S3 檔案的先決條件

您有 AWS 帳戶。

在您要建立檔案系統的所需 AWS 區域中，您擁有運算資源和 S3 一般用途儲存貯體。如需詳細資訊，請參閱建立一般用途儲存貯體。

您的 S3 儲存貯體已啟用版本控制。S3 檔案需要 S3 版本控制，才能同步檔案系統和 S3 儲存貯體之間的變更。如需詳細資訊，請參閱在儲存貯體上啟用版本控制。

您的 S3 儲存貯體必須使用下列其中一種加密類型：使用 Amazon S3 受管金鑰 (SSE-S3) 進行伺服器端加密，或使用 AWS Key Management Service (AWS KMS) 金鑰 (SSE-KMS) 進行伺服器端加密。

透過 Secure Shell (SSH) 存取 Amazon EC2 執行個體的終端機，並使用適當的使用者名稱登入。如需詳細資訊，請參閱《Amazon Elastic Compute Cloud 使用者指南》中的連線至 EC2 執行個體。

對於使用 Amazon Linux 的使用者，請執行下列動作，從 Amazon 的儲存庫安裝 efs-utils：

sudo yum -y install amazon-efs-utils

如果您使用其他支援的 Linux 發行版本，您可以執行下列動作：

curl https://amazon-efs-utils.aws.com/efs-utils-installer.sh | sudo sh -s -- --install

如需其他 Linux 發行版本，請參閱 GitHub 上 amazon-efs-utils README 中的其他 Linux 發行版本。

從檔案系統存取您的儲存貯體

將檔案系統連接至 AWS 運算資源

內嵌政策，如下所示：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions"
            ],
            "Resource": "arn:aws:s3:::bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:List*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithS3Files",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.region.amazonaws.com",
                    "kms:EncryptionContext:aws:s3:arn": [
                        "arn:aws:s3:::bucket",
                        "arn:aws:s3:::bucket/*"
                    ]
                }
            },
            "Resource": "arn:aws:kms:region:accountId:*"
        },
        {
            "Sid": "EventBridgeManage",
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:DisableRule",
                "events:EnableRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "elasticfilesystem.amazonaws.com"
                }
            },
            "Resource": [
                "arn:aws:events:*:*:rule/DO-NOT-DELETE-S3-Files*"
            ]
        },
        {
            "Sid": "EventBridgeRead",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/*"
            ]
        }
    ]
}

將預留位置值取代為您自己的值。

允許 S3 檔案擔任 IAM 角色的信任政策。將下列信任政策新增至 IAM 角色，以允許 S3 Files 服務擔任該角色。將 accountId 和區域取代為您的值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3FilesAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountId"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3files:region:accountId:file-system/*"
                }
            }
        }
    ]
}

運算資源連線至 S3 檔案系統並與之互動的許可

IAM 角色必須包含掛載協助程式的許可，以連線至 S3 檔案系統並與之互動。如果您想要將運算資源的完整讀取和寫入存取權授予 S3 檔案系統，或AmazonS3FilesClientReadOnlyAccess將 授予唯讀存取權，您可以連接 AmazonS3FilesClientFullAccess 受管 AWS 政策，例如 受管政策。如果您想要啟用 Amazon CloudWatch 監控，也可以連接 AmazonElasticFileSystemUtils受管政策。如需 S3 檔案可用受管政策的詳細資訊和完整清單，請參閱 AWS Amazon S3 檔案的受管政策。您也可以將 s3files:ClientMount或 等個別 IAM 許可 s3files:ClientWrite（唯讀連線不需要） 新增至運算資源的 IAM 角色，以提供這些許可。

將運算資源讀取存取權授予 S3 物件的內嵌政策

將下列內嵌政策新增至 IAM 角色。此政策授予運算資源許可，以直接從相同帳戶中連結的 S3 儲存貯體讀取物件，以最佳化讀取效能。以 S3 儲存貯體名稱取代儲存貯體，或以字首取代儲存貯體名稱。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket/*"
        },
        {
            "Sid": "S3BucketListAccess",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}