设置 Amazon FSx for Lustre - FSx 为了光泽
注册 Amazon Web Services添加在 Amazon S3 中使用数据存储库的权限Lustre 如何 FSx 检查对 S3 存储桶的访问权限后续步骤
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

设置 Amazon FSx for Lustre

在您首次使用 Amazon FSx for Lustre 之前，请完成本注册 Amazon Web Services节中的任务。要完成入门教程，请确保您将链接到文件系统的 Amazon S3 存储桶具有 添加在 Amazon S3 中使用数据存储库的权限 中列出的权限。

注册 Amazon Web Services

要进行设置 Amazon，请完成以下任务：

  1. 注册获取 Amazon Web Services 账户

  2. 保护 IAM 用户

注册获取 Amazon Web Services 账户

如果您没有 Amazon Web Services 账户，请完成以下步骤来创建一个。

报名参加 Amazon Web Services 账户

  1. 打开https://portal.aws.amazon.com/billing/注册。

  2. 按照屏幕上的说明操作。

    在注册时，将接到电话，要求使用电话键盘输入一个验证码。

    当您注册时 Amazon Web Services 账户，就会创建Amazon Web Services 账户根用户一个。根用户有权访问该账户中的所有 Amazon Web Services 服务 和资源。作为最佳安全实践，请为用户分配管理访问权限，并且只使用根用户来执行需要根用户访问权限的任务。

Amazon 注册过程完成后会向您发送一封确认电子邮件。您可以随时前往 https://aws.amazon.com/并选择 “我的账户”，查看您当前的账户活动并管理您的账户。

保护 IAM 用户

注册后 Amazon Web Services 账户，请开启多重身份验证 (MFA)，保护您的管理用户。有关说明，请参阅《IAM 用户指南》中的 为 IAM 用户启用虚拟 MFA 设备（控制台）。

要允许其他用户访问您的 Amazon Web Services 账户 资源，请创建 IAM 用户。为了保护您的 IAM 用户，请启用 MFA 并仅向 IAM 用户授予执行任务所需的权限。

有关创建和保护 IAM 用户的更多信息，请参阅《IAM 用户指南》中的以下主题：

添加在 Amazon S3 中使用数据存储库的权限

Amazon FSx for Lustre 已与亚马逊 S3 深度集成。这种集成意味着访问您 FSx 的 for Lustre 文件系统的应用程序也可以无缝访问存储在您关联的 Amazon S3 存储桶中的对象。有关更多信息，请参阅 在 Amazon 上使用数据存储库 for Lu FSx stre。

要使用数据存储库，您必须先 FSx 为管理员用户授予与账户关联的角色的 Amazon for Lustre 某些 IAM 权限。

使用控制台为角色嵌入内联策略

  1. 登录 Amazon Web Services Management Console 并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

  2. 在导航窗格中，选择角色。

  3. 在列表中，选择要在其中嵌入策略的角色的名称。

  4. 选择 Permissions（权限）选项卡。

  5. 滚动到页面底部并选择添加内联策略。

    注意

    您不能在 IAM 中的服务相关角色中嵌入内联策略。由于链接服务定义了您是否能修改角色的权限，因此，您可能能够从服务控制台、API 或 Amazon CLI添加其他策略。要查看服务的服务相关角色文档，请参阅使用 IAM 的Amazon 服务，然后在服务的服务相关角色列中选择是。

  6. 选择使用可视化编辑器创建策略

  7. 添加以下策略声明。

    {
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "iam:CreateServiceLinkedRole",
            "iam:AttachRolePolicy",
            "iam:PutRolePolicy"
        ],
        "Resource": "arn:aws:iam::*:role/aws-service-role/s3.data-source.lustre.fsx.amazonaws.com/*"
    }
}

创建内联策略后，它会自动嵌入您的角色。有关服务相关角色的更多信息，请参阅使用适用于 Amazon 的服务相关角色 FSx。

Lustre 如何 FSx 检查对链接 S3 存储桶的访问权限

如果您 FSx 用于创建 for Lustre 文件系统的 IAM 角色没有iam:AttachRolePolicy和iam:PutRolePolicy权限，则 Amazon FSx 会检查它是否可以更新您的 S3 存储桶策略。如果您的 IAM 角色中包含允许亚马逊 FSx 文件系统将数据导入或导出到您的 S3 存储桶的s3:PutBucketPolicy权限，则亚马逊 FSx 可以更新您的存储桶策略。如果允许修改存储桶策略，Amazon FSx 将向存储桶策略添加以下权限：

  • s3:AbortMultipartUpload

  • s3:DeleteObject

  • s3:PutObject

  • s3:Get*

  • s3:List*

  • s3:PutBucketNotification

  • s3:PutBucketPolicy

  • s3:DeleteBucketPolicy

如果亚马逊 FSx 无法修改存储桶策略，则会检查现有存储桶策略是否允许亚马逊 FSx 访问该存储桶。

如果所有这些选项都失败，则创建文件系统的请求失败。下图说明了 Amazon 在确定文件系统是否可以访问与其关联的 S3 存储桶时所 FSx 遵循的检查。

Amazon FSx 用于确定其是否有权将数据导入或导出到与之关联的 S3 存储桶的检查进度。

后续步骤

要开始使用 FSx for Lustre，开始使用 Amazon for Lu FSx stre有关创建 Amazon for Lustre 资源的说明 FSx ，请参阅。