启用或禁用注释表

默认情况下，元数据表配置包含一个日记表，该表记录存储桶中的对象发生的事件。每个元数据表配置都需要日记表。

或者，可以将注释表添加到元数据表配置中。注释表会跟踪存储桶中对象的所有注释，以便您可以大规模查询注释数据。

注释表包含存储桶中所有对象的最新注释。可以使用此表，通过根据对象的注释来识别对象，从而简化和加快业务工作流程和大数据作业。例如，可以查询注释表来执行以下操作：

查找具有特定注释键或值的所有对象。
在存储桶中的对象之间创建注释键的分布。
查找具有由特定主体应用的注释的所有对象。

如果您选择为元数据表配置启用注释表，则该表将经历一个称为回填的过程，在此过程中，Amazon S3 扫描通用存储桶，以检索和填充存储桶中存在的所有对象的注释。根据存储桶中的对象数量，此过程可能需要若干分钟到几小时。完成回填过程后，注释表的状态将从正在回填更改为活跃。完成回填后，对于对象的更新通常会在一小时内反映在注释表中。

注意

您需要为回填注释表付费。有关更多信息，请参阅 Amazon S3 定价。
无法暂停对注释表的更新，然后继续更新。但是，可以禁用注释表配置。禁用注释表不会将其删除。将为记录保留注释表，直到您决定将其删除。

如果已禁用注释表，之后想重新启用它，则必须先从 AWS 托管式表存储桶中删除旧的注释表。当重新启用注释表配置时，Amazon S3 会创建一个新的注释表，并且您需要再次支付回填新注释表的费用。

可以使用 Amazon S3 控制台、AWS Command Line Interface（AWS CLI）、AWS SDK 或 Amazon S3 REST API 来启用或禁用注释表。

先决条件

如果已禁用注释表，现在想重新启用它，则必须先从 AWS 托管式表存储桶中手动删除旧的注释表。否则，由于表存储桶中已存在注释表，因此重新启用注释表将失败。要删除注释表，请参阅删除元数据表。

当重新启用注释表配置时，Amazon S3 会创建一个新的注释表，并且您需要再次支付回填新注释表的费用。

注释表 IAM 角色

注释表需要一个 IAM 角色，该角色授予 Amazon S3 元数据从您的存储桶中读取注释的权限。创建此角色时，请使用以下信任和权限策略。

信任策略

以下信任策略将 Amazon S3 元数据标识为可以代入该角色的服务主体。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "metadata.s3.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
                }
            }
        }
    ]
}

权限策略

以下权限策略向 IAM 角色授予读取注释所需的最低权限。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PermissionForGetAnnotation",
      "Effect": "Allow",
      "Action": [
        "s3:GetObjectAnnotation",
        "s3:GetObjectVersionAnnotation"
      ],
      "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket/*"]
    },
    {
      "Sid": "PermissionsForListBucket",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:ListBucketVersions"
      ],
      "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket"]
    },
    {
      "Sid": "PermissionsForDecryptAnnotation",
      "Effect": "Allow",
      "Action": ["kms:Decrypt"],
      "Resource": ["*"]
    }
  ]
}

如果您的对象使用 SSE-KMS 加密，则 kms:Decrypt 权限涵盖用于加密对象的 AWS KMS 密钥的解密。您还需要 iam:PassRole 权限才能将角色分配给注释表配置。