Amazon S3 naar STACKIT Object Storage

Een bucket met versiebeheer, versleuteling en een lifecycleregel

Een kleine omgeving, geschreven voor deze pagina en op 4 november 2026 beoordeeld door StackToIT. Links de invoer. Rechts de resourceblokken van de STACKIT-Terraform die de engine schreef; de reviewopmerkingen boven elk blok in het bestand zijn hier weggelaten.

resource "aws_s3_bucket" "documents" {
  bucket = "acme-customer-documents"
}

resource "aws_s3_bucket_versioning" "documents" {
  bucket = aws_s3_bucket.documents.id
  versioning_configuration {
    status = "Enabled"
  }
}

resource "aws_s3_bucket_server_side_encryption_configuration" "documents" {
  bucket = aws_s3_bucket.documents.id
  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm = "AES256"
    }
  }
}

resource "aws_s3_bucket_public_access_block" "documents" {
  bucket                  = aws_s3_bucket.documents.id
  block_public_acls       = true
  block_public_policy     = true
  ignore_public_acls      = true
  restrict_public_buckets = true
}

resource "aws_s3_bucket_lifecycle_configuration" "documents" {
  bucket = aws_s3_bucket.documents.id
  rule {
    id     = "expire-old-versions"
    status = "Enabled"
    filter {}
    noncurrent_version_expiration {
      noncurrent_days = 90
    }
  }
}

resource "stackit_objectstorage_credentials_group" "consumers" {
  for_each   = var.objectstorage_consumers
  project_id = var.project_id
  name       = each.key
}

resource "stackit_objectstorage_credential" "consumers" {
  for_each             = var.objectstorage_consumers
  project_id           = var.project_id
  credentials_group_id = stackit_objectstorage_credentials_group.consumers[each.key].credentials_group_id
}

resource "stackit_objectstorage_bucket" "documents" {
  project_id = var.project_id
  name       = "acme-customer-documents"
}

• Bucket en sleutels in Terraform

  De bucket behoudt zijn naam, en voor elke consumer die u opgeeft wordt een credentials group met een sleutel geschreven.

• Versiebeheer en lifecycle via de S3-API

  De STACKIT-provider kent er geen attributen voor, maar de S3-API van STACKIT accepteert ze wel. StackToIT schrijft de exacte documenten voor die stap.

• Versleuteling in rust

  De standaardversleuteling AES256 vereist geen instelling: een STACKIT-bucket past die sowieso toe.

• Vangrail voor openbare toegang benoemd

  STACKIT kent geen public access block. De code vermeldt dat en vraagt u te bevestigen dat geen bucketpolicy de bucket openbaar maakt.

De S3-API-documenten die StackToIT schreef

Toegepast op de nieuwe bucket via de S3-API van STACKIT, voordat er data wordt gekopieerd.

{
  "Status": "Enabled"
}

{
  "Rules": [
    {
      "ID": "expire-old-versions",
      "Status": "Enabled",
      "Filter": {
        "Prefix": ""
      },
      "NoncurrentVersionExpiration": {
        "NoncurrentDays": 90
      }
    }
  ]
}

Het runbook voor de datakopie

Naast de bucket geschreven voor uw team, stap voor stap.

1. 01

   Beslissen en voorbereiden

   Controleer de openstaande beslissingen, maak de bucket aan en pas de S3-API-documenten toe.

2. 02

   Kopiëren terwijl de schrijvers draaien

   Een eerste kopie met checksums, inclusief de versiegeschiedenis, terwijl de applicaties naar S3 blijven schrijven.

3. 03

   Cutovervenster

   Stop de schrijvers, kopieer wat is gewijzigd en schakel de consumers om naar het STACKIT-endpoint en de nieuwe sleutels.

4. 04

   Controleren en accepteren

   Vergelijk aantallen, sleutellijsten en inhoud, controleer met de applicatie en faseer de bron uit na acceptatie.

De beslissingen die voor deze bucket zijn vastgelegd

Het assessment van deze ene bucket benoemt wie wat beantwoordt voordat de data verhuist.

Bron: het StackToIT-assessment van deze bucket, 4 november 2026.

Wat het plan weet over de migratie

Naast de Terraform bevat het plan de stappen van de kopie voor beide tools en de controles waarmee die eindigt.

• Golf 1, geen afhankelijkheden

  De bucket staat in de eerste golf van de afhankelijkheidsvolgorde en hangt van geen andere eenheid af, dus hij kan als eerste verhuizen.

• Twee kopieertools, geen replicatie

  Het plan bevat stappen voor de eerste kopie, delta-sync, schrijfstop, laatste sync, reconcile en opruiming voor de AWS CLI en voor rclone. S3 Replication wordt niet aangeboden, omdat die kopieert tussen Amazon S3-buckets.

• Controles na de overdracht

  Aantal objecten en bytes, sleutellijsten, inhoud, versies, een applicatiecontrole en een rollbackgrens. Drie handmatige reconcile-stappen vergelijken bron en doel terwijl de schrijvers gestopt zijn.

• De weg terug

  Bij een no-go wijzen de clients nog naar de bron, die actueel is tot de schrijfstop. De eigenaar legt vóór het venster het punt vast waarna een rollback tot dataverlies leidt.

• Negen werkpakketten

  Ze lopen van de stappen voor ontbrekende servicefuncties via kopie, omschakeling van consumers en het go-or-rollback-besluit tot het uitfaseren van de bron.

• Onbekenden blijven benoemd

  Omvang van de data, wijzigingsfrequentie, toegestane downtime, herstelpunt en dataclassificatie staan niet in de bron. Het plan noemt ze onbekend en neemt geen standaardwaarde aan.

Vragen van opslagteams

Bronnen

• AWS Docs: What is Amazon S3?
• STACKIT Docs: Object Storage