Prérequis pour les fichiers S3

Tu as un AWS compte.

Vous disposez d'une ressource de calcul et d'un compartiment S3 à usage général dans AWS la région de votre choix où vous souhaitez créer votre système de fichiers. Pour de plus amples informations, veuillez consulter Création d’un compartiment à usage général.

La gestion des versions est activée dans votre compartiment S3. S3 Files nécessite le contrôle de version S3 pour synchroniser les modifications entre votre système de fichiers et votre compartiment S3. Pour de plus amples informations, veuillez consulter Activation de la gestion des versions sur les compartiments.

Votre compartiment S3 doit utiliser l'un des types de chiffrement suivants : chiffrement côté serveur avec des clés gérées Amazon S3 (SSE-S3) ou chiffrement côté serveur avec des clés du service de gestion des AWS clés (KMS) (AWS SSE-KMS).

Accédez au terminal de votre instance Amazon EC2 via Secure Shell (SSH) et connectez-vous avec le nom d'utilisateur approprié. Pour plus d'informations, consultez Connect to your EC2 instance dans le guide de l'utilisateur d'Amazon Elastic Compute Cloud.

Pour ceux qui utilisent Amazon Linux, procédez comme suit pour installer efs-utils depuis les référentiels d'Amazon :

sudo yum -y install amazon-efs-utils

Si vous utilisez d'autres distributions Linux prises en charge, vous pouvez effectuer les opérations suivantes :

curl https://amazon-efs-utils.aws.com/efs-utils-installer.sh | sudo sh -s -- --install

Pour les autres distributions Linux, voir Sur les autres distributions Linux dans le amazon-efs-utils fichier README activé GitHub.

Accès à votre bucket depuis le système de fichiers

Associer votre système de fichiers aux ressources AWS de calcul

Une politique en ligne comme suit :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions"
            ],
            "Resource": "arn:aws:s3:::bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:List*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "accountId"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithS3Files",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.region.amazonaws.com",
                    "kms:EncryptionContext:aws:s3:arn": [
                        "arn:aws:s3:::bucket",
                        "arn:aws:s3:::bucket/*"
                    ]
                }
            },
            "Resource": "arn:aws:kms:region:accountId:*"
        },
        {
            "Sid": "EventBridgeManage",
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:DisableRule",
                "events:EnableRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "elasticfilesystem.amazonaws.com"
                }
            },
            "Resource": [
                "arn:aws:events:*:*:rule/DO-NOT-DELETE-S3-Files*"
            ]
        },
        {
            "Sid": "EventBridgeRead",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListRules",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:*:*:rule/*"
            ]
        }
    ]
}

Remplacez les valeurs de l'espace réservé par vos propres valeurs.

Une politique de confiance qui permet à S3 Files d'assumer le rôle IAM. Ajoutez la politique de confiance suivante au rôle IAM pour permettre au service S3 Files de l'assumer. Remplacez accountId et region par vos valeurs.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3FilesAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountId"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3files:region:accountId:file-system/*"
                }
            }
        }
    ]
}

Autorisations permettant à la ressource de calcul de se connecter aux systèmes de fichiers S3 et d'interagir avec eux

Le rôle IAM doit inclure des autorisations permettant à l'assistant de montage de se connecter aux systèmes de fichiers S3 et d'interagir avec eux. Vous pouvez associer une politique AWS gérée telle qu'une politique AmazonS3FilesClientFullAccess gérée si vous souhaitez accorder à la ressource de calcul un accès complet en lecture et en écriture à votre système de fichiers S3 ou un accès en lecture seule. AmazonS3FilesClientReadOnlyAccess Vous pouvez également joindre la politique AmazonElasticFileSystemUtils gérée si vous souhaitez activer la CloudWatch surveillance d'Amazon. Pour plus d'informations et une liste complète des politiques gérées disponibles pour S3 Files, consultez la section Politiques AWS gérées pour Amazon S3 Files. Vous pouvez également fournir ces autorisations en ajoutant des autorisations IAM individuelles telles que s3files:ClientMount ou s3files:ClientWrite (non requises pour les connexions en lecture seule) au rôle IAM de votre ressource de calcul.

Une politique en ligne qui accorde à la ressource de calcul un accès en lecture aux objets S3

Ajoutez la politique intégrée suivante au rôle IAM. Cette politique accorde aux ressources de calcul les autorisations nécessaires pour lire directement les objets du compartiment S3 lié dans le même compte afin d'optimiser les performances de lecture. bucketRemplacez-le par le nom de votre compartiment S3 ou par le nom du compartiment par un préfixe.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket/*"
        },
        {
            "Sid": "S3BucketListAccess",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}