Object Storage Service:Permissões necessárias para replicação de dados

Notas de uso

• Cada operação de replicação exige um conjunto de permissões de replicação. O OSS assume a função RAM que você cria para obter as permissões necessárias para replicar dados.

• Os recursos especificados em uma política de permissão da função RAM referem-se apenas aos recursos dentro da conta Alibaba Cloud atual. Portanto, as políticas necessárias para a replicação de dados entre contas e a replicação de dados na mesma conta são diferentes.

  • Replicação de dados na mesma conta: os buckets de origem e destino são recursos dentro da mesma conta Alibaba Cloud. Portanto, você pode conceder as permissões de replicação nos buckets de origem e destino à função RAM dentro da conta Alibaba Cloud.

  • Replicação de dados entre contas: os buckets de origem e destino são recursos que pertencem a duas contas Alibaba Cloud diferentes. Neste tópico, o bucket de origem e o bucket de destino na replicação de dados entre contas pertencem à Conta A e à Conta B, respectivamente. Para permitir a replicação de dados do bucket de origem para o bucket de destino, você deve anexar uma política RAM à função RAM da Conta A e especificar uma política de bucket para o bucket de destino na Conta B para conceder as permissões necessárias à função RAM da Conta A.

Permissões necessárias da função RAM para replicação de dados na mesma conta

Esta seção descreve a política de confiança e as permissões mínimas exigidas pela função RAM para a replicação de dados na mesma conta.

• Política de confiança necessária para a função RAM

  A seguinte política de confiança é anexada à função RAM. O OSS é selecionado como uma entidade confiável e está autorizado a assumir a função RAM para replicar dados.

  {
    "Statement": [
      {
        "Action": "sts:AssumeRole",
        "Effect": "Allow",
        "Principal": {
          "Service": [
            "oss.aliyuncs.com"
          ]
        }
      }
    ],
    "Version": "1"
  }

• Permissões mínimas necessárias para a função RAM

  Você pode usar uma política RAM para conceder à função RAM as permissões mínimas necessárias para executar a replicação de dados nos buckets de origem e destino.

  {
     "Version":"1",
     "Statement":[
        {
           "Effect":"Allow",
           "Action":[
              "oss:ReplicateList",
              "oss:ReplicateGet"
           ],
           "Resource":[
              "acs:oss:*:*:src-bucket",
              "acs:oss:*:*:src-bucket/*"
           ]
        },
        {
           "Effect":"Allow",
           "Action":[
              "oss:ReplicateList",
              "oss:ReplicateGet",
              "oss:ReplicatePut",
              "oss:ReplicateDelete"
           ],
           "Resource":[
              "acs:oss:*:*:dest-bucket",
              "acs:oss:*:*:dest-bucket/*"
           ]
        }
     ]
  }

  Ações

  Ação	Descrição
  oss:ReplicateList	As permissões de listagem no processo de replicação. Isso permite que o OSS liste os dados históricos no bucket de origem e, em seguida, replique os dados históricos para o bucket de destino.
  oss:ReplicateGet	As permissões de leitura no processo de replicação. Isso permite que o OSS leia dados e metadados dos buckets de origem e destino, como objetos, partes e tarefas de upload multipart.
  oss:ReplicatePut	As permissões de gravação no processo de replicação. Isso permite que o OSS execute operações de gravação no bucket de destino, como gravar objetos, tarefas de upload multipart, partes e links simbólicos, e modificar metadados de objetos.
  oss:ReplicateDelete	As permissões de exclusão no processo de replicação. Isso permite que o OSS execute operações de exclusão no bucket de destino, como DeleteObject, AbortMultipartUpload e DeleteMarker. null Esta ação é necessária apenas se o método de replicação de dados estiver definido como Add/Delete/Change.

Permissões necessárias da função RAM para replicação de dados entre contas

São necessários dois buckets que pertencem a contas Alibaba Cloud diferentes para a replicação de dados entre contas. Os itens a seguir descrevem a política de confiança e as permissões mínimas exigidas pela função RAM para a replicação de dados entre contas.

{
    "Version": "1",
    "Statement": [
       {
        "Effect": "Allow",
        "Action": [
            "oss:ReplicateList",
            "oss:ReplicateGet",
            "oss:ReplicatePut",
            "oss:ReplicateDelete"
        ],
        "Principal": [
            "arn:sts::src-uid:assumed-role/role-name/*"
        ],
        "Resource": [
            "acs:oss:*:dest-uid:dest-bucket",
            "acs:oss:*:dest-uid:dest-bucket/*"
         ]
      }
   ]
}

Referências

• CRR na mesma conta

• SRR na mesma conta

• CRR entre contas

• SRR entre contas