Amazon S3 での AWS DataSync 転送設定

1. IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

2. 左側のナビゲーションペインの [アクセス管理] で、[ロール] を選択し、[ロールの作成] を選択します。

3. [信頼されたエンティティを選択] ページで、[信頼されたエンティティタイプ] に [AWS のサービス] を選択します。

4. [ユースケース] では、ドロップダウンリストから [DataSync] を選び、[DataSync] を選択します。[次へ] をクリックします。

5. [アクセス許可を追加] ページで [次へ] を選択してください。ロール名を入力し、[ロールの作成] を選択します。

6. [ロール] ページで、作成したロールを検索し、その名前を選択します。

7. [データセットの詳細] ページが開くので、[アクセス許可] タブを選択します。[アクセス許可の追加] を選択し、次いで [インラインポリシーの作成] を選択します。

8. [JSON] タブを選択し、ポリシーエディタに、バケットへのアクセスに必要なアクセス許可を追加します。

9. [次へ] を選択します。ポリシーの名前を入力し、[ポリシーの作成] を選択します。

10. (推奨) サービス間の混乱による代理問題の発生を防ぐには、次の操作を行います。

    1. ロールの詳細ページで [信頼関係] タブを選択します。[信頼ポリシーを編集] を選択します。

    2. aws:SourceArn と aws:SourceAccount グローバル条件コンテキストキーを含む次の例で信頼ポリシーを更新します。

       JSON

       {
           "Version":"2012-10-17",		 	 	 
           "Statement": [
             {
               "Effect": "Allow",
               "Principal": {
                   "Service": "datasync.amazonaws.com"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                   "aws:SourceAccount": "444455556666"
                   },
                   "ArnLike": {
                   "aws:SourceArn": "arn:aws:datasync:us-east-1:444455556666:*"
                   }
               }
             }
         ]
       }
       

    3. [ポリシーの更新] を選択してください。

1. 次の S3 バケットポリシーをコピーします。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [{
           "Sid": "Deny-access-to-bucket",
           "Effect": "Deny",
           "Principal": "*",
           "Action": "s3:*",
           "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket",
               "arn:aws:s3:::amzn-s3-demo-bucket/*"
           ],
           "Condition": {
               "StringNotLike": {
                   "aws:userid": [
                       "datasync-iam-role-id:*",
                       "your-iam-role-id"
                   ]
               }
           }
       }]
   }
   

2. ポリシーの以下の値を置き換えます。

   • amzn-s3-demo-bucket – 制限のある S3 バケットの名前を指定します。

   • datasync-iam-role-id – バケットにアクセスするため DataSync が使用する IAM ロールの ID を指定します。

     次の AWS CLI コマンドを実行して、IAM ロール ID を取得します。

     aws iam get-role --role-name datasync-iam-role-name

     出力で、RoleId の値を探します。

     "RoleId": "ANPAJ2UCCR6DPCEXAMPLE"

   • your-iam-role-id – バケットに DataSync のロケーションを作成する際に使用する IAM ロールの ID を指定します。

     次のコマンドを実行して、IAM ロール ID を取得します。

     aws iam get-role --role-name your-iam-role-name

     出力で、RoleId の値を探します。

     "RoleId": "AIDACKCEVSQ6C2EXAMPLE"

3. S3 バケットポリシーこのポリシーを追加します。

4. 制限のあるバケットで DataSync を使用したら、バケットポリシーから両方の IAM ロールの条件を削除します。

1. https://console.aws.amazon.com/datasync/ で AWS DataSync コンソールを開きます。

2. 左側のナビゲーションペインで [データ転送] を展開し、[ロケーション] と [ロケーションの作成] を選択します。

3. [ロケーションタイプ] で、[Amazon S3] を選択し、[汎用バケット] を選択します。

4. [S3 URI] で、ロケーションに使用するバケットとプレフィックスを入力または選択します。

   警告

   DataSync は、スラッシュ (/) で始まるプレフィックス、または //、/./、または /../ パターンを含むプレフィックスを持つオブジェクトを転送できません。例:

