:Preparativos

Faça login no console RAM como o usuário RAM que você criou. Na página Roles, clique em Create Role.

1. Em Select Trusted Entity, selecione Alibaba Cloud Service.

2. Em Role Type, selecione Normal Service Role e escolha Data Transport na lista suspensa.

3. Insira um Role Name (o nome da função deve ser todo em minúsculas).

   Em Select Trusted Entity, selecione Alibaba Cloud Service. Em Role Type, selecione Data Transport mgw.aliyuncs.com e clique em OK.

   Por exemplo, insira role-test e clique em OK.

2. Conceder permissões ao bucket de origem

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:List*",
        "oss:Get*"
      ],
      "Resource": [
        "acs:oss:*:*:<mySrcBucket>",
        "acs:oss:*:*:<mySrcBucket>/*"
      ]
    }
  ]
}

1. Faça login no console OSS com a conta Alibaba Cloud proprietária do bucket de origem.

2. No painel de navegação à esquerda, clique em Buckets e, em seguida, clique no nome do bucket de origem.

3. No painel de navegação à esquerda, escolha Permission Control > Bucket Policy.

4. Na aba Add by Syntax, clique em Edit para adicionar uma política de bucket personalizada.

• Conceda à função RAM permissões para listar, obter, enviar e abortar uploads multipart de todos os objetos no bucket.

  Nota

  Esta política serve apenas como referência. Substitua os seguintes espaços reservados pelos seus valores reais: pelo source bucket name, pelo UID of the Alibaba Cloud account that owns the source bucket, pelo UID of the Alibaba Cloud account that you use to access the Data Online Migration console e pelo name of the RAM role that you created. Para obter mais informações sobre políticas de permissão do OSS, consulte Exemplos comuns de políticas RAM.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "oss:List*",
          "oss:Get*",
          "oss:Put*",
          "oss:AbortMultipartUpload"
        ],
        "Principal": [
           "arn:sts::<myUid>:assumed-role/<roleName>/*"
        ],
        "Resource": [
          "acs:oss:*:<otherUid>:<otherSrcBucket>",
          "acs:oss:*:<otherUid>:<otherSrcBucket>/*"
        ]
      }
    ]
  }

3. Conceder permissões KMS

1. Se o bucket de origem contiver objetos criptografados com KMS, você também deverá conceder a política de sistema AliyunKMSFullAccess à função.

2. Caso os objetos no bucket de origem estejam criptografados com uma chave KMS personalizada, conceda também acesso a essa chave para a função. Para isso, execute as seguintes etapas:

   1. Faça login no console Key Management Service e localize a chave.

   2. Defina a Key Policy, selecione Users in Other Accounts e insira o ARN da entidade principal. Para obter mais informações, consulte Definir uma política de chave. Na página de detalhes da chave, abra a caixa de diálogo de configuração Key Policy e configure Administrators, Users e Users in Other Accounts. Nas duas primeiras opções, faça uma busca aproximada inserindo o nome de um usuário RAM ou função RAM na caixa de pesquisa suspensa. Para Users in Other Accounts, insira o ARN da entidade principal em um formato como acs:ram::<userId>:role/<ramrole> ou acs:ram::<userId>:user/<ramuser>. Clique em Add ARN of User in Other Account para adicionar vários ARNs.