Un compartiment est une abstraction logique qui fournit un conteneur pour les données. Les compartiments Cloud Object Storage sont créés dans IBM. Dans une instance Cloud Object Storage, vous pouvez utiliser des règles pour restreindre l'accès des utilisateurs à des compartiments.
En voici le fonctionnement :
Dans cette illustration, deux données d'identification sont associées à une instance Cloud Object Storage. Chacune d'elles fait référence à un ID de service IAM dans lequel des stratégies sont définies pour contrôler le compartiment auquel cet ID peut avoir accès. Lorsque vous utilisez une donnée de ce type lors de l'ajout d'une connexion Cloud Object Storage à un projet, seuls les compartiments accessibles pour l'ID de service associé à celle-ci sont visibles.
Pour créer des connexions qui restreignent l'accès des utilisateurs à des compartiments, procédez comme suit.
Tout d'abord, dans IBM Cloud :
Créez une instance Cloud Object Storage et plusieurs compartiments
Éditer les règles de chaque ID de service pour fournir l'accès aux compartiments appropriés
Copier des valeurs à partir de chacune des données d'identification de service que vous avez créées
-
Ensuite, dans votre projet:
Etape 1 : Création d'une instance Cloud Object Storage et de plusieurs compartiments
Dans le catalogue IBM Cloud, recherchez Object Storage, puis créez une instance Cloud Object Storage.
Sélectionnez Compartiments dans le panneau de navigation.
Créez autant de compartiments que nécessaire.
Par exemple, créez-en trois : dept1-bucket, dept2-bucket et dept3-bucket.
Etape 2 : Création d'une donnée d'identification de service et d'un ID de service pour chaque combinaison de compartiments que vous souhaitez rendre accessibles aux utilisateurs
Sélectionnez Données d'identification dans le panneau de navigation.
Cliquez sur New Credential.
Dans la boîte de dialogue Add new credential, indiquez le nom de la donnée d'identification et sélectionnez le rôle d'accès approprié.
Dans la zone Sélectionner un ID de service, cliquez sur Créer un nouvel ID de service.
Indiquez le nom du nouvel ID de service. Il est conseillé d'utiliser le même nom que la donnée d'identification ou un nom similaire pour en faciliter l'identification.
Cliquez sur Ajouter.
Répétez les étapes 2 à 6 pour chaque donnée d'identification que vous souhaitez créer.
Par exemple, créez trois données d'identification : cos-all-access, dept1-dept2-buckets-only et dept2-dept3-buckets-only.
Etape 3 : Vérification que les ID de service ont été créés
Dans l'en-tête de page IBM Cloud , cliquez sur Gérer > Accès (IAM).
Sélectionnez ID de service dans le panneau de navigation.
Vérifiez que les ID de service que vous avez créés aux étapes 2d et 2e sont visibles.
Etape 4 : Edition des stratégies de chaque ID de service pour fournir l'accès aux compartiments appropriés
Ouvrez successivement tous les ID de service.
Dans l'onglet Règles d'accès, sélectionnez Éditer dans le menu Actions pour afficher la règle.
Si nécessaire, éditez la stratégie pour fournir l'accès aux compartiments appropriés.
Si nécessaire, créez une ou plusieurs stratégies.
Supprimez la stratégie par défaut qui permet d'accéder à tous les compartiments de l'instance Cloud Object Storage.
Cliquez sur Affecter un accès.
Pour Type de ressource, indiquez " compartiment ".
Pour ID ressource, indiquez un nom de compartiment.
Dans la section Sélectionner les rôles, sélectionnez Afficheur dans la liste " Affecter des rôles d'accès aux plateformes " et sélectionnez Écrivain dans la liste " Affecter des rôles d'accès au service ".
Exemple 1
Par défaut, la stratégie définie pour l'ID de service cos-all-access fournit un accès Writer à l'instance Cloud Object Storage.
Etant donné que cet ID de service et la donnée d'identification correspondante sont destinés à permettre aux utilisateurs d'accéder à tous les compartiments, aucune modification n'est requise.
Exemple 2
Par défaut, la règle de l'ID service "dept1-dept2-buckets-only" fournit un accès Writer à l'instance Cloud Object Storage. Etant donné que cet ID de service et la donnée d'identification correspondante sont destinés à permettre aux utilisateurs d'accéder uniquement aux compartiments dept1-bucket et dept2-bucket, supprimez la stratégie par défaut et créez deux stratégies d'accès, une pour dept1-bucket et une pour dept2-bucket.
Etape 5 : Copie des valeurs de chacune des données d'identification que vous avez créées
Revenez à votre tableau de bord IBM Cloud et sélectionnez Cloud Object Storage dans la liste Stockage.
Sélectionnez Données d'identification dans le panneau de navigation.
Cliquez sur l'action Afficher les données d'identification pour l'un des ID de service que vous avez créés lors de l'étape 2.
Copiez la valeur " apikey " et la valeur " resource_instance_id " dans un emplacement temporaire, comme une note de bureau.
Répétez les étapes 3 et 4 pour chaque donnée d'identification.
Etape 6 : Copie du point d'extrémité
Sélectionnez Nœud final dans le panneau de navigation.
Copiez l'URL du point d'extrémité auquel vous souhaitez vous connecter. Sauvegardez cette valeur à un emplacement temporaire, comme une note de bureau par exemple.
Etape 7 : Ajout de connexions Cloud Object Storage qui utilisent les données d'identification de service que vous avez créées
Revenez à votre projet dans l'onglet Actifs et cliquez sur Nouvel actif > Connexion à une source de données. Ou dans un catalogue, cliquez sur Ajouter au projet > Connexion.
Dans la page Nouvelle connexion, cliquez sur Cloud Object Storage.
Nommez la nouvelle connexion et entrez l'URL de connexion (à partir de la page des nœuds finaux) ainsi que les valeurs " apikey " et " resource_instance_id " que vous avez copiées lors de l'étape 5 à partir de l'une des données d'identification de service.
Répétez les étapes 3 à 5 pour chaque donnée d'identification.
Les connexions seront visibles dans la section Actifs de données du projet.
Test de l'accès des utilisateurs à des compartiments
Pour aller plus loin, lorsque vous ajoutez un actif de données à partir d'une connexion Cloud Object Storage à un projet, vous ne verrez que les compartiments auxquels les règles vous permettent d'accéder. Pour tester cela :
A partir d'un projet, cliquez sur Importer des actifs > Données connectées. Ou à partir d'un catalogue, cliquez sur Ajouter au catalogue > Actif connecté.
Dans la section Source de connexion, cliquez sur Sélectionner une source.
Les connexions Cloud Object Storage que vous avez créées s'affichent sur la page Select connection source.
Sélectionnez l'une des connexions Cloud Object Storage pour voir que seuls les compartiments accessibles à l'ID de service associé aux données d'identification de cet intervalle sont visibles.
Sujet parent : Connexion àIBM Cloud Object Storage