S3 Files 的先决条件

您已经有一个 AWS 账户。

在您想要创建文件系统的所需 AWS 区域中，您有一个计算资源和一个 S3 通用存储桶。有关更多信息，请参阅 创建通用存储桶。

您的 S3 存储桶已启用版本控制。S3 Files 需要使用 S3 版本控制，以便在文件系统和 S3 存储桶之间同步更改。有关更多信息，请参阅 在存储桶上启用版本控制。

S3 存储桶必须使用以下加密类型之一：具有 Amazon S3 托管式密钥的服务器端加密（SSE-S3）或具有 AWS Key Management Service（AWS KMS）密钥的服务器端加密（SSE-KMS）。

通过 Secure Shell（SSH）访问您的 Amazon EC2 实例的终端，然后使用相应的用户名登录。有关更多信息，请参阅《Amazon Elastic Compute Cloud 用户指南》中的连接到您的 EC2 实例。

对于那些使用 Amazon Linux 的客户端，请执行以下操作从 Amazon 的存储库安装 efs-utils：

sudo yum -y install amazon-efs-utils

如果您使用其它受支持的 Linux 发行版，则可以执行以下操作：

curl https://amazon-efs-utils.aws.com/efs-utils-installer.sh | sudo sh -s -- --install

有关其它 Linux 发行版，请参阅 GitHub 上 amazon-efs-utils 自述文件中的 On other Linux distributions。

从文件系统访问您的存储桶

将文件系统附加到 AWS 计算资源

内联策略，如下所示：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions"
            ],
            "Resource": "arn:aws:s3:::bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:List*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithS3Files",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.region.amazonaws.com",
                    "kms:EncryptionContext:aws:s3:arn": [
                        "arn:aws:s3:::bucket",
                        "arn:aws:s3:::bucket/*"
                    ]
                }
            },
            "Resource": "arn:aws:kms:region:accountId:*"
        },
        {
            "Sid": "EventBridgeManage",
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:DisableRule",
                "events:EnableRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "elasticfilesystem.amazonaws.com"
                }
            },
            "Resource": [
                "arn:aws:events:*:*:rule/DO-NOT-DELETE-S3-Files*"
            ]
        },
        {
            "Sid": "EventBridgeRead",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/*"
            ]
        }
    ]
}

将占位符值替换为您自己的值。

支持 S3 Files 代入 IAM 角色的信任策略。将下面的信任策略添加到 IAM 角色中，以支持 S3 Files 服务代入该角色。将 accountId 和 region 替换为您的值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3FilesAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountId"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3files:region:accountId:file-system/*"
                }
            }
        }
    ]
}

计算资源连接到 S3 文件系统并与之交互的权限

IAM 角色必须包括供挂载助手连接到 S3 文件系统并与之交互的权限。如果您想授予计算资源对 S3 文件系统的完全读写权限，或者授予 AmazonS3FilesClientReadOnlyAccess 以获得只读访问权限，则可以附加 AWS 托管式策略，例如 AmazonS3FilesClientFullAccess 托管式策略。如果您想启用 Amazon CloudWatch 监控，也可以附加 AmazonElasticFileSystemUtils 托管式策略。有关更多信息和 S3 Files 的可用托管式策略的完整列表，请参阅 Amazon S3 Files 的 AWS 托管式策略。还可以通过向计算资源的 IAM 角色添加单独的 IAM 权限来提供这些权限，例如 s3files:ClientMount 或 s3files:ClientWrite（对于只读连接则不需要）。

授予计算资源对 S3 对象的读取权限的内联策略

将下面的内联策略添加到 IAM 角色。此策略向计算资源授予直接从同一账户中关联的 S3 存储桶读取对象的权限，以优化读取性能。将 bucket 替换为您的 S3 存储桶名称或带前缀的存储桶名称。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket/*"
        },
        {
            "Sid": "S3BucketListAccess",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}