Adresses privées dans Object Storage

Utilisez des stratégies pour limiter l'accès aux adresses privées Object Storage. Une stratégie précise qui peut accéder aux ressources Oracle Cloud Infrastructure et comment. Pour plus d'informations, reportez-vous à Fonctionnement des stratégies.

Affectez à un groupe les privilèges minimaux qui sont requis pour assumer ses responsabilités. Chaque stratégie comporte un verbe décrivant les actions que le groupe est autorisé à effectuer. Chaque stratégie comporte un verbe décrivant les actions que le groupe est autorisé à effectuer. Les verbes disponibles sont les suivants, de l'accès le plus restreint à l'accès le plus étendu : inspect, read, use et manage.

Les droits d'accès suivants sont requis pour effectuer les opérations correspondantes :

Allow group groupName to manage objectstorage-private-endpoint in tenancy
Allow group groupName to manage virtual-network-family in tenancy

Nous vous recommandons d'ajouter les stratégies IAM suivantes pour autoriser la gestion des adresses privées Object Storage :

Les limites suivantes s'appliquent aux adresses privées dans Object Storage :

• Vous pouvez utiliser un maximum de 10 adresses privées dans une location.
• Vous pouvez utiliser jusqu'à 10 cibles d'accès pour chaque adresse privée.
• Chaque adresse privée dispose d'une bande passante maximale de 25 Gbits/s.

Lors de la création de demandes pré-authentifiées via des adresses privées, tenez compte des points suivants :

• Le nom de domaine qualifié complet de l'adresse privée fait partie de l'URL de demande pré-authentifiée.
• Vous pouvez créer une demande pré-authentifiée via l'adresse privée sur les buckets autorisés PAR des cibles d'accès uniquement.
• Vous pouvez accéder aux buckets et aux objets PAR à partir de l'adresse publique, en remplaçant le nom de domaine qualifié complet de l'adresse privée dans l'URL PAR l'adresse publique.

Pour plus d'informations, reportez-vous à la rubrique Demandes pré-authentifiées.

Une fois que vous avez créé une adresse privée Object Storage, elle devient utilisable. Les noms de domaine complets (FQDN) créés à partir de l'entrée de préfixe DNS peuvent être résolus par la zone DNS privée au sein du VCN. Ces noms de domaine qualifiés complets deviennent l'adresse utilisée dans les demandes adressées à Object Storage pour garantir que les demandes transitent par l'adresse privée.

Voici un exemple d'affichage des noms de domaine qualifiés complets dans les détails d'une adresse privée basés sur la CLI :

oci os private-endpoint get --pe-name pe1
                 
{
  "data": {
    "access-targets": [
      {
        "bucket": "*",
        "compartment-id": "*",
        "namespace": "MyNamespace"
      }
    ],
    "additional-prefixes": [],
    "compartment-id": "ocid1.tenancy.oc1..exampleuniqueID",
    "created-by": "ocid1.user.region1..exampleuniqueID",
    "defined-tags": {},
    "etag": "017e1d8f-1013-477a-86a4-d4d03b473f74",
    "fqdns": {
      "additional-prefixes-fqdns": {},
      "prefix-fqdns": {
        "object-storage-api-fqdn": "pe1-MyNamespace.private.objectstorage.us-phoenix-1.oci.customer-oci.com",
        "s3-compatibility-api-fqdn": "pe1-MyNamespace.private.compat.objectstorage.us-phoenix-1.oci.customer-oci.com",
        "swift-api-fqdn": "pe1-MyNamespace.private.swiftobjectstorage.us-phoenix-1.oci.customer-oci.com"
      }
    },
    "freeform-tags": {},
    "id": "ocid1.privateendpoint.region1.sea.exampleuniqueID",
    "lifecycle-state": "ACTIVE",
    "name": "pe1",
    "namespace": "MyNamespace",
    "nsg-ids": [],
    "prefix": "pe1",
    "private-endpoint-ip": "10.0.0.2",
    "subnet-id": "ocid1.subnet.region1.sea.exampleuniqueID",
    "time-created": "2024-06-20T06:33:56.866000+00:00",
    "time-modified": "2024-06-20T06:36:01.820000+00:00"
  },
  "etag": "017e1d8f-1013-477a-86a4-d4d03b473f74"
}

Voici un exemple d'obtention des détails d'un objet à l'aide de l'un des noms de domaine qualifiés complets que vous avez créés à l'aide de l'interface de ligne de commande :

oci os object get --namespace 'MyNamespace' --bucket-name 'MyBucket' --name MyObjectName --endpoint https://pe1-MyNamespace.private.objectstorage.us-phoenix-1.oci.customer-oci.com

Pour garantir une connectivité privée et sécurisée à Object Storage, nous recommandons les meilleures pratiques suivantes lors de l'utilisation d'adresses privées :

• Vous devez autoriser l'entrée pour le port 443 à l'aide de l'une des méthodes suivantes :
  • Ajout d'une règle de liste de sécurité dans la liste de sécurité par défaut. Cette règle de sécurité est appliquée à toutes les cartes d'interface réseau virtuelles du sous-réseau. Pour plus d'informations, reportez-vous à Listes de sécurité.
  • Création d'un groupe de sécurité réseau avec la règle de liste de sécurité entrante, puis inclusion du groupe de sécurité réseau dans la création de l'adresse privée. Ce groupe de sécurité réseau est uniquement appliqué à l'adresse privée. Pour plus d'informations, reportez-vous à Groupes de sécurité réseau. Nous vous recommandons d'utiliser cette méthode car elle offre un plus grand niveau de sécurité.
• Pour éviter l'exfiltration des données dans les locations, commencez par une cible d'accès configurée, telle que l'espace de noms = your_namespace, le compartiment = *, le bucket = *. Cette configuration permet à l'adresse privée d'accéder à tous les buckets de tous les compartiments de votre espace de noms.
• Pour restreindre davantage l'accès aux buckets auxquels l'adresse privée peut accéder, commencez par une cible d'accès configurée, telle que l'espace de noms = <your_namespace>, le compartiment = Compartment1, le bucket = Bucket1. Vous pouvez indiquer jusqu'à 10 buckets à l'aide de cibles d'accès.
• Utilisez des stratégies IAM sur le bucket, de sorte que les demandes ne sont autorisées que si elles proviennent d'un VCN spécifique ou d'un bloc CIDR dans ce VCN. Tous les autres accès, y compris via Internet, sont bloqués sur ces buckets. Pour plus d'informations, reportez-vous à Gestion des sources réseau.

  Voici un exemple de stratégie permettant de limiter un bucket spécifique à une source réseau spécifique :

  allow group groupName to manage objects in tenancy where all {target.bucket.name = 'bucketName', request.networkSource.name = 'networkSourceName'}

• Une ou plusieurs zones DNS privées sont créées dans le VCN lors de la création d'une adresse privée. Cette zone DNS privée permet de résoudre le nom de domaine qualifié complet de l'adresse privée en adresse IP privée de l'adresse privée. Lors de l'utilisation d'adresses privées, nous vous recommandons de ne pas modifier les entrées DNS dans la zone DNS privée du VCN. La modification de ces paramètres peut avoir une incidence sur le comportement du trafic et des demandes passant par l'adresse privée.
• Pour supprimer un sous-réseau ou un VCN qui contient une adresse privée, nous vous recommandons de supprimer l'adresse privée avant de supprimer le sous-réseau ou le VCN.