File Storage avec des stratégies Lustre

La syntaxe générale d'une instruction de stratégie est la suivante :

allow <subject> to <verb>
                    <resource-type> in <location> where <condition>
                

Voici des exemples de ce que vous pouvez indiquer :

• Un groupe ou un groupe dynamique par son nom ou son OCID en tant que <subject> . Vous pouvez également utiliser any-user pour couvrir tous les utilisateurs dans la location.

• inspect, read, use et manage en tant que <verb> pour accorder à <subject> des droits d'accès.

  Lorsque vous passez de inspect à read, puis à use, puis à manage, le niveau d'accès augmente généralement et les droits d'accès octroyés sont cumulés. Par exemple, use inclut read et autorise en plus la mise à jour.

• Une famille de ressources telle que virtual-network-family pour resource-type . Vous pouvez également indiquer une ressource individuelle d'une famille telle que vcns ou subnets.

• Un compartiment par son nom ou son OCID en tant que <location> . Vous pouvez également utiliser tenancy pour couvrir l'intégralité de la location.

Pour plus d'informations sur la création de stratégies, reportez-vous à Introduction aux stratégies et à Référence de stratégie.

Pour permettre aux utilisateurs d'accéder à File Storage avec des ressources Lustre, créez des stratégies IAM avec File Storage avec des types de ressource Lustre.

Le service File Storage with Lustre prend en charge toutes les variables générales, ainsi que celles répertoriées ici.

Pour plus d'informations sur les variables générales prises en charge par Les services OCI, reportez-vous à Variables générales pour toutes les demandes.

Le tableau suivant répertorie les opérations d'API pour OCI Database with PostgreSQL dans un ordre logique, regroupées par type de ressource.

Les types de ressource sont lustre-file-system et lfs-work-request.

Pour plus d'informations sur les droits d'accès, reportez-vous à Droits d'accès.

Pour qu'un système de fichiers Lustre puisse synchroniser des données avec Object Storage, vous devez lui accorder des droits d'accès spécifiques. Pour ce faire, créez des stratégies Identity and Access Management (IAM) qui permettent au système de fichiers Lustre de lire et de gérer les objets dans les buckets Object Storage.

Le bucket Object Storage ne nécessite pas de droits d'accès explicites. Au lieu de cela, vous contrôlez l'accès au bucket en accordant à la ressource Lustre l'autorisation de lire et de gérer les objets.

Utilisez les exemples suivants pour créer des stratégies communes en plus de celles requises pour les systèmes de fichiers et de celles requises si vous chiffrez des systèmes de fichiers avec votre propre clé.

allow group lfsadminusers to use lustre-file-family in compartment <file_system_compartment>
                        

resource.type='lustrefilesystem'

All {resource.type = 'lustrefilesystem', resource.compartment.id = '<comp_ocid>'}

allow dynamic-group lustre-fs-group to read buckets in tenancy
allow dynamic-group lustre-fs-group to manage objects in tenancy

allow dynamic-group lustre-fs-group to read buckets in compartment <comp id or name e.g. cell:compute-data>
allow dynamic-group lustre-fs-group to manage objects in compartment <comp id or name e.g. cell:compute-data>

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}