   • /photos

   • photos//2006/January

   • photos/./2006/February

   • photos/../2006/March

5. [S3 ストレージクラス (転送先として使用する場合)] で、Amazon S3 が転送先の場合にオブジェクトが使用するストレージクラスを選択します。

   詳細については、「Amazon S3 転送におけるストレージクラスに関する考慮事項」を参照してください。

6. [IAM role] (IAM ロール) で、次のいずれかを実行します。

   • DataSync の [自動生成] を DataSync に選択して、S3 バケットへのアクセスに必要なアクセス許可を持つ IAM ロールを自動的に作成します。

     DataSync が以前にこの S3 バケット用 IAM ロール を作成した場合、そのロールがデフォルトで選択されます。

   • 作成したカスタム IAM ロールを選択します。詳細については、「DataSync が Amazon S3 ロケーションにアクセスするために必要な IAM ロールの作成」を参照してください。

7. (オプション) [新しいタグを追加] を選択して Amazon S3 ロケーションに新しいタグを付けます。

   タグは、リソースの管理、フィルタリング、検索に役立ちます。場所の名前タグを作成することを推奨します。

8. [ロケーションを作成] を選択します。

1. 次の create-location-s3 コマンドをコピーします。

   aws datasync create-location-s3 \
       --s3-bucket-arn 'arn:aws:s3:::amzn-s3-demo-bucket' \
       --s3-storage-class 'your-S3-storage-class' \
       --s3-config 'BucketAccessRoleArn=arn:aws:iam::account-id:role/role-allowing-datasync-operations' \
       --subdirectory /your-prefix-name

2. --s3-bucket-arn で、ロケーションとして使用する S3 バケットの ARN を指定します。

3. --s3-storage-class で、Amazon S3 が転送先となる場合にオブジェクトで使用するストレージクラスを指定します。

4. --s3-config で、DataSync がバケットにアクセスするために必要な IAM ロールの ARN を指定します。

   詳細については、「DataSync が Amazon S3 ロケーションにアクセスするために必要な IAM ロールの作成」を参照してください。

5. --subdirectory で、DataSync が読み取りと書き込みを行う S3 バケットのプレフィックスを指定します (バケットが送信元のロケーションか送信先のロケーションかに応じて異なります)。

   警告

   DataSync は、スラッシュ (/) で始まるプレフィックス、または //、/./、または /../ パターンを含むプレフィックスを持つオブジェクトを転送できません。例:

   • /photos

   • photos//2006/January

   • photos/./2006/February

   • photos/../2006/March

6. create-location-s3 コマンドを実行します。

   コマンドが成功すると、作成した場所の ARN を示す応答が返されます。例:

   {
       "LocationArn": "arn:aws:datasync:us-east-1:111222333444:location/loc-0b3017fc4ba4a2d8d"
   }

1. https://console.aws.amazon.com/datasync/ で AWS DataSync コンソールを開きます。

2. 左側のナビゲーションペインで [データ転送] を展開し、[ロケーション] と [ロケーションの作成] を選択します。

3. [ロケーションタイプ] で、[Amazon S3] を選択し、[Outposts バケット] を選択します。

4. [S3 バケット] で、S3 on Outposts バケットにアクセスできる Amazon S3 アクセスポイントを選択します。

   詳細については、「Amazon S3 ユーザーガイド」を参照してください。

5. [S3 ストレージクラス (転送先として使用する場合)] で、Amazon S3 が転送先の場合にオブジェクトが使用するストレージクラスを選択します。

   詳細については、「Amazon S3 転送におけるストレージクラスに関する考慮事項」を参照してください。DataSync は、デフォルトで Amazon S3 on Outposts の S3 Outposts ストレージ クラスを使用します。

