Storage di file con criteri Lustre

La sintassi generale di un'istruzione criterio è la seguente:

allow <subject> to <verb>
                    <resource-type> in <location> where <condition>