前提條件

• 已在賬號A下的某個地域創建Bucket A作為跨區域復制的源Bucket，并記錄賬號A的UID、Bucket A的名稱及所在地域。

• 已在賬號B下的另一個地域創建Bucket B作為跨區域復制的目標Bucket，并記錄賬號B的UID、Bucket B的名稱及所在地域。

角色授權

跨賬號復制任務涉及兩個不同賬號的Bucket，您需要按照以下說明完成RAM角色所需的信任策略和最小權限策略。

1. 通過賬號A完成以下操作。

   1. 創建普通服務角色。

      重要

      您可以選擇通過RAM用戶創建角色，RAM用戶必須擁有以下權限：ram:CreateRole、ram:GetRole、ram:ListPoliciesForRole、ram:AttachPolicyToRole。但是考慮到授予RAM用戶ram:CreateRole、ram:GetRole等角色相關的權限風險較大，您可以通過RAM用戶關聯的阿里云賬號創建RAM角色并為相應的RAM角色完成授權。授權完成后，RAM用戶可以直接復用阿里云賬號創建的RAM角色。

      創建角色過程中，需選擇可信實體類型為阿里云服務，角色類型選擇普通服務角色，受信服務選擇對象存儲。具體步驟，請參見創建普通服務角色。

      說明

      角色創建成功后，請記錄基本信息區域的RAM角色ARN，以便后續添加權限時使用。

   2. 為角色授予源Bucket執行跨區域復制的權限。

      您可以選擇以下任意方式為角色授權。

      為RAM角色授予系統策略

      警告

      您可以選擇為RAM角色授予系統策略AliyunOSSFullAccess。AliyunOSSFullAccess默認擁有當前賬號下所有Bucket的所有操作權限，請謹慎使用。

      為RAM角色授予自定義策略

      通過RAM Policy的方式對RAM角色授予源Bucket（src-bucket）復制所需的最小權限。

      說明

      實際使用時，請相應替換源Bucket名稱。

      {
         "Version":"1",
         "Statement":[
            {
               "Effect":"Allow",
               "Action":[
                  "oss:ReplicateList",
                  "oss:ReplicateGet"
               ],
               "Resource":[
                  "acs:oss:*:*:src-bucket",          	
                  "acs:oss:*:*:src-bucket/*"
               ]
            }
         ]
      }

      如果您希望將KMS加密的Object復制到目標Bucket，您還需要為角色授予AliyunKMSFullAccess系統策略。具體步驟，請參見為RAM角色授權。

2. 通過賬號B授予角色在目標Bucket接收復制對象的權限。

   （推薦）方式一：按圖形策略添加

   1. 登錄OSS管理控制臺。

   2. 在左側導航欄，單擊Bucket 列表，然后單擊目標bucket名稱dest-bucket。

   3. 在左側導航欄，選擇權限控制 > Bucket 授權策略。

   4. 在Bucket 授權策略頁面的按圖形策略添加頁簽，單擊接收復制對象。

   5. 在接收復制對象面板，UID及RAM角色獲取方式選中從源端復制RAM角色ARN獲取，源端復制RAM角色ARN選擇步驟1創建的角色ARN。

   6. 單擊生成 Policy。

   方式二：按語法策略添加

   1. 在左側導航欄，選擇權限控制>Bucket 授權策略。

   2. 在Bucket 授權策略頁面的按語法策略添加頁簽，單擊編輯。

   3. 在語法策略輸入框中，輸入以下Bucket Policy。

      重要

      • 通過Bucket Policy按語法策略的方式進行授權時，新添加的策略會覆蓋已有的策略，請確保新添加策略包含已有策略的內容，否則可能導致關聯已有策略的操作失敗。

      • 實際使用時，請相應替換自定義角色名稱（如果自定義角色名稱包含大寫字母，需轉換為對應的小寫字母。例如已創建的角色名稱為AliyunOssDrsRole，您需要轉換為aliyunossdrsrole）、目標Bucket名稱（dest-bucket）、源Bucket所屬賬號UID（137918634953xxxx）以及目標Bucket所屬賬號UID（111933544165xxxx）。

      {
         "Version":"1",
         "Statement":[
            {
              "Effect":"Allow",
              "Action":[
                  "oss:ReplicateList",
                  "oss:ReplicateGet",
                  "oss:ReplicatePut",
                  "oss:ReplicateDelete"			
               ],
              "Principal": [
                  "arn:sts::137918634953xxxx:assumed-role/aliyunossdrsrole/*"		 
      		 ],
               "Resource":[
                  "acs:oss:*:111933544165xxxx:dest-bucket",          	
                  "acs:oss:*:111933544165xxxx:dest-bucket/*"
               ]
            }
         ]
      }

   4. 單擊保存。

復制KMS加密的Object

如果您希望將賬號A下源Bucket中KMS加密的Object復制到賬號B下的目標Bucket，您需要使用目標Bucket所屬賬號B執行以下步驟。

1. 登錄密鑰管理服務控制臺的實例管理頁面，在與目標Bucket相同的地域購買并啟用KMS實例。購買KMS實例時，確保訪問管理數量大于等于2，其他參數保留默認配置。具體步驟，請參見購買和啟用KMS實例。

