:Pré-requisitos

Faça login no console RAM como o usuário RAM criado. Na página Roles, clique em Create Role.

1. Em Select Trusted Entity, selecione Alibaba Cloud Service.

2. Em Role Type, selecione Normal Service Role e escolha Data Transport na lista suspensa.

3. Insira um Role Name (o nome da função deve ser todo em minúsculas).

   Para Select Trusted Entity, selecione Alibaba Cloud Service. Para Role Type, selecione Data Transport mgw.aliyuncs.com e clique em OK.

   Por exemplo, insira role-test e clique em OK.

2. Conceder permissões ao bucket de origem

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*"
      ],
      "Resource": [
        "acs:oss:*:*:<mySrcBucket>",
        "acs:oss:*:*:<mySrcBucket>/*"
      ]
    }
  ]
}

1. Faça login no console OSS com a conta Alibaba Cloud proprietária do bucket de origem.

2. No painel de navegação à esquerda, clique em Buckets e, em seguida, clique no nome do bucket de origem.

3. No painel de navegação à esquerda, escolha Permission Control > Bucket Policy.

4. Na aba Add by Syntax, clique em Edit para adicionar uma política de bucket personalizada.

• Conceda à função RAM permissões para listar, obter, enviar e abortar uploads multipart de todos os objetos no bucket.

  Nota

  Esta política serve apenas como referência. Substitua os placeholders pelos seus valores reais: substitua pelo nome do bucket de origem, pelo UID da conta Alibaba Cloud proprietária do bucket de origem, pelo UID da conta Alibaba Cloud usada para acessar o console Data Online Migration e pelo nome da função RAM que você criou. Para mais informações sobre políticas de permissão do OSS, consulte Exemplos comuns de políticas RAM.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "oss:List*",
          "oss:Get*",
          "oss:Put*",
          "oss:AbortMultipartUpload"
        ],
        "Principal": [
           "arn:sts::<myUid>:assumed-role/<roleName>/*"
        ],
        "Resource": [
          "acs:oss:*:<otherUid>:<otherSrcBucket>",
          "acs:oss:*:<otherUid>:<otherSrcBucket>/*"
        ]
      }
    ]
  }

3. Conceder permissões KMS

1. Caso o bucket de origem contenha objetos criptografados com KMS, conceda também a política de sistema AliyunKMSFullAccess à função.

2. Se os objetos no bucket de origem estiverem criptografados com uma chave KMS personalizada, a função também precisará de acesso a essa chave. Para isso, execute as seguintes etapas:

   1. Faça login no console Key Management Service e localize a chave.

   2. Defina a Key Policy, selecione Users in Other Accounts e insira o ARN da entidade principal. Para mais informações, consulte Definir uma política de chave. Na página de detalhes da chave, abra a caixa de diálogo de configuração Key Policy e configure Administrators, Users e Users in Other Accounts. Nas duas primeiras opções, faça uma busca aproximada inserindo o nome de um usuário RAM ou função RAM na caixa de pesquisa suspensa. Para Users in Other Accounts, insira o ARN da entidade principal em um formato como acs:ram::<userId>:role/<ramrole> ou acs:ram::<userId>:user/<ramuser>. Clique em Add ARN of User in Other Account para adicionar múltiplos ARNs.

1. Conceder permissões ao bucket de destino

1. Faça login no console OSS com a conta Alibaba Cloud proprietária do bucket de destino.

2. No painel de navegação à esquerda, clique em Buckets e, em seguida, clique no nome do bucket de destino.

3. No painel de navegação à esquerda, escolha Permission Control > Bucket Policy.

4. Na aba Add by Syntax, clique em Edit para adicionar uma política de bucket personalizada.

   • Conceda à função RAM permissões para listar, obter, enviar e abortar uploads multipart de todos os objetos no bucket.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*",
        "oss:Put*",
        "oss:AbortMultipartUpload"
      ],
      "Principal": [
         "arn:sts::<myUid>:assumed-role/<roleName>/*"
      ],
      "Resource": [
        "acs:oss:*:<otherUid>:<otherDestBucket>",
        "acs:oss:*:<otherUid>:<otherDestBucket>/*"
      ]
    }
  ]
}