无法在两个账户之间使用 Amazon S3 跨区域复制

我希望有人可以帮助我处理 Amazon S3 跨区域复制查询。我有两个 Amazon AWS 账户，每个账户在不同区域都有一个存储桶。我想将数据从一个存储桶复制到另一个存储桶，据我了解，这应该是一个简单的创建过程。然而，我真的很挣扎，我不知道我做错了什么。我遵循了很多在线说明，包括浏览各种 AWS 教程、查看大量示例，但我无法复制数据。

我已在两个存储桶上启用版本控制，并且没有数据被加密。但是，我的源存储桶中确实有一个策略，允许通过引用条件访问源数据，以便只能通过特定域访问数据（在本例中为图像）。这一切都工作正常，我怀疑这可能是限制从目标存储桶访问的原因。

我已按照在线说明设置复制规则和 IAM 策略。

所以，我的源存储桶策略是：-

{
"Version": "2012-10-17",
"Id": "http referrer policy",
"Statement": [
    {
        "Sid": "Allow get requests originated from list",
        "Effect": "Allow",
        "Principal": "*",
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::SOURCEBUCKET/*",
        "Condition": {
            "StringLike": {
                "aws:Referer": [
                    "http://www.domain1.com/*",
                    "https://www.domain2.com/*",
                    "http://domain3.com/*"
                ]
            }
        }
    }
]

}

我的目标存储桶政策是：-

{
"Version": "2008-10-17",
"Id": "S3-Console-Replication-Policy",
"Statement": [
    {
        "Sid": "S3ReplicationPolicyStmt1",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::MYSOURCEACCIDNUMBER:root"
        },
        "Action": [
            "s3:List*",
            "s3:GetBucketVersioning",
            "s3:PutBucketVersioning",
            "s3:ReplicateObject",
            "s3:ReplicateDelete"
        ],
        "Resource": [
            "arn:aws:s3:::DESTINATIONBUCKET",
            "arn:aws:s3:::DESTINATIONBUCKET/*"
        ]
    }
]

}

谁能告诉我如何（如果需要）添加到源存储桶策略以启用从目标存储桶的访问？我非常有信心问题就在这里。

提前致谢。

为了测试这种情况，我做了以下操作：

• Created Bucket-A in Account-A带有版本控制
• Created Bucket-B in Account-B带有版本控制
• 配置跨区域复制Bucket-A，选择“创建新角色”（见下文）
• 添加了 UI 中提供的目标存储桶策略（与上面您的匹配）Bucket-B

过程创建了一个角色 called s3crr_role_for_bucket-a_to_bucket-b其中包含：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:Get*",
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::bucket-a",
                "arn:aws:s3:::bucket-a/*"
            ]
        },
        {
            "Action": [
                "s3:ReplicateObject",
                "s3:ReplicateDelete",
                "s3:ReplicateTags",
                "s3:GetObjectVersionTagging"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::bucket-b/*"
        }
    ]
}

然后我将文件上传到Bucket-A and it 成功复制 to Bucket-B.

所以，这个过程似乎运行良好。如果您遇到困难，可以考虑以下一些想法：

• 确保没有可能应用的政策DENY对着水桶
• 检查IAM Role已分配给 CRR 并确保其授予如上所示的权限
• Check 跨区域复制故障排除 - Amazon Simple Storage Service https://docs.aws.amazon.com/AmazonS3/latest/dev/crr-troubleshoot.html
• 也可以看看跨区域复制状态信息 - Amazon Simple Storage Service https://docs.aws.amazon.com/AmazonS3/latest/dev/crr-status.html