2. 在KMS實例下創建密鑰。密鑰類型限制為非默認密鑰（建議軟件密鑰）。具體步驟，請參見創建軟件密鑰。

   說明

   密鑰創建成功后，請記錄基本信息區域的密鑰ARN，以便后續創建復制規則時使用。

3. 為創建的密鑰設置密鑰策略。設置密鑰策略時，選擇其他賬號使用者，并將其他賬號使用者指定為上述步驟創建的角色ARN。具體步驟，請參見設置密鑰策略。

   重要

   跨賬號復制KMS加密數據要求密鑰策略至少包含解密（kms:Decrypt）和生成數據密鑰（kms:GenerateDataKey）的權限。通過控制臺設置密鑰策略時，默認包含這些權限。如果通過OpenAPI設置自定義密鑰策略，需要確保至少包含kms:Decrypt和kms:GenerateDataKey權限。

操作步驟

import com.aliyun.oss.ClientException;
import com.aliyun.oss.OSS;
import com.aliyun.oss.common.auth.*;
import com.aliyun.oss.OSSClientBuilder;
import com.aliyun.oss.OSSException;
import com.aliyun.oss.model.AddBucketReplicationRequest;

public class Demo {

    public static void main(String[] args) throws Exception {
        // Endpoint以華東1（杭州）為例，其它Region請按實際情況填寫。
        String endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
        // 強烈建議不要把訪問憑證保存到工程代碼里，否則可能導致訪問憑證泄露，威脅您賬號下所有資源的安全。本代碼示例以從環境變量中獲取訪問憑證為例。運行本代碼示例之前，請先配置環境變量。
        EnvironmentVariableCredentialsProvider credentialsProvider = CredentialsProviderFactory.newEnvironmentVariableCredentialsProvider();
        // 填寫源Bucket名稱，例如src-bucket。
        String bucketName = "src-bucket";
        // 指定數據要復制到的目標Bucket。目標Bucket與源Bucket必須屬于不同賬號。
        String targetBucketName = "dest-bucket";
        // 指定目標Bucket所在地域。目標Bucket與源Bucket必須處于不同地域。
        String targetBucketLocation = "oss-cn-shanghai";

        // 創建OSSClient實例。
        OSS ossClient = new OSSClientBuilder().build(endpoint, credentialsProvider);

        try {
            AddBucketReplicationRequest request = new AddBucketReplicationRequest(bucketName);
            request.setTargetBucketName(targetBucketName);
            request.setTargetBucketLocation(targetBucketLocation);
            // 默認復制歷史數據。此處設置為false，表示禁止復制歷史數據。
            request.setEnableHistoricalObjectReplication(false);
            // 指定授權OSS進行數據復制的角色名稱，且該角色必須已被授予源Bucket執行跨區域復制以及目標Bucket接收復制對象的權限。
            request.setSyncRole("yourRole");           
            //List prefixes = new ArrayList();
            //prefixes.add("image/");
            //prefixes.add("video");
            //prefixes.add("a");
            //prefixes.add("A");
            // 指定待復制Object的前綴Prefix。指定Prefix后，只有匹配該Prefix的Object才會復制到目標Bucket。
            //request.setObjectPrefixList(prefixes);
            //List actions = new ArrayList();
            //actions.add(AddBucketReplicationRequest.ReplicationAction.PUT);
            // 將源Bucket內Object的新增、更新操作復制到目標Bucket。
            //request.setReplicationActionList(actions);
            ossClient.addBucketReplication(request);
        } catch (OSSException oe) {
            System.out.println("Caught an OSSException, which means your request made it to OSS, "
                    + "but was rejected with an error response for some reason.");
            System.out.println("Error Message:" + oe.getErrorMessage());
            System.out.println("Error Code:" + oe.getErrorCode());
            System.out.println("Request ID:" + oe.getRequestId());
            System.out.println("Host ID:" + oe.getHostId());
        } catch (ClientException ce) {
            System.out.println("Caught an ClientException, which means the client encountered "
                    + "a serious internal problem while trying to communicate with OSS, "
                    + "such as not being able to access the network.");
            System.out.println("Error Message:" + ce.getMessage());
        } finally {
            if (ossClient != null) {
                ossClient.shutdown();
            }
        }
    }
}        

# -*- coding: utf-8 -*-
import oss2
from oss2.credentials import EnvironmentVariableCredentialsProvider
from oss2.models import ReplicationRule
# 從環境變量中獲取訪問憑證。運行本代碼示例之前，請確保已設置環境變量OSS_ACCESS_KEY_ID和OSS_ACCESS_KEY_SECRET。
auth = oss2.ProviderAuth(EnvironmentVariableCredentialsProvider())
# 填寫源Bucket所在地域對應的Endpoint。以華東1（杭州）為例，Endpoint填寫為https://oss-cn-hangzhou.aliyuncs.com。
# 填寫源Bucket名稱，例如src-bucket。
bucket = oss2.Bucket(auth, 'https://oss-cn-hangzhou.aliyuncs.com', 'src-bucket')
replica_config = ReplicationRule(
    # 指定數據要復制到的目標Bucket。目標Bucket與源Bucket必須屬于不同賬號。
    target_bucket_name='dest-bucket',
    # 指定目標Bucket所在地域。目標Bucket與源Bucket必須處于不同地域。
    target_bucket_location='oss-cn-shanghai',
    # 指定授權OSS進行數據復制的角色名稱，且該角色必須已被授予源Bucket執行跨區域復制以及目標Bucket接收復制對象的權限。
    sync_role_name='roleNameTest',
)

