMSFullAccess à função.

2. Se os objetos no bucket de origem estiverem criptografados com uma chave KMS personalizada, conceda acesso a essa chave para a função. Para isso, execute as seguintes etapas:

   1. Acesse o console Key Management Service e localize a chave.

   2. Configure a Key Policy, selecione Users in Other Accounts e insira o ARN da entidade principal. Para mais detalhes, consulte Set a key policy. Na página de detalhes da chave, abra a caixa de diálogo de configuração da Key Policy e defina Administrators, Users e Users in Other Accounts. Nas duas primeiras opções, realize uma busca aproximada digitando o nome de um usuário ou função RAM na caixa de pesquisa suspensa. Para Users in Other Accounts, insira o ARN da entidade principal em um formato como acs:ram::<userId>:role/<ramrole> ou acs:ram::<userId>:user/<ramuser>. Clique em Add ARN of User in Other Account para adicionar múltiplos ARNs.