Управлять доступом в объектное хранилище

Последнее изменение: 11 ноября 2024

Управлять доступом в объектное хранилище

Доступ к ресурсам объектного хранилища регулируется:

• ролевой моделью — определяет доступ в рамках аккаунта и проекта;
• политикой доступа — определяет доступ в рамках контейнера.

При получении запроса на действие в объектном хранилище сначала проверяется доступ по ролевой модели. Если ролевая модель разрешает доступ, проверяется политика доступа, если нет — доступ запрещается.

Для доступа через API или по FTP выдайте ключи.

Доступ в рамках ролевой модели⁠

Объектное хранилище поддерживает ролевую модель:

• Владелец аккаунта — имеет полный доступ ко всем проектам и управлению всеми ресурсами объектного хранилища и других продуктов в аккаунте через панель управления, а также управлению пользователями;
• Администратор аккаунта — имеет полный доступ ко всем проектам и управлению всеми ресурсами объектного хранилища, кроме пользователей;
• Администратор пользователей — может создавать пользователей и не имеет доступа к ресурсам объектного хранилища;
• Администратор проекта — имеет полный доступ к управлению объектным хранилищем и другими продуктами в проекте, кроме управления пользователями;
• Наблюдатель аккаунта — может просматривать ресурсы объектного хранилища и других продуктов во всех проектах;
• Наблюдатель проекта — может просматривать ресурсы объектного хранилища и других продуктов в своем проекте;
• Администратор объектного хранилища — имеет полный доступ к управлению объектным хранилищем в проекте без доступа к другим продуктам и управлению пользователями;
• Пользователь объектного хранилища — по умолчанию не имеет доступа к просмотру и управлению ресурсами объектного хранилища. Он получает доступ к управлению объектами тех контейнеров, для которых настроена политика доступа, если правила политики разрешают доступ этому пользователю.

Пользователи панели управления

	Владелец аккаунта	Администратор аккаунта	Администратор пользователей	Администратор проекта	Наблюдатель аккаунта	Наблюдатель проекта
Просмотр списка контейнеров в панели управления	✓	✓	✗	✓ (в рамках проекта)	✓	✓ (в рамках проекта)
Чтение контейнеров в панели управления	✓	✓	✗	✓ (в рамках проекта)	✓	✓ (в рамках проекта)
Загрузка объектов в контейнер через панель управления	✓	✓	✗	✓ (в рамках проекта)	✗	✗
Изменение настроек контейнера в панели управления	✓	✓	✗	✓ (в рамках проекта)	✗	✗
Создание пользователей с доступом в объектное хранилище в панели управления	✓	✗	✓	✗	✗	✗
Выдача S3-ключей пользователям в панели управления	✓	✗	✓	✗	✗	✗
Подключение к хранилищу через инструменты	✗	✗	✗	✗	✗	✗
Настройка политики доступа в панели управления	✓	✓	✗	✓ (в рамках проекта)	✗	✗

Сервисные пользователи

	Администратор аккаунта	Администратор пользователей	Администратор проекта	Наблюдатель аккаунта	Наблюдатель проекта	Администратор объектного хранилища	Пользователь объектного хранилища
Просмотр списка контейнеров через API	✓	✗	✓ (в рамках проекта)	✓ (в рамках проекта)	✓ (в рамках проекта)	✓ (в рамках проекта)	✓ (в рамках проекта)
Чтение контейнеров через API	✓	✗	✓ (в рамках проекта)	✓ (в рамках проекта)	✓ (в рамках проекта)	✓ (в рамках проекта)	✓ (если разрешено политикой доступа в конкретный контейнер)
Загрузка объектов в контейнер через API	✓	✗	✓ (в рамках проекта)	✗	✗	✓ (в рамках проекта)	✓ (если разрешено политикой доступа в конкретный контейнер)
Создание пользователей с доступом в объектное хранилище через API	✗	✗	✗	✗	✗	✗	✗
Выдача S3-ключей пользователям (через панель управления)	✗	✗	✗	✗	✗	✗	✓ (если разрешено политикой доступа в конкретный контейнер) (кроме Cyberduck)
Подключение к хранилищу через инструменты	✓	✗	✓ (в рамках проекта)	✓ (в рамках проекта)	✓ (в рамках проекта)	✓ (в рамках проекта)	✓

Доступ в рамках политики доступа⁠

Если роль пользователя предусматривает доступ к объектному хранилищу, доступ к конкретному контейнеру зависит от наличия и настроек политики доступа:

• если политика доступа не создана, доступ будет разрешен всем пользователям с доступом в рамках ролевой модели, кроме роли Пользователь объектного хранилища;
• если политика доступа создана, запрещено все, что не разрешено правилами политики.

Подробнее о работе политики доступа в разделе Политика доступа.

Ключи для доступа через API⁠

Выдавать ключи для доступа к хранилищу через API можно только сервисным пользователям.

В зависимости от типа API пользователю понадобится:

• токен Keystone, используется для доступа через Selectel Storage API и Swift API;
• S3-ключ (EC2-ключ), используется для подписи запросов S3 API и по FTP. Состоит из пары значений — Access Key ID и Secret Key.

Выдать S3-ключ⁠

Выдавать S3-ключи (EC2-ключи) можно только сервисным пользователям с ролью с доступом в объектное хранилище.

к сведению

Выдать S3-ключ сервисному пользователю может только Владелец аккаунта или Администратор пользователей. Получить S3-ключ самостоятельно сервисный пользователь не может.

Для каждого проекта необходимо создавать отдельный ключ. На один проект можно выпустить несколько ключей.

1. В панели управления перейдите в раздел Управление доступом → Управление пользователями.

2. Откройте вкладку Сервисные пользователи.

3. Откройте страницу сервисного пользователя.

4. В блоке S3 ключи нажмите Добавить ключ.

5. Введите имя ключа.

6. Выберите проект, для которого будет работать ключ.

7. Нажмите Сгенерировать. Будет сгенерировано два значения:

   • Access key — Access Key ID, идентификатор ключа;
   • Secret key — Secret Access Key, секретный ключ.

8. Нажмите Скопировать и сохраните ключ — после закрытия окна его нельзя будет просмотреть.