# 指定待復制Object的前綴Prefix。指定Prefix后，只有匹配該Prefix的Object才會復制到目標Bucket。
# prefix_list = ['prefix1', 'prefix2']
# 設置數據復制規則。
# replica_config = ReplicationRule(
     # prefix_list=prefix_list,
     # 將源Bucket內Object的新增、更新操作復制到目標Bucket。
     # action_list=[ReplicationRule.P],
     # 指定數據要復制到的目標Bucket。目標Bucket與源Bucket必須屬于不同賬號。
     # target_bucket_name='dest-bucket',
     # 指定目標Bucket所在地域。目標Bucket與源Bucket必須處于不同地域。
     # target_bucket_location='yourTargetBucketLocation',
     # 默認復制歷史數據。此處設置為False，表示禁止復制歷史數據。
     # is_enable_historical_object_replication=False,
     # 指定數據復制時使用的數據傳輸鏈路。
     # target_transfer_type='oss_acc',    
  #)

# 開啟數據復制。
bucket.put_bucket_replication(replica_config)

package main

import (
    "encoding/xml"
    "fmt"
    "github.com/aliyun/aliyun-oss-go-sdk/oss"
    "os"
)

func HandleError(err error) {
    fmt.Println("Error:", err)
    os.Exit(-1)
}

// 開啟數據復制。
func main() {
    // 從環境變量中獲取訪問憑證。運行本代碼示例之前，請確保已設置環境變量OSS_ACCESS_KEY_ID和OSS_ACCESS_KEY_SECRET。
    provider, err := oss.NewEnvironmentVariableCredentialsProvider()
    if err != nil {
    fmt.Println("Error:", err)
    os.Exit(-1)
    }
    // 創建OSSClient實例。
    // yourEndpoint填寫Bucket對應的Endpoint，以華東1（杭州）為例，填寫為https://oss-cn-hangzhou.aliyuncs.com。其它Region請按實際情況填寫。
    client, err := oss.New("yourEndpoint", "", "", oss.SetCredentialsProvider(&provider))
    if err != nil {
    fmt.Println("Error:", err)
    os.Exit(-1)
    }
    // 指定源Bucket名稱。
    srcbucketName := "yourSrcBucket"
    // 指定數據要復制到的目標Bucket。目標Bucket與源Bucket必須屬于不同賬號。
    destBucketName := "yourDestBucket"
    // 指定待復制Object的前綴prefix_1和prefix_2。指定Prefix后，只有匹配該Prefix的Object才會復制到目標Bucket。
    // 如果您需要將源Bucket中的所有Object復制到目標Bucket，則無需設置Prefix。
    prefix1 := "prefix_1"
    prefix2 := "prefix_2"    
    prefixSet := oss.ReplicationRulePrefix{Prefix: []*string{&prefix1, &prefix2}}
    // 在配置跨區域復制規則時，開啟數據復制時間控制（RTC）功能。
    enabled := "enabled"
    reqReplication := oss.PutBucketReplication{
    Rule: []oss.ReplicationRule{
    {
    PrefixSet: &prefixSet,
    //將源Bucket內Object的新增、更新操作復制到目標Bucket。
    Action: "PUT",
    RTC:    &enabled,
    Destination: &oss.ReplicationRuleDestination{
    Bucket: destBucketName,
    // 指定目標Bucket所在地域。源Bucket與目標Bucket必須處于不同的地域。    
    Location: "oss-cn-hangzhou",
    // 指定數據復制時使用的數據傳輸鏈路。此處設置為oss_acc，表示使用了傳輸加速鏈路。
    TransferType: "oss_acc",
    },
    // 默認復制歷史數據。此處設置為disabled，表示禁止復制歷史數據。
    HistoricalObjectReplication: "disabled",
    // 指定授權OSS進行數據復制的角色名稱，且該角色必須已被授予源Bucket執行跨區域復制以及目標Bucket接收復制對象的權限。
    SyncRole:                    "yourRole",    
    },
    },
    }

    xmlBody, err := xml.Marshal(reqReplication)
    if err != nil {
    HandleError(err)
    }
    err = client.PutBucketReplication(srcbucketName, string(xmlBody))

    if err != nil {
    HandleError(err)
    }

    fmt.Println("Put Bucket Replication Success!")
}

相關文檔

• 跨區域復制概述

• 同賬號跨區域復制

• 特殊場景下的復制行為

• 數據復制常見問題