Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

# Copie datos de un bucket de Amazon S3 a otra cuenta o región mediante el AWS CLI
<a name="copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli"></a>

*Appasaheb Bagali y Purushotham G K, Amazon Web Services*

## Resumen
<a name="copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli-summary"></a>

Este patrón describe cómo migrar datos desde un bucket de Amazon Simple Storage Service (Amazon S3) de origen de AWS una cuenta a un bucket de Amazon S3 de destino de AWS otra cuenta, ya sea en la Región de AWS misma región o en una diferente.

El bucket Amazon S3 de origen permite el acceso AWS Identity and Access Management (IAM) mediante una política de recursos adjunta. Un usuario de la cuenta de destino debe asumir un rol que tenga permisos `PutObject` y `GetObject`para el bucket de origen. Por último, ejecuta `copy` `sync` comandos para transferir datos del bucket Amazon S3 de origen al bucket Amazon S3 de destino.

Las cuentas son propietarias de los objetos que cargan en los buckets de Amazon S3. Si copia objetos entre cuentas y regiones, otorga a la cuenta de destino la propiedad de los objetos copiados. Para cambiar la propiedad de un objeto, cambie su [lista de control de acceso (ACL)](https://docs.aws.amazon.com/AmazonS3/latest/dev/S3_ACLs_UsingACLs.html) a `bucket-owner-full-control`. Sin embargo, le recomendamos que conceda permisos programáticos para varias cuentas a la cuenta de destino, ya que ACLs puede resultar difícil administrarlos para varios objetos.

**aviso**  
En este escenario, se requieren usuarios de IAM con acceso programático y credenciales de larga duración, lo que supone un riesgo de seguridad. Para ayudar a mitigar este riesgo, le recomendamos que brinde a estos usuarios únicamente los permisos que necesitan para realizar la tarea y que los elimine cuando ya no los necesiten. Las claves de acceso se pueden actualizar si es necesario. Para obtener más información, consulte [Actualización de las claves de acceso](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_access-keys.html#Using_RotateAccessKey) en la documentación de IAM.

## Requisitos previos y limitaciones
<a name="copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli-prereqs"></a>

*Requisitos previos *
+ Dos activos Cuentas de AWS iguales o diferentes. Regiones de AWS
+ Un bucket de Amazon S3 existente en la cuenta de origen. 
+ Si su bucket de Amazon S3 de origen o destino tiene activado el [cifrado por defecto](https://docs.aws.amazon.com/AmazonS3/latest/dev/bucket-encryption.html), debe modificar los permisos de la clave AWS Key Management Service (AWS KMS). Para obtener más información, consulte el [artículo de AWS Re:post](https://repost.aws/knowledge-center/s3-bucket-access-default-encryption) sobre este tema. 
+ Familiaridad con los permisos entre cuentas.

*Limitaciones*
+ Este patrón cubre una migración única. Para los escenarios que requieren la migración continua y automática de nuevos objetos de un bucket de origen a un bucket de destino, puede utilizar [Amazon S3 Batch Replication](https://docs.aws.amazon.com/AmazonS3/latest/userguide/s3-batch-replication-batch.html).
+ Este patrón utiliza credenciales de sesión (`AccessKeyId``SecretAccessKey`, y`SessionToken`) que son temporales y no persistentes. La marca de tiempo de caducidad de la salida indica cuándo caducan estas credenciales. El rol se configura con la duración máxima de la sesión. El trabajo de copia se cancelará si la sesión caduca.

## Arquitectura
<a name="copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli-architecture"></a>

 

![Copiar datos de Amazon S3 a otra cuenta o región](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/images/pattern-img/a574c26b-fdd9-4472-842b-b34c3eb2bfe9/images/5e4dec53-dfc8-478b-a7c4-503d63c8ac4e.png)


## Tools (Herramientas)
<a name="copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli-tools"></a>
+ [AWS Command Line Interface (AWS CLI)](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html) es una herramienta de código abierto que le ayuda a interactuar Servicios de AWS mediante los comandos de su consola de línea de comandos.
+ [AWS Identity and Access Management (IAM)](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) le ayuda a administrar de forma segura el acceso a sus AWS recursos al controlar quién está autenticado y autorizado a usarlos.
+ [Amazon Simple Storage Service (Amazon S3)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Welcome.html) es un servicio de almacenamiento de objetos basado en la nube que lo ayuda a almacenar, proteger y recuperar cualquier cantidad de datos.

## Prácticas recomendadas
<a name="copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli-best-practices"></a>
+ [Prácticas recomendadas de seguridad en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) (documentación de IAM)
+ [Aplicar permisos con privilegios mínimos (documentación de IAM)](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege)

