Zugriff auf Cloud Object Storage-Buckets steuern
Ein Bucket ist eine logische Abstraktion, die einen Container für Daten bereitstellt. Buckets in Cloud Object Storage werden in IBM Cloud erstellt. In einer Cloud Object Storage-Instanz können Sie den Zugriff von Benutzern auf Buckets mithilfe von Richtlinien beschränken.
So funktioniert es:
In dieser Abbildung werden einer Cloud Object Storage-Instanz zwei Berechtigungsnachweise zugeordnet. Jeder Berechtigungsnachweis verweist auf eine IAM-Service-ID, in der Richtlinien zur Steuerung des Buckets definiert sind, auf das die Service-ID zugreifen kann. Durch die Verwendung eines bestimmten Berechtigungsnachweises beim Hinzufügen einer Cloud Object Storage-Verbindung zu einem Projekt sind nur die Buckets sichtbar, die für die diesem Berechtigungsnachweis zugeordnete Service-ID zugänglich sind.
Führen Sie die folgenden Schritte aus, um Verbindungen zu erstellen, die den Benutzerzugriff auf Buckets beschränken.
Gehen Sie zuerst in IBM Cloud wie folgt vor:
Richtlinien jeder Service-ID zum Bereitstellen von Zugriff auf entsprechende Buckets bearbeiten
Werte aus allen von Ihnen erstellten Serviceberechtigungsnachweisen kopieren
-
Gehen Sie dann in Ihrem Projekt wie folgt vor:
Cloud Object Storage-Verbindungen hinzufügen, die erstellte Serviceberechtigungsnachweise verwenden
Schritt 1: Cloud Object Storage-Instanz und mehrere Buckets erstellen
Suchen Sie im IBM Cloud-Katalog nach Object Storage und erstellen Sie anschließend eine Cloud Object Storage-Instanz.
Wählen Sie im Navigationsfenster Buckets aus.
Erstellen Sie so viele Buckets, wie Sie benötigen.
Sie könnten z. B. drei Buckets erstellen: 'dept1-bucket', 'dept2-bucket' und 'dept3-bucket'.
Schritt 2: Serviceberechtigungsnachweis und Service-ID für jede Kombination von Buckets erstellen, auf die Benutzer zugreifen können
Wählen Sie im Navigationsfenster Serviceberechtigungsnachweise aus.
Klicken Sie auf Neuer Berechtigungsnachweis.
Geben Sie im Dialogfeld 'Neuen Berechtigungsnachweis hinzufügen' einen Namen für den Berechtigungsnachweis an und wählen Sie die entsprechende Zugriffsrolle aus.
Klicken Sie im Feld Service-ID auswählen auf Neue Service-ID erstellen.
Geben Sie einen Namen für die neue Service-ID ein. Ihnen wird empfohlen, einen Namen zu verwenden, der dem Namen des Berechtigungsnachweises entspricht oder ähnelt, damit er einfach ermittelt werden kann.
Klicken Sie auf Hinzufügen.
Wiederholen Sie die Schritte 2 bis 6 für jeden Berechtigungsnachweis, den Sie erstellen möchten.
Sie könnten z. B. drei Berechtigungsnachweise erstellen: 'cos-all-access', 'dept1-dept2-buckets-only' und 'dept2-dept3-buckets-only'.
Schritt 3: Erstellung der Service-IDs überprüfen
Klicken Sie in der Kopfzeile der Seite IBM Cloud auf Verwalten > Zugriff (IAM).
Wählen Sie im Navigationsfenster Service-IDs aus.
Überprüfen Sie, ob die in den Schritten 2d und 2e erstellten Service-IDs sichtbar sind.
Schritt 4: Richtlinien jeder Service-ID zum Bereitstellen von Zugriff auf entsprechende Buckets bearbeiten
Öffnen Sie die einzelnen Service-IDs.
Wählen Sie Bearbeiten auf der Registerkarte 'Zugriffsrichtlinien' im Aktionsmenü aus, um die Richtlinie anzuzeigen.
Bearbeiten Sie bei Bedarf die Richtlinie, um Zugriff auf die entsprechenden Buckets bereitzustellen.
Erstellen Sie bei Bedarf mindestens eine neue Richtlinie.
Entfernen Sie die vorhandene Standardrichtlinie, die den Zugriff auf alle Buckets in der Cloud Object Storage-Instanz bereitstellt.
