File Storage with Lustre-Policys

Die allgemeine Syntax einer Policy-Anweisung lautet:

allow <subject> to <verb>
                    <resource-type> in <location> where <condition>
                

Beispiel: Sie können Folgendes angeben:

• Eine Gruppe oder dynamische Gruppe nach Name oder OCID als <subject> . Sie können auch any-user verwenden, um alle Benutzer im Mandanten abzudecken.

• inspect, read, use und manage als <verb> , um <subject> Zugriff auf Berechtigungen zu erteilen.

  Die Zugriffsebene erhöht sich im Allgemeinen in der Reihenfolge der Verben inspect > read > use > manage, und die erteilten Berechtigungen sind kumulativ. Beispiel: use umfasst read sowie die Möglichkeit zum Aktualisieren.

• Eine Ressourcenfamilie wie virtual-network-family als resource-type . Sie können auch eine einzelne Ressource in einer Familie angeben, wie vcns und subnets.

• Ein Compartment nach Name oder OCID als <location> . Sie können auch tenancy verwenden, um den gesamten Mandanten abzudecken.

Weitere Informationen zum Erstellen von Policys finden Sie unter Erste Schritte mit Policys und in der Policy-Referenz.

Um Benutzern Zugriff auf File Storage with Lustre-Ressourcen zu gewähren, erstellen Sie IAM-Policys mit File Storage with Lustre-Ressourcentypen.

Der File Storage with Lustre-Service unterstützt alle allgemeinen Variablen sowie die hier aufgeführten Variablen.

Weitere Informationen zu allgemeinen Variablen, die von OCI-Services unterstützt werden, finden Sie unter Allgemeine Variablen für alle Anforderungen.

In dieser Tabelle werden die API-Vorgänge für OCI Database with PostgreSQL in einer logischen Reihenfolge nach Ressourcentyp gruppiert aufgeführt.

Die Ressourcentypen sind lustre-file-system und lfs-work-request.

Informationen zu Berechtigungen finden Sie unter Berechtigungen.

Bevor ein Lustre-Dateisystem Daten mit Object Storage synchronisieren kann, müssen Sie ihm bestimmte Berechtigungen erteilen. Erstellen Sie dazu Identity and Access Management-(IAM-)Policys, mit denen das Lustre-Dateisystem Objekte in Object Storage-Buckets lesen und verwalten kann.

Für den Objektspeicher-Bucket sind keine expliziten Berechtigungen erforderlich. Stattdessen kontrollieren Sie den Zugriff auf den Bucket, indem Sie der Lustre-Ressource die Berechtigung zum Lesen und Verwalten von Objekten erteilen.

In den folgenden Beispielen können Sie neben den erforderlichen Policys für Dateisysteme und den erforderlichen Policys für die Verschlüsselung von Dateisystemen mit Ihrem eigenen Schlüssel allgemeine Policys erstellen.

allow group lfsadminusers to use lustre-file-family in compartment <file_system_compartment>
                        

resource.type='lustrefilesystem'

All {resource.type = 'lustrefilesystem', resource.compartment.id = '<comp_ocid>'}

allow dynamic-group lustre-fs-group to read buckets in tenancy
allow dynamic-group lustre-fs-group to manage objects in tenancy

allow dynamic-group lustre-fs-group to read buckets in compartment <comp id or name e.g. cell:compute-data>
allow dynamic-group lustre-fs-group to manage objects in compartment <comp id or name e.g. cell:compute-data>

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}