## Epics
<a name="copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli-epics"></a>

### Cree un usuario y un rol de IAM en el destino Cuenta de AWS
<a name="create-an-iam-user-and-role-in-the-destination-aws-account"></a>


| Tarea | Descripción | Habilidades requeridas | 
| --- | --- | --- | 
| Crear un usuario de IAM para conseguir la clave de acceso. | [See the AWS documentation website for more details](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli.html) | AWS DevOps | 
| Crear una política de IAM basada en identidades. | Cree una política de IAM basada en la identidad denominada `S3MigrationPolicy` mediante los siguientes permisos. Modifique los nombres de los buckets de origen y destino según su caso de uso. Esta política basada en la identidad permite al usuario que asume esta función acceder al depósito de origen y al depósito de destino. Para obtener instrucciones detalladas, consulte [Creación de políticas de IAM en la documentación de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html). <pre>{<br />    "Version": "2012-10-17",		 	 	 <br />    "Statement": [<br />        {<br />            "Effect": "Allow",<br />            "Action": [<br />                "s3:ListBucket",<br />                "s3:ListObjectsV2",<br />                "s3:GetObject",<br />                "s3:GetObjectTagging",<br />                "s3:GetObjectVersion",<br />                "s3:GetObjectVersionTagging"<br />            ],<br />            "Resource": [<br />                "arn:aws:s3:::amazon-s3-demo-source-bucket",<br />                "arn:aws:s3:::amazon-s3-demo-source-bucket/*"<br />            ]<br />        },<br />        {<br />            "Effect": "Allow",<br />            "Action": [<br />                "s3:ListBucket",<br />                "s3:PutObject",<br />                "s3:PutObjectAcl",<br />                "s3:PutObjectTagging",<br />                "s3:GetObjectTagging",<br />                "s3:ListObjectsV2",<br />                "s3:GetObjectVersion",<br />                "s3:GetObjectVersionTagging"<br />            ],<br />            "Resource": [<br />                "arn:aws:s3:::amazon-s3-demo-destination-bucket",<br />                "arn:aws:s3:::amazon-s3-demo-destination-bucket/*"<br />            ]<br />        }<br />    ]<br />}</pre> | AWS DevOps | 
| Crear un rol de IAM. | Cree un rol de IAM denominado `S3MigrationRole` mediante la siguiente política de confianza. Modifique el nombre de recurso de Amazon (ARN) del nombre de usuario o el rol de IAM de destino en la política de confianza según el caso de uso. Esta política de confianza permite que el recién creado usuario de IAM asuma `S3MigrationRole`. Adjunte el creado `S3MigrationPolicy` anteriormente. Para conocer los pasos detallados, consulte [Crear una función para delegar permisos a un usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html) en la documentación de IAM.<pre>{<br />    "Version": "2012-10-17",		 	 	 <br />    "Statement": [<br />        {<br />            "Effect": "Allow",<br />            "Principal": {<br />                "AWS": "arn:aws:iam::<destination_account>:user/<user_name>"<br />            },<br />            "Action": "sts:AssumeRole",<br />            "Condition": {}<br />        }<br />    ]<br />}</pre> | AWS DevOps | 

### Cree y adjunte la política de bucket de Amazon S3 a la cuenta de origen
<a name="create-and-attach-the-s3-bucket-policy-in-the-source-account"></a>


| Tarea | Descripción | Habilidades requeridas | 
| --- | --- | --- | 
| Cree y adjunte una política de bucket de Amazon S3. | [See the AWS documentation website for more details](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli.html) | Administrador de la nube | 

### Configurar el bucket Amazon S3 de destino
<a name="configure-the-destination-s3-bucket"></a>


| Tarea | Descripción | Habilidades requeridas | 
| --- | --- | --- | 
| Cree un bucket de Amazon S3 de destino. | [See the AWS documentation website for more details](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli.html) | Administrador de la nube | 

### Copie los datos al bucket de Amazon S3 de destino
<a name="copy-data-to-the-destination-s3-bucket"></a>


| Tarea | Descripción | Habilidades requeridas | 
| --- | --- | --- | 
| Configure el AWS CLI con las credenciales de usuario recién creadas. | [See the AWS documentation website for more details](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli.html) | AWS DevOps | 
| Asuma la función de migración de Amazon S3. | [See the AWS documentation website for more details](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli.html)Para obtener más información, consulte [¿Cómo se utiliza AWS CLI para asumir una función de IAM](https://repost.aws/knowledge-center/iam-assume-role-cli)? | Administrador de AWS | 
| Copie y sincronice los datos del depósito de origen con el depósito de destino. | Cuando haya asumido el rol, `S3MigrationRole` puede copiar los datos mediante el comando [copy](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/s3/cp.html) (`cp`) o [synchronize](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/s3/sync.html) (`sync`).<br />Copiar:<pre>aws s3 cp s3://amazon-s3-demo-source-bucket/ \<br />    s3://amazon-s3-demo-destination-bucket/ \<br />    --recursive --source-region SOURCE-REGION-NAME --region DESTINATION-REGION-NAME</pre><br />Sincronizar:<pre>aws s3 sync s3://amazon-s3-demo-source-bucket/ \<br />    s3://amazon-s3-demo-destination-bucket/ \<br />    --source-region SOURCE-REGION-NAME --region DESTINATION-REGION-NAME</pre> | Administrador de la nube | 

## Resolución de problemas
<a name="copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli-troubleshooting"></a>


| Problema | Solución | 
| --- | --- | 
| Se produjo un error (`AccessDenied`) al llamar a la operación `ListObjects` | [See the AWS documentation website for more details](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli.html) | 

## Recursos relacionados
<a name="copy-data-from-an-s3-bucket-to-another-account-and-region-by-using-the-aws-cli-resources"></a>
+ [Creación de un bucket de Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/create-bucket-overview.html) (documentación de Amazon S3)
+ Políticas de [bucket y políticas de usuario de Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/dev/using-iam-policies.html) (documentación de Amazon S3)
+ [Identidades de IAM (usuarios, grupos y roles)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html?icmpid=docs_iam_console) (documentación de IAM)
+ [comando cp](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/s3/cp.html) (AWS CLI documentación)
+ [comando sync](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/s3/sync.html) (AWS CLI documentación)