设置存储桶复制的要求

存储桶复制使用规则将一个MinIO部署上的存储桶内容同步到远程MinIO部署上的存储桶。

复制可以通过以下任一方式完成：

主动-被动符合条件的对象会从源存储桶复制到远程存储桶。远程存储桶上的任何更改都不会被复制回来。
Active-Active任一存储桶中符合条件的对象变更都会以双向方式复制到另一个存储桶。
多站点双活对任何设置了存储桶复制的存储桶中符合条件的对象所做的更改会复制到所有其他存储桶。

在设置任何复制配置之前，请确保满足以下先决条件。

设置存储桶复制所需的权限

存储桶复制需要在源部署和目标部署上具有特定权限，才能配置和启用复制规则。

复制管理

以下策略提供了在部署上配置和启用复制的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "admin:SetBucketTarget",
                "admin:GetBucketTarget",
                "admin:ListBatchJobs",
                "admin:DescribeBatchJob",
                "admin:StartBatchJob",
                "admin:CancelBatchJob"
            ],
            "Effect": "Allow",
            "Sid": "EnableRemoteBucketConfiguration"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning",
                "s3:GetObjectRetention",
                "s3:GetObjectLegalHold",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicationRuleConfiguration"
        }
    ]
}

The"EnableRemoteBucketConfiguration"该语句授予创建远程目标的权限以支持复制。
The"EnableReplicationRuleConfiguration"statement grants permission for creating replication rules on a bucket. 该语句授予在存储桶上创建复制规则的权限。"arn:aws:s3:::*resource 应用复制权限到任何源部署上的存储桶。您可以根据需要将用户策略限制为特定存储桶。

以下代码创建了一个MinIO 管理的用户使用必要的策略。替换TARGET随着别名您正在配置复制的 MinIO 部署：

wget -O - https://docs.min.io/community/minio-object-store/examples/ReplicationAdminPolicy.json | \
mc admin policy create TARGET ReplicationAdminPolicy /dev/stdin
mc admin user add TARGET ReplicationAdmin LongRandomSecretKey
mc admin policy attach TARGET ReplicationAdminPolicy --user=ReplicationAdmin

配置用于的MinIO部署Active Directory/LDAP or OpenID Connect用户管理应该创建一个专门的访问密钥用于存储桶复制。

复制远程用户

以下策略提供了启用复制数据同步的权限进入部署。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicationOnBucket"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ReplicateTags",
                "s3:AbortMultipartUpload",
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionTagging",
                "s3:PutObject",
                "s3:PutObjectRetention",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutObjectLegalHold",
                "s3:DeleteObject",
                "s3:ReplicateObject",
                "s3:ReplicateDelete"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicatingDataIntoBucket"
        }
    ]
}

The"EnableReplicationOnBucket"statement grants permission for a remote target to retrieve bucket-level configuration for supporting replication operations on全部MinIO 部署中的存储桶。要将策略限制到特定存储桶，请将这些存储桶指定为Resource类似于数组"arn:aws:s3:::bucketName".
The"EnableReplicatingDataIntoBucket"statement grants permission for a remote target to synchronize data into任何MinIO 部署中的存储桶。要将策略限制到特定存储桶，请将这些存储桶指定为Resource类似于数组"arn:aws:s3:::bucketName/*".

以下代码创建了一个MinIO 管理的用户使用必要的策略。替换TARGET随着别名您正在配置复制的 MinIO 部署：

wget -O - https://docs.min.io/community/minio-object-store/examples/ReplicationRemoteUserPolicy.json | \
mc admin policy create TARGET ReplicationRemoteUserPolicy /dev/stdin
mc admin user add TARGET ReplicationRemoteUser LongRandomSecretKey
mc admin policy attach TARGET ReplicationRemoteUserPolicy --user=ReplicationRemoteUser