File Storage with Lustre

La syntaxe globale d'un énoncé de politique est la suivante :

allow <subject> to <verb>
                    <resource-type> in <location> where <condition>
                

Par exemple, vous pouvez spécifier :

• Un groupe ou un groupe dynamique par nom ou OCID comme <subject> . Vous pouvez également utiliser any-user pour couvrir tous les utilisateurs de la location.

• inspect, read, use et manage comme <verb> pour accorder à <subject> l'accès à une ou plusieurs autorisations.

  inspect > read > use > manage représentent des niveaux d'accès croissants et les autorisations octroyées sont cumulatives. Par exemple, use inclut read et la possibilité de mettre à jour.

• Une famille de ressources comme virtual-network-family pour resource-type . Vous pouvez également spécifier une ressource individuelle d'une famille telle que vcns et subnets.

• Un compartiment par nom ou OCID comme <location> . Vous pouvez également utiliser tenancy pour couvrir l'ensemble de la location.

Pour plus d'informations sur la création de politiques, voir Introduction aux politiques et Informations de référence sur les politiques.

Pour permettre aux utilisateurs d'accéder aux ressources File Storage with Lustre, créez des politiques IAM avec des types de ressource File Storage with Lustre.

Le service File Storage with Lustre prend en charge toutes les variables générales, ainsi que celles répertoriées ici.

Pour plus d'informations sur les variables générales prises en charge par les services OCI, voir Variables générales pour toutes les demandes.

Le tableau suivant liste les opérations d'API pour OCI Database with PostgreSQL dans un ordre logique, regroupées par type de ressource.

Les types de ressource sont lustre-file-system et lfs-work-request.

Pour plus d'informations sur les autorisations, voir Autorisations.

Pour qu'un système de fichiers Lustre puisse synchroniser des données avec le stockage d'objets, vous devez lui accorder des autorisations spécifiques. Pour ce faire, créez des politiques de gestion des identités et des accès (IAM) qui permettent au système de fichiers Lustre d'effectuer des lectures à partir des objets et de les gérer dans les seaux de stockage d'objets.

Le seau de stockage d'objets n'a pas besoin d'autorisations explicites. Vous contrôlez plutôt l'accès au seau en accordant à la ressource Lustre l'autorisation de lire et de gérer les objets.

Utilisez les exemples suivants pour créer des politiques communes en plus de celles requises pour les systèmes de fichiers et de celles requises si vous chiffrez des systèmes de fichiers avec votre propre clé.

allow group lfsadminusers to use lustre-file-family in compartment <file_system_compartment>
                        

resource.type='lustrefilesystem'

All {resource.type = 'lustrefilesystem', resource.compartment.id = '<comp_ocid>'}

allow dynamic-group lustre-fs-group to read buckets in tenancy
allow dynamic-group lustre-fs-group to manage objects in tenancy

allow dynamic-group lustre-fs-group to read buckets in compartment <comp id or name e.g. cell:compute-data>
allow dynamic-group lustre-fs-group to manage objects in compartment <comp id or name e.g. cell:compute-data>

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}