设置存储桶复制的要求

存储桶复制使用规则将一个 MinIO 部署中的存储桶内容同步到远端 MinIO 部署中的存储桶。

复制可以通过以下任一方式完成：

Active-Passive 符合条件的对象会从源存储桶复制到远端存储桶。远端存储桶上的任何更改都不会反向复制回来。
Active-Active 任一存储桶中符合条件对象的更改都会以双向方式复制到另一个存储桶。
Multi-Site Active-Active 任何已设置存储桶复制的存储桶中符合条件对象的更改，都会复制到所有其他存储桶。

在设置这些复制配置之前，请确保满足以下前提条件。

设置存储桶复制所需的权限

要配置和启用复制规则，存储桶复制要求源端和目标端部署具备特定权限。

复制管理员

下列策略提供了在部署上配置和启用复制所需的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "admin:SetBucketTarget",
                "admin:GetBucketTarget",
                "admin:ListBatchJobs",
                "admin:DescribeBatchJob",
                "admin:StartBatchJob",
                "admin:CancelBatchJob"
            ],
            "Effect": "Allow",
            "Sid": "EnableRemoteBucketConfiguration"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning",
                "s3:GetObjectRetention",
                "s3:GetObjectLegalHold",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicationRuleConfiguration"
        }
    ]
}

"EnableRemoteBucketConfiguration" 语句授予创建远端目标以支持复制的权限。
"EnableReplicationRuleConfiguration" 语句授予在存储桶上创建复制规则的权限。 "arn:aws:s3:::* 资源会将复制权限应用到源部署上的任意存储桶。你可以按需将该用户策略限制到特定存储桶。

下列代码使用所需策略创建一个 MinIO 管理用户。将 TARGET 替换为你要配置复制的 MinIO 部署的别名：

wget -O - https://minio.pigsty.io/examples/ReplicationAdminPolicy.json | \
mc admin policy create TARGET ReplicationAdminPolicy /dev/stdin
mc admin user add TARGET ReplicationAdmin LongRandomSecretKey
mc admin policy attach TARGET ReplicationAdminPolicy --user=ReplicationAdmin

对于配置了 Active Directory/LDAP 或 OpenID Connect 用户管理的 MinIO 部署，则应改为为存储桶复制创建专用访问密钥。

复制远端用户

下列策略提供了将复制数据同步到该部署所需的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicationOnBucket"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ReplicateTags",
                "s3:AbortMultipartUpload",
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionTagging",
                "s3:PutObject",
                "s3:PutObjectRetention",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutObjectLegalHold",
                "s3:DeleteObject",
                "s3:ReplicateObject",
                "s3:ReplicateDelete"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicatingDataIntoBucket"
        }
    ]
}

"EnableReplicationOnBucket" 语句授予远端目标获取存储桶级配置的权限，从而支持在 MinIO 部署中所有存储桶上执行复制操作。如果要将策略限制到特定存储桶，请像 "arn:aws:s3:::bucketName" 一样，在 Resource 数组中指定这些存储桶。
"EnableReplicatingDataIntoBucket" 语句授予远端目标将数据同步到 MinIO 部署中任意存储桶的权限。如果要将策略限制到特定存储桶，请像 "arn:aws:s3:::bucketName/*" 一样，在 Resource 数组中指定这些存储桶。

下列代码使用所需策略创建一个 MinIO 管理用户。将 TARGET 替换为你要配置复制的 MinIO 部署的别名：

wget -O - https://minio.pigsty.io/examples/ReplicationRemoteUserPolicy.json | \
mc admin policy create TARGET ReplicationRemoteUserPolicy /dev/stdin
mc admin user add TARGET ReplicationRemoteUser LongRandomSecretKey
mc admin policy attach TARGET ReplicationRemoteUserPolicy --user=ReplicationRemoteUser