如何将 s3 中的对象从帐户 A 复制到帐户 B，并将对象所有权更新到对象 A

Question

我的代码将对象从账户 A 复制到账户 B

import json
import boto3
from datetime import datetime, timedelta

def lambda_handler(event, context):
    # TODO implement

    SOURCE_BUCKET = 'Bucket-A'
    DESTINATION_BUCKET = 'Bucket-B'

    s3_client = boto3.client('s3')

    # Create a reusable Paginator
    paginator = s3_client.get_paginator('list_objects_v2')

    # Create a PageIterator from the Paginator
    page_iterator = paginator.paginate(Bucket=SOURCE_BUCKET)

    # Loop through each object, looking for ones older than a given time period
    for page in page_iterator:
        if "Contents" in page:
            for object in page['Contents']:
                if object['LastModified'] < datetime.now().astimezone() - timedelta(minutes=5):   # <-- Change time period here
                    print(f"Moving {object['Key']}")

                    # Copy object
                    s3_client.copy_object(
                        ACL='bucket-owner-full-control',
                        Bucket=DESTINATION_BUCKET,
                        Key=object['Key'],
                        CopySource={'Bucket':SOURCE_BUCKET, 'Key':object['Key']}
                    )

                    # Delete original object
                    s3_client.delete_object(Bucket=SOURCE_BUCKET, Key=object['Key'])
        else:
            print("No Contents key for page!")

lambda 函数角色策略是：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject*",
                "s3:List*",
                "s3:GetObject*",
                "s3:GetBucketLocation",
                "s3:DeleteObject*"
            ],
            "Resource": [
                "arn:aws:s3:::Bucket-A/*",
                "arn:aws:s3:::bucket-A"
            ]
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "s3:PutObjectAcl",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::bucket-B/*"
        }
    ]
}


aws s3api get-object-acl --bucket bucket-b --key key1
{
    "Owner": {
        "DisplayName": "accountA",
        "ID": "MYIDA"
    },
    "Grants": [
        {
            "Grantee": {
                "DisplayName": "accountA",
                "ID": "MyIDA",
                "Type": "CanonicalUser"
            },
            "Permission": "FULL_CONTROL"
        },
        {
            "Grantee": {
                "DisplayName": "accountb",
                "ID": "MyIDB",
                "Type": "CanonicalUser"
            },
            "Permission": "FULL_CONTROL"
        }
    ]
} 

从账户 A 复制到账户 B 到账户 B 时如何更改对象的所有者

 {
        "Owner": {
            "DisplayName": "accountB",
            "ID": "MYIDB"
        },

Answer 1

我将尝试先解决您的问题，然后为用例提供更好的方法。

首先，正如您正确识别的那样，您正在寻找的是对象 ACL。 Boto3 为您提供了一种 方法来检索和更新对象 ACL，从而为对象所有者提供 方法来检索对象 ACL，从而检索对象所有者以及更新 ACL。在官方文档here 中阅读更多相关信息。要了解对象 ACL，您可以参考文档here。

作为参考，这里有一个示例请求语法：

response = object_acl.put(
    ACL='private'|'public-read'|'public-read-write'|'authenticated-read'|'aws-exec-read'|'bucket-owner-read'|'bucket-owner-full-control',
    AccessControlPolicy={
        'Grants': [
            {
                'Grantee': {
                    'DisplayName': 'string',
                    'EmailAddress': 'string',
                    'ID': 'string',
                    'Type': 'CanonicalUser'|'AmazonCustomerByEmail'|'Group',
                    'URI': 'string'
                },
                'Permission': 'FULL_CONTROL'|'WRITE'|'WRITE_ACP'|'READ'|'READ_ACP'
            },
        ],
        'Owner': {
            'DisplayName': 'string',
            'ID': 'string'
        }
    },
    GrantFullControl='string',
    GrantRead='string',
    GrantReadACP='string',
    GrantWrite='string',
    GrantWriteACP='string',
    RequestPayer='requester',
    VersionId='string'
)

现在找到一种更好的方法来实现这一点。看看 AWS 跨区域复制。在公告帖子here 中阅读更多相关信息或参考docs。

要使用文档中的描述：

复制支持跨 Amazon S3 存储桶自动异步复制对象。为对象复制配置的存储桶可以由同一个 AWS 账户拥有，也可以由不同的账户拥有。您可以在不同 AWS 区域或同一区域内复制对象。

维护不同所有权下的对象副本 — 无论谁拥有源对象，您都可以告诉 Amazon S3 将副本所有权更改为拥有目标存储桶的 AWS 账户。这称为所有者覆盖选项。您可以使用此选项来限制对对象副本的访问。

基本上，您可以使用 LifeCycle Policies 并使整个过程自动化。您还可以使用新所有者配置要创建的目标对象。这样，您就可以将管理工作转移到 AWS 上，并使流程具有响应性。从长远来看，这将帮助您节省人力成本和资源使用方面的成本。