Amazon S3 zu STACKIT Object Storage

Ein versionierter, verschlüsselter Bucket mit Lifecycle-Regel

Eine kleine Umgebung, für diese Seite geschrieben und am 4. November 2026 von StackToIT bewertet. Links die Eingabe, rechts die Ressourcenblöcke des STACKIT-Terraforms, das die Engine geschrieben hat; die Prüfkommentare über jedem Block in der Datei sind hier ausgelassen.

resource "aws_s3_bucket" "documents" {
  bucket = "acme-customer-documents"
}

resource "aws_s3_bucket_versioning" "documents" {
  bucket = aws_s3_bucket.documents.id
  versioning_configuration {
    status = "Enabled"
  }
}

resource "aws_s3_bucket_server_side_encryption_configuration" "documents" {
  bucket = aws_s3_bucket.documents.id
  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm = "AES256"
    }
  }
}

resource "aws_s3_bucket_public_access_block" "documents" {
  bucket                  = aws_s3_bucket.documents.id
  block_public_acls       = true
  block_public_policy     = true
  ignore_public_acls      = true
  restrict_public_buckets = true
}

resource "aws_s3_bucket_lifecycle_configuration" "documents" {
  bucket = aws_s3_bucket.documents.id
  rule {
    id     = "expire-old-versions"
    status = "Enabled"
    filter {}
    noncurrent_version_expiration {
      noncurrent_days = 90
    }
  }
}

resource "stackit_objectstorage_credentials_group" "consumers" {
  for_each   = var.objectstorage_consumers
  project_id = var.project_id
  name       = each.key
}

resource "stackit_objectstorage_credential" "consumers" {
  for_each             = var.objectstorage_consumers
  project_id           = var.project_id
  credentials_group_id = stackit_objectstorage_credentials_group.consumers[each.key].credentials_group_id
}

resource "stackit_objectstorage_bucket" "documents" {
  project_id = var.project_id
  name       = "acme-customer-documents"
}

• Bucket und Schlüssel in Terraform

  Der Bucket behält seinen Namen, und für jeden Verbraucher, den Sie angeben, entstehen eine Credentials-Gruppe und ein Schlüssel.

• Versionierung und Lifecycle über die S3-API

  Der STACKIT-Provider hat dafür keine Attribute, die S3-API von STACKIT nimmt sie aber an. StackToIT schreibt die genauen Dokumente für diesen Schritt.

• Verschlüsselung im Ruhezustand

  Die AES256-Standardverschlüsselung braucht keine Einstellung: Ein STACKIT-Bucket wendet sie ohnehin an.

• Schutz vor öffentlichem Zugriff benannt

  STACKIT hat keinen Public Access Block. Der Code sagt das und bittet Sie zu bestätigen, dass keine Bucket-Policy den Bucket öffentlich macht.

Die S3-API-Dokumente von StackToIT

Über die S3-API von STACKIT auf den neuen Bucket angewendet, bevor Daten kopiert werden.

{
  "Status": "Enabled"
}

{
  "Rules": [
    {
      "ID": "expire-old-versions",
      "Status": "Enabled",
      "Filter": {
        "Prefix": ""
      },
      "NoncurrentVersionExpiration": {
        "NoncurrentDays": 90
      }
    }
  ]
}

Das Runbook für die Datenkopie

Neben dem Bucket für Ihr Team geschrieben, Schritt für Schritt.

1. 01

   Entscheiden und vorbereiten

   Offene Entscheidungen prüfen, den Bucket anlegen und die S3-API-Dokumente anwenden.

2. 02

   Kopieren, während geschrieben wird

   Eine erste Kopie mit Prüfsummen, einschließlich der Versionshistorie, während die Anwendungen weiter in S3 schreiben.

3. 03

   Cutover-Fenster

   Schreibende Anwendungen anhalten, Änderungen nachkopieren und die Verbraucher auf Endpunkt und Schlüssel von STACKIT umstellen.

4. 04

   Prüfen und abnehmen

   Anzahl, Schlüssellisten und Inhalte vergleichen, mit der Anwendung prüfen und die Quelle nach der Abnahme stilllegen.

Die für diesen Bucket erfassten Entscheidungen

Die Bewertung dieses einen Buckets benennt, wer was beantwortet, bevor die Daten übertragen werden.

Quelle: die StackToIT-Bewertung dieses Buckets vom 4. November 2026.

Was der Plan über den Datenumzug weiß

Neben dem Terraform enthält der Plan die Schritte der Kopie für beide Werkzeuge und die Prüfungen, die sie abschließen.

• Welle 1, keine Abhängigkeiten

  Der Bucket steht in der ersten Welle der Abhängigkeitsfolge und hängt von keiner anderen Einheit ab, kann also zuerst umziehen.

• Zwei Kopierwerkzeuge, keine Replikation

  Der Plan enthält Schritte für Erstkopie, Delta-Sync, Schreibstopp, Abschluss-Sync, Abgleich und Aufräumen für die AWS CLI und für rclone. S3 Replication wird nicht angeboten, weil sie zwischen Amazon-S3-Buckets kopiert.

• Prüfungen nach der Übertragung

  Objektanzahl und Bytes, Schlüssellisten, Inhalte, Versionen, eine Anwendungsprüfung und eine Rollback-Grenze. Drei manuelle Abgleichschritte vergleichen Quelle und Ziel bei angehaltenen Schreibern.

• Der Weg zurück

  Bei einem No-Go zeigen die Clients weiter auf die Quelle, die bis zum Schreibstopp aktuell ist. Den Punkt, ab dem ein Rollback Daten verliert, hält die verantwortliche Person vor dem Fenster fest.

• Neun Arbeitspakete

  Sie reichen von den Schritten für Funktionslücken über Kopie, Umstellung der Verbraucher und den Go-oder-Rollback-Eintrag bis zur Stilllegung der Quelle.

• Unbekanntes bleibt benannt

  Datenmenge, Änderungsrate, tolerierte Ausfallzeit, Recovery Point und Datenklassifizierung stehen nicht in der Quelle. Der Plan führt sie als unbekannt und nimmt keinen Standardwert an.

Fragen aus Storage-Teams

Quellen

• AWS-Dokumentation: Was ist Amazon S3?
• STACKIT-Dokumentation: Object Storage