Klicken Sie auf Zugriff zuweisen.
Geben Sie 'bucket' als Ressourcentyp an.
Geben Sie für Ressourcen-ID einen Bucketnamen an.
Wählen Sie im Abschnitt 'Rollen auswählen' die Option Anzeigeberechtigter in der Liste 'Plattformzugriffsrollen zuordnen' aus und wählen Sie Autor in der Liste 'Servicezugriffsrollen zuordnen' aus.
Beispiel 1
Standardmäßig stellt die Richtlinie für die Service-ID "cos-all-access" Writer-Zugriff auf die Cloud Object Storage-Instanz bereit.
Da diese Service-ID und der entsprechende Berechtigungsnachweis Benutzern Zugriff auf alle Buckets bereitstellen soll, ist keine Bearbeitung erforderlich.
Beispiel 2
Standardmäßig bietet die Richtlinie für die Service-ID "dept1-dept2-buckets-only" Schreibzugriff auf die Cloud Object Storage-Instanz. Da diese Service-ID und der entsprechende Berechtigungsnachweis Benutzern nur Zugriff auf die Buckets "dept1-bucket" und "dept2-bucket" bereitstellen soll, entfernen Sie die Standardrichtlinie und erstellen Sie zwei Zugriffsrichtlinien, eine für "dept1-bucket" und eine zweite für "dept2-bucket".
Schritt 5: Werte aus jedem erstellten Serviceberechtigungsnachweis kopieren
Kehren Sie zu Ihrem IBM Cloud-Dashboard zurück und wählen Sie Cloud Object Storage aus der Liste Speicher aus.
Wählen Sie im Navigationsfenster Serviceberechtigungsnachweise aus.
Klicken Sie für eine der Service-IDs, die Sie in Schritt 2 erstellt haben, auf die Aktion Berechtigungsnachweise anzeigen.
Kopieren Sie die Werte 'apikey' und 'resource_instance_id' an eine temporäre Position, beispielsweise eine Desktopnotiz.
Wiederholen Sie die Schritte 3 und 4 für jeden Berechtigungsnachweis.
Schritt 6: Endpunkt kopieren
Wählen Sie im Navigationsfenster Endpunkt aus.
Kopieren Sie die URL des Endpunkts, zu dem die Verbindung hergestellt werden soll. Speichern Sie den Wert an einer temporären Position, beispielsweise eine Desktopnotiz.
Schritt 7: Cloud Object Storage-Verbindungen hinzufügen, die erstellte Serviceberechtigungsnachweise verwenden
Kehren Sie auf der Registerkarte Assets zum Projekt zurück und klicken Sie auf Neues Asset > Verbindung. Oder klicken Sie in einem Katalog auf Zu Projekt hinzufügen > Verbindung.
Klicken Sie auf der Seite 'Neue Verbindung' auf Cloud Object Storage.
Geben Sie der neuen Verbindung einen Namen und geben Sie die Anmelde-URL (auf der Seite 'Endpunkte') sowie die Werte für 'apikey' und 'resource_instance_id ' ein, die Sie in Schritt 5 aus einem der Serviceberechtigungsnachweise kopiert haben.
Wiederholen Sie die Schritte 3 bis 5 für jeden Serviceberechtigungsnachweis.
Die Verbindungen sind im Abschnitt "Datenassets" des Projekts sichtbar.
Benutzerzugriff auf Buckets testen
Wenn Sie ein Datenasset aus einer Cloud Object Storage-Verbindung zu einem Projekt hinzufügen, werden in Zukunft nur die Buckets angezeigt, deren Richtlinien den Zugriff zulassen. Gehen Sie wie folgt vor, um dies zu testen:
Klicken Sie in einem Projekt auf Neues Asset > Verbundene Daten. Alternativ können Sie in einem Katalog auf Zu Projekt hinzufügen > Verbundene Daten klicken.
Klicken Sie im Abschnitt 'Verbindungsquelle' auf Quelle auswählen.
Auf der Seite "Verbindungsquelle auswählen" werden die erstellten Cloud Object Storage-Verbindungen angezeigt.
Wählen Sie eine der Cloud Object Storage-Verbindungen aus, um sicherzustellen, dass nur die Buckets sichtbar sind, auf die die Service-ID zugreifen kann, die dem Berechtigungsnachweis dieses Buckets zugeordnet ist.
Übergeordnetes Thema: Verbindungen zu Projekten hinzufügen