设置存储桶复制的要求

存储桶复制使用规则将一个 MinIO 部署上的存储桶内容同步到远程 MinIO 部署上的存储桶。

复制可以通过以下任一方式完成

主动-被动合格的对象从源存储桶复制到远程存储桶。远程存储桶上的任何更改都不会复制回来。
主动-主动任何一个存储桶的合格对象的更改都以双向方式复制到另一个存储桶。
多站点主动-主动设置用于存储桶复制的任何存储桶上的合格对象的更改都将复制到所有其他存储桶。

在您设置任何这些复制配置之前，请确保您满足以下先决条件。

设置存储桶复制所需的权限

存储桶复制需要在源部署和目标部署上配置特定的权限才能配置和启用复制规则。

复制管理员

以下策略提供在部署上配置和启用复制的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "admin:SetBucketTarget",
                "admin:GetBucketTarget"
            ],
            "Effect": "Allow",
            "Sid": "EnableRemoteBucketConfiguration"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning",
                "s3:GetObjectRetention",
                "s3:GetObjectLegalHold",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicationRuleConfiguration"
        }
    ]
}

The "EnableRemoteBucketConfiguration" 语句授予为支持复制创建远程目标的权限。
The "EnableReplicationRuleConfiguration" 语句授予在存储桶上创建复制规则的权限。The arn:aws:s3:::* 资源将复制权限应用于源部署上的任何存储桶。您可以在需要时将用户策略限制为特定存储桶。

以下代码创建了一个具有必要策略的 MinIO 管理用户。将 TARGET 替换为要配置复制的 MinIO 部署的别名

wget -O - http://min-io.cn/docs/minio/linux/examples/ReplicationAdminPolicy.json | \
mc admin policy create TARGET ReplicationAdminPolicy /dev/stdin
mc admin user add TARGET ReplicationAdmin LongRandomSecretKey
mc admin policy attach TARGET ReplicationAdminPolicy --user=ReplicationAdmin

配置为 Active Directory/LDAP 或 OpenID Connect 用户管理的 MinIO 部署应改为为存储桶复制创建一个专用的访问密钥。

复制远程用户

以下策略提供权限以启用复制数据的同步到部署中。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicationOnBucket"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ReplicateTags",
                "s3:AbortMultipartUpload",
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionTagging",
                "s3:PutObject",
                "s3:PutObjectRetention",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutObjectLegalHold",
                "s3:DeleteObject",
                "s3:ReplicateObject",
                "s3:ReplicateDelete"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicatingDataIntoBucket"
        }
    ]
}

The "EnableReplicationOnBucket" 语句授予远程目标检索存储桶级配置以支持部署中所有存储桶上的复制操作的权限。要将策略限制为特定存储桶，请将这些存储桶指定为 Resource 数组中的元素，类似于 "arn:aws:s3:::bucketName"。
The "EnableReplicatingDataIntoBucket" 语句授予远程目标将数据同步到部署中任何存储桶的权限。要将策略限制为特定存储桶，请将这些存储桶指定为 Resource 数组中的元素，类似于 "arn:aws:s3:::bucketName/*"。

以下代码创建一个具有必要策略的 MinIO 管理的用户。请将 TARGET 替换为正在配置复制的 MinIO 部署的别名

wget -O - http://min-io.cn/docs/minio/linux/examples/ReplicationRemoteUserPolicy.json | \
mc admin policy create TARGET ReplicationRemoteUserPolicy /dev/stdin
mc admin user add TARGET ReplicationRemoteUser LongRandomSecretKey
mc admin policy attach TARGET ReplicationRemoteUserPolicy --user=ReplicationRemoteUser

配置为 Active Directory/LDAP 或 OpenID Connect 用户管理的 MinIO 部署应改为为存储桶复制创建一个专用的访问密钥。

有关向 MinIO 部署添加用户、访问密钥和策略的更完整文档，请参阅 mc admin user、mc admin user svcacct 和 mc admin policy。