S3 Files의 사전 조건

AWS 계정이 있습니다.

파일 시스템을 생성하려는 원하는 AWS 리전에 컴퓨팅 리소스와 S3 범용 버킷이 있습니다. 자세한 내용은 범용 버킷 생성 섹션을 참조하세요.

S3 버킷에 버전 관리가 활성화되어 있습니다. S3 Files는 파일 시스템과 S3 버킷 간의 변경 사항을 동기화하려면 S3 버전 관리가 필요합니다. 자세한 내용은 버킷에 버전 관리 사용 설정 섹션을 참조하세요.

S3 버킷은 Amazon S3 관리형 키를 사용한 서버 측 암호화(SSE-S3) 또는 AWS Key Management Service(AWS KMS) 키를 사용한 서버 측 암호화(SSE-KMS) 중 하나를 사용해야 합니다.

Secure Shell(SSH)를 통해 Amazon EC2 인스턴스의 터미널에 액세스하고, 적절한 사용자 이름으로 로그인합니다. 자세한 내용은 Amazon Elastic Compute Cloud 사용 설명서의 EC2 인스턴스에 연결을 참조하세요.

Amazon Linux를 사용하는 사용자의 경우 다음을 수행하여 Amazon 리포지토리에서 efs-utils를 설치합니다.

sudo yum -y install amazon-efs-utils

지원되는 다른 Linux 배포판을 사용하는 경우 다음을 수행할 수 있습니다.

curl https://amazon-efs-utils.aws.com/efs-utils-installer.sh | sudo sh -s -- --install

다른 Linux 배포판의 경우 GitHub의 amazon-efs-utils README의 다른 Linux 배포판을 참조하세요.

파일 시스템에서 버킷에 액세스

AWS 컴퓨팅 리소스에 파일 시스템 연결

인라인 정책은 다음과 같습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions"
            ],
            "Resource": "arn:aws:s3:::bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:List*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithS3Files",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.region.amazonaws.com",
                    "kms:EncryptionContext:aws:s3:arn": [
                        "arn:aws:s3:::bucket",
                        "arn:aws:s3:::bucket/*"
                    ]
                }
            },
            "Resource": "arn:aws:kms:region:accountId:*"
        },
        {
            "Sid": "EventBridgeManage",
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:DisableRule",
                "events:EnableRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "elasticfilesystem.amazonaws.com"
                }
            },
            "Resource": [
                "arn:aws:events:*:*:rule/DO-NOT-DELETE-S3-Files*"
            ]
        },
        {
            "Sid": "EventBridgeRead",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/*"
            ]
        }
    ]
}

자리 표시자 값을 해당 값으로 바꿉니다.

S3 Files가 IAM 역할을 수임하도록 허용하는 신뢰 정책입니다. S3 Files 서비스가 수임할 수 있도록 다음 신뢰 정책을 IAM 역할에 추가합니다. accountId와 region을 해당 값으로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3FilesAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountId"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3files:region:accountId:file-system/*"
                }
            }
        }
    ]
}

컴퓨팅 리소스가 S3 파일 시스템에 연결하고 상호 작용할 수 있는 권한

IAM 역할에는 탑재 도우미가 S3 파일 시스템에 연결하고 상호 작용할 수 있는 권한이 포함되어야 합니다. 컴퓨팅 리소스에 S3 파일 시스템에 대한 전체 읽기 및 쓰기 권한을 부여하려면 AmazonS3FilesClientFullAccess 관리형 정책과 같은 AWS 관리형 정책을 연결할 수 있으며, 읽기 전용 권한의 경우에는 AmazonS3FilesClientReadOnlyAccess를 연결할 수 있습니다. Amazon CloudWatch 모니터링을 활성화하려는 경우 AmazonElasticFileSystemUtils 관리형 정책을 연결할 수도 있습니다. S3 Files에 사용할 수 있는 관리형 정책의 전체 목록과 자세한 내용은 Amazon S3 Files에 대한 AWS 관리형 정책을 참조하세요. 컴퓨팅 리소스의 IAM 역할에 s3files:ClientMount 또는 s3files:ClientWrite(읽기 전용 연결에는 필요하지 않음)와 같은 개별 IAM 권한을 추가하여 이러한 권한을 제공할 수도 있습니다.

컴퓨팅 리소스에 S3 객체에 대한 읽기 액세스 권한을 부여하는 인라인 정책

다음 인라인 정책을 IAM 역할에 추가합니다. 이 정책은 동일한 계정의 연결된 S3 버킷에서 객체를 직접 읽을 수 있는 컴퓨팅 리소스 권한을 부여하여 읽기 성능을 최적화합니다. 버킷을 S3 버킷 이름으로 바꾸거나 버킷 이름을 접두사로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket/*"
        },
        {
            "Sid": "S3BucketListAccess",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}