Prasyarat untuk File S3

Anda memiliki AWS akun.

Anda memiliki sumber daya komputasi dan bucket tujuan umum S3 di AWS Wilayah yang Anda inginkan tempat Anda ingin membuat sistem file Anda. Untuk informasi selengkapnya, lihat Membuat bucket tujuan umum.

Bucket S3 Anda mengaktifkan versi. File S3 memerlukan S3 Versioning untuk menyinkronkan perubahan antara sistem file Anda dan bucket S3 Anda. Untuk informasi selengkapnya, lihat Mengaktifkan Penentuan Versi pada bucket.

Bucket S3 Anda harus menggunakan salah satu jenis enkripsi berikut: Enkripsi sisi server dengan kunci terkelola Amazon S3 (SSE-S3) atau enkripsi sisi Server dengan kunci Key Management Service (KMS) (SSE-KMS). AWS AWS

Akses terminal untuk instans Amazon EC2 Anda melalui Secure Shell (SSH), dan masuk dengan nama pengguna yang sesuai. Untuk informasi selengkapnya, lihat Connect ke instans EC2 Anda di Panduan Pengguna Amazon Elastic Compute Cloud.

Bagi mereka yang menggunakan Amazon Linux, lakukan hal berikut untuk menginstal efs-utils dari repositori Amazon:

sudo yum -y install amazon-efs-utils

Jika Anda menggunakan distribusi Linux lain yang didukung, Anda dapat melakukan hal berikut:

curl https://amazon-efs-utils.aws.com/efs-utils-installer.sh | sudo sh -s -- --install

Untuk distribusi Linux lainnya, lihat Pada distribusi Linux lainnya di amazon-efs-utils README pada. GitHub

Mengakses bucket Anda dari sistem file

Melampirkan sistem file Anda untuk AWS menghitung sumber daya

Kebijakan inline sebagai berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions"
            ],
            "Resource": "arn:aws:s3:::bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:List*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithS3Files",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.region.amazonaws.com",
                    "kms:EncryptionContext:aws:s3:arn": [
                        "arn:aws:s3:::bucket",
                        "arn:aws:s3:::bucket/*"
                    ]
                }
            },
            "Resource": "arn:aws:kms:region:accountId:*"
        },
        {
            "Sid": "EventBridgeManage",
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:DisableRule",
                "events:EnableRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "elasticfilesystem.amazonaws.com"
                }
            },
            "Resource": [
                "arn:aws:events:*:*:rule/DO-NOT-DELETE-S3-Files*"
            ]
        },
        {
            "Sid": "EventBridgeRead",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/*"
            ]
        }
    ]
}

Ganti nilai placeholder dengan nilai Anda sendiri.

Kebijakan kepercayaan yang memungkinkan File S3 untuk mengambil peran IAM. Tambahkan kebijakan kepercayaan berikut ke peran IAM untuk memungkinkan layanan File S3 mengasumsikan itu. Ganti accountId dan region dengan nilai-nilai Anda.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3FilesAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountId"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3files:region:accountId:file-system/*"
                }
            }
        }
    ]
}

Izin untuk sumber daya komputasi untuk terhubung dan berinteraksi dengan sistem file S3

Peran IAM harus menyertakan izin untuk mount helper untuk terhubung dan berinteraksi dengan sistem file S3. Anda dapat melampirkan kebijakan AWS AmazonS3FilesClientFullAccess terkelola seperti kebijakan terkelola jika Anda ingin memberikan akses baca dan tulis penuh sumber daya komputasi ke sistem file S3 atau akses AmazonS3FilesClientReadOnlyAccess hanya-baca. Anda juga dapat melampirkan kebijakan AmazonElasticFileSystemUtils terkelola jika ingin mengaktifkan CloudWatch pemantauan Amazon. Untuk informasi selengkapnya dan daftar lengkap kebijakan terkelola yang tersedia untuk File S3, lihat kebijakan AWS terkelola untuk File Amazon S3. Anda juga dapat memberikan izin ini dengan menambahkan izin IAM individual seperti s3files:ClientMount atau s3files:ClientWrite (tidak diperlukan untuk koneksi hanya-baca) ke peran IAM sumber daya komputasi Anda.

Kebijakan inline yang memberikan akses baca sumber daya komputasi ke objek S3

Tambahkan kebijakan inline berikut ke peran IAM. Kebijakan ini memberikan izin sumber daya komputasi untuk langsung membaca objek dari bucket S3 tertaut di akun yang sama untuk mengoptimalkan kinerja baca. Ganti bucket dengan nama bucket S3 atau nama bucket Anda dengan awalan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket/*"
        },
        {
            "Sid": "S3BucketListAccess",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}