6. [エージェント] で、Outpost 上の DataSync エージェントの Amazon リソースネーム (ARN) を指定します。

7. [フォルダー] で、DataSync が読み書きする S3 バケットのプレフィックスを入力します (バケットが送信元または送信先の場所であるかどうかに応じて)。

   警告

   DataSync は、スラッシュ (/) で始まるプレフィックス、または //、/./、または /../ パターンを含むプレフィックスを持つオブジェクトを転送できません。例:

   • /photos

   • photos//2006/January

   • photos/./2006/February

   • photos/../2006/March

8. [IAM role] (IAM ロール) で、次のいずれかを実行します。

   • DataSync の [自動生成] を DataSync に選択して、S3 バケットへのアクセスに必要なアクセス許可を持つ IAM ロールを自動的に作成します。

     DataSync が以前にこの S3 バケット用 IAM ロール を作成した場合、そのロールがデフォルトで選択されます。

   • 作成したカスタム IAM ロールを選択します。詳細については、「DataSync が Amazon S3 ロケーションにアクセスするために必要な IAM ロールの作成」を参照してください。

9. (オプション) [新しいタグを追加] を選択して Amazon S3 ロケーションに新しいタグを付けます。

   タグは、リソースの管理、フィルタリング、検索に役立ちます。場所の名前タグを作成することを推奨します。

10. [ロケーションを作成] を選択します。

1. 次の create-location-s3 コマンドをコピーします。

   aws datasync create-location-s3 \
       --s3-bucket-arn 'bucket-access-point' \
       --s3-storage-class 'your-S3-storage-class' \
       --s3-config 'BucketAccessRoleArn=arn:aws:iam::account-id:role/role-allowing-datasync-operations' \
       --subdirectory /your-folder \
       --agent-arns 'arn:aws:datasync:your-region:account-id::agent/agent-agent-id'

2. [--s3-bucket-arn] で、S3 on Outposts バケットにアクセスできる Amazon S3 アクセスポイントの ARN を指定します。

   詳細については、「Amazon S3 ユーザーガイド」を参照してください。

3. --s3-storage-class で、Amazon S3 が転送先となる場合にオブジェクトで使用するストレージクラスを指定します。

   詳細については、「Amazon S3 転送におけるストレージクラスに関する考慮事項」を参照してください。DataSync は、デフォルトで S3 on Outposts の S3 Outposts ストレージクラスを使用します。

4. --s3-config で、DataSync がバケットにアクセスするために必要な IAM ロールの ARN を指定します。

   詳細については、「DataSync が Amazon S3 ロケーションにアクセスするために必要な IAM ロールの作成」を参照してください。

5. --subdirectory で、DataSync が読み取りと書き込みを行う S3 バケットのプレフィックスを指定します (バケットが送信元のロケーションか送信先のロケーションかに応じて異なります)。

   警告

   DataSync は、スラッシュ (/) で始まるプレフィックス、または //、/./、または /../ パターンを含むプレフィックスを持つオブジェクトを転送できません。例:

   • /photos

   • photos//2006/January

   • photos/./2006/February

   • photos/../2006/March

6. [--agent-arns] で、Outpost の DataSync エージェントの ARN を指定します。

7. create-location-s3 コマンドを実行します。

   コマンドが成功すると、作成した場所の ARN を示す応答が返されます。例:

   {
       "LocationArn": "arn:aws:datasync:us-east-1:111222333444:location/loc-0b3017fc4ba4a2d8d"
   }

DataSync エージェントを作成するには

1. 商用リージョンに Amazon EC2 エージェントをデプロイします。

2. VPC サービスエンドポイントを使用するようにエージェントを設定します。

3. エージェントをアクティブ化します。

DataSync エージェントを作成するには

1. Amazon EC2 エージェントを AWS GovCloud (US) Region にデプロイします。

2. VPC サービスエンドポイントを使用するようにエージェントを設定します。

3. エージェントをアクティブ化します。

1. https://console.aws.amazon.com/datasync/ で AWS DataSync コンソールを開きます。

2. タスクを実行する予定のリージョンと同じリージョンにいることを確認します。

3. 左側のナビゲーションペインで [データ転送] を展開し、[ロケーション] と [ロケーションの作成] を選択します。

4. 場所タイプで、オブジェクトストレージを選択します。

5. [エージェント] で、転送用に作成した DataSync エージェントを選択します。

6. [サーバー] で、次のいずれかの形式を使用して、バケット用の Amazon S3 エンドポイントを入力します。

   • 商用リージョンバケット: s3.your-region.amazonaws.com

   • AWS GovCloud (US) Region バケット: s3.your-gov-region.amazonaws.com

   Amazon S3 エンドポイントのリストについては、「AWS 全般のリファレンス」を参照してください。

7. [バケット] の名前に、S3 バケットの名前を入力します。

8. [フォルダー] で、DataSync が読み書きする S3 バケットのプレフィックスを入力します (バケットが送信元または送信先の場所であるかどうかに応じて)。

   警告

   DataSync は、スラッシュ (/) で始まるプレフィックス、または //、/./、または /../ パターンを含むプレフィックスを持つオブジェクトを転送できません。例:

   • /photos

   • photos//2006/January

   • photos/./2006/February

   • photos/../2006/March

9. [認証情報が必要です] を選択し、以下を実行します。

   • [アクセスキー] に、そのバケットにアクセスできる IAM ユーザーのアクセスキーを入力します。

   • [シークレットキー] に、上と同じ IAM ユーザーのシークレットキーを入力します。

10. (オプション)[タグを追加] を選択して場所にタグを付けます。

    タグは、リソースの管理、フィルタリング、検索に役立ちます。場所の名前タグを作成することを推奨します。

11. [ロケーションを作成] を選択します。

1. 次の create-location-object-storage コマンドをコピーします。

   aws datasync create-location-object-storage \
       --server-hostname s3-endpoint \
       --bucket-name amzn-s3-demo-bucket \
       --agent-arns arn:aws:datasync:your-region:123456789012:agent/agent-01234567890deadfb

2. --server-hostname パラメータで、次のいずれかの形式を使用して、バケットの Amazon S3 エンドポイントを指定します。

   • 商用リージョンバケット: s3.your-region.amazonaws.com

   • AWS GovCloud (US) Region バケット: s3.your-gov-region.amazonaws.com

   エンドポイントのリージョンで、タスクを実行する予定のリージョンと同じリージョンを指定していることを確認します。

   Amazon S3 エンドポイントのリストについては、「AWS 全般のリファレンス」を参照してください。

3. --bucket-name パラメータで、S3 バケットの名前を指定します。

4. --agent-arns パラメータで、この転送用に作成した DataSync エージェントを指定します。

5. --access-key パラメータで、このバケットにアクセスできる IAM ユーザーのアクセスキーを指定します。

6. --secret-key パラメータで、上と同じ IAM ユーザーのシークレットキーを入力します。

7. (オプション) --subdirectory パラメータで、DataSync が読み取りと書き込みを行う S3 バケットのプレフィックスを指定します (バケットが送信元のロケーションか送信先のロケーションかに応じて異なります)。

   警告

   DataSync は、スラッシュ (/) で始まるプレフィックス、または //、/./、または /../ パターンを含むプレフィックスを持つオブジェクトを転送できません。例:

   • /photos

   • photos//2006/January

   • photos/./2006/February

   • photos/../2006/March

8. (オプション) --tags パラメータで、ロケーションリソースのタグを表すキーと値のペアを指定します。

   タグは、リソースの管理、フィルタリング、検索に役立ちます。場所の名前タグを作成することを推奨します。

9. create-location-object-storage コマンドを実行します。

   先ほど作成した場所の ARN を示す応答が表示されます。

   {
       "LocationArn": "arn:aws:datasync:us-east-1:123456789012:location/loc-01234567890abcdef"
   }