Come posso risolvere gli errori dei test di connessione degli endpoint Amazon S3 quando utilizzo AWS DMS?

Breve descrizione

Devi avere le autorizzazioni corrette configurate per il ruolo AWS Identity and Access Management (AWS IAM) che utilizza l'endpoint di Amazon S3. Se non hai le autorizzazioni corrette, ricevi uno dei seguenti errori:

Messaggio:

• Test Endpoint failed: Application-Status: 1020912, Application-Message: Failed to connect to S3 endpoint. Access denied.
• Test Endpoint failed: Application-Status: 1020912, Application-Message: Failed to list bucket wan-dms Failed to connect to database., Application-Detailed-Message: failed to list bucket wan-dms AWS failed to list bucket List bucket failed with exception 'AccessDenied', message 'Access Denied', error type '15' AWS failed to list bucket Not retriable error: Access Denied
• Test Endpoint failed: Application-Status: 1020912, Application-Message: Failed to connect to database.
• Error Details: [message=putDatabase call failed, errType=ERROR_RESPONSE, status=1020414, errMessage= Failed to connect to database., errDetails=]

Risoluzione

Nota: quando utilizzi Amazon S3 come origine o destinazione per AWS DMS, assicurati di leggere prima i seguenti articoli:

• Prerequisiti per l'utilizzo di Amazon S3 come origine per AWS DMS.
• Prerequisiti per l'utilizzo di Amazon S3 come destinazione.

Per risolvere questi errori, concedi le autorizzazioni IAM minime necessarie per accedere all'endpoint di Amazon S3. Gli endpoint di origine e di destinazione di Amazon S3 hanno autorizzazioni minime diverse per AWS DMS.

Guarda questo esempio di policy IAM per Amazon S3 come endpoint di origine:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::awsexamplebucket",
        "arn:aws:s3:::awsexamplebucket/*"
      ]
    }
  ]
}

Nota: sostituisci awsexamplebucket con il nome del tuo bucket.

Guarda questo esempio di policy IAM per Amazon S3 come endpoint di destinazione:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:DeleteObject",
        "s3:PutObjectTagging"
      ],
      "Resource": [
        "arn:aws:s3:::awsexamplebucket/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::awsexamplebucket"
      ]
    }
  ]
}

Nota: sostituisci awsexamplebucket con il nome del tuo bucket.

Risolvi gli errori relativi alle autorizzazioni

1.    Verifica che il ruolo IAM abbia le autorizzazioni minime richieste per accedere all'endpoint di Amazon S3.

2.    Verifica che il nome del bucket specificato per l'endpoint di Amazon S3 corrisponda alla risorsa consentita nel ruolo IAM. Ad esempio, nella precedente policy il ruolo IAM consente l'accesso a un solo bucket, awsexamplebucket . Ma se in Nome bucket dell'endpoint di Amazon S3 è specificato awsexamplebucket2, la connessione di test non riesce.

3.    Verifica che dms.amazonaws.com sia l'entità ritenuta affidabile associata al ruolo IAM. Per ulteriori informazioni, consulta Modifica della relazione di attendibilità per un ruolo IAM esistente e questo esempio di policy di attendibilità per AWS DMS:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "dms.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

4.    Se utilizzi AWS Organizations, verifica che il ruolo IAM utilizzato faccia parte di un'organizzazione che consente l'accesso ad Amazon S3. Se l'organizzazione non consente l'accesso, AWS DMS non può connettersi all'endpoint di Amazon S3 utilizzando quel ruolo IAM. Ciò avviene anche se il ruolo ha tutte le autorizzazioni richieste. Se l'organizzazione non consente l'accesso, contatta l'amministratore dell'account per consentire ad Amazon S3 di accedere all'organizzazione.

5.    Se la versione dell'istanza di replica è 3.4.7 o superiore, intraprendi una delle seguenti azioni:

        Rendi le sottoreti delle istanze di replica indirizzabili pubblicamente. Aggiungi un percorso Internet Gateway (IGW) al VPC utilizzato dall'istanza di replica AWS DMS.

        -oppure-

        Crea endpoint VPC in modo che l'istanza di replica possa accedere a tutti gli endpoint di origine e di destinazione utilizzati da AWS DMS. Per ulteriori informazioni, consulta Preparazione di una migrazione alle versioni AWS DMS 3.4.7 e successive.

---

Informazioni correlate

Come posso risolvere i problemi di connettività agli endpoint di AWS DMS?