设置权限

Amazon S3 需要代表您复制对象的权限。您通过创建一个 IAM 角色，然后在复制配置中指定该角色，授予这些权限。

当源存储桶与目标存储桶不是由相同亚马逊云科技账户拥有时，目标存储桶的拥有者必须向源存储桶拥有者授予存储副本的权限。

以下示例显示了一个信任策略，您在其中将 Amazon S3 标识为可担任角色的服务主体。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "Service":"s3.amazonaws.com"
         },
         "Action":"sts:AssumeRole"
      }
   ]
}

以下示例显示了一个信任策略，您在其中将 Amazon S3 和 S3 批量操作标识为服务主体。如果您正在创建分批复制任务，这很有用。有关更多信息，请参阅为第一个复制规则或新目标创建分批复制任务。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "Service": [
              "s3.amazonaws.com",
              "batchoperations.s3.amazonaws.com"
           ]
         },
         "Action":"sts:AssumeRole"
      }
   ]
}

有关 IAM 角色的更多信息，请参阅《IAM 用户指南》中的 IAM 角色。

以下示例显示了一个访问策略，您在其中向角色授予代表您执行复制任务的权限。当 Amazon S3 担任角色时，它将具有您在此策略中指定的权限。在此策略中，DOC-EXAMPLE-BUCKET1 是源存储桶，DOC-EXAMPLE-BUCKET2 是目标存储桶。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "s3:GetReplicationConfiguration",
            "s3:ListBucket"
         ],
         "Resource":[
            "arn:aws:s3:::DOC-EXAMPLE-BUCKET1"
         ]
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:GetObjectVersionForReplication",
            "s3:GetObjectVersionAcl",
            "s3:GetObjectVersionTagging"
         ],
         "Resource":[
            "arn:aws:s3:::DOC-EXAMPLE-BUCKET1/*"
         ]
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:ReplicateObject",
            "s3:ReplicateDelete",
            "s3:ReplicateTags"
         ],
         "Resource":"arn:aws:s3:::DOC-EXAMPLE-BUCKET2/*"
      }
   ]
}

访问策略授予以下操作的权限：

有关 Amazon S3 操作的列表，请参见 Amazon S3 策略操作。

如果源存储桶拥有者向 Amazon S3 授予 s3:GetObjectVersionTagging 和 s3:ReplicateTags 操作的权限来复制对象标签（通过 IAM 角色），则 Amazon S3 将复制标签以及对象。有关 IAM 角色的信息，请参阅 创建 IAM 角色。

如果目标存储桶的所有者不希望复制标签，则他们可以向目标存储桶策略添加以下语句来显式拒绝 s3:ReplicateTags 操作的权限。在此策略中，DOC-EXAMPLE-BUCKET2 是目标存储桶。

...
   "Statement":[
      {
         "Effect":"Deny",
         "Principal":{
            "AWS":"arn:aws:iam::SourceBucket-account-id:role/service-role/source-account-IAM-role"
         },
         "Action":"s3:ReplicateTags",
         "Resource":"arn:aws:s3:::DOC-EXAMPLE-BUCKET2/*"
      }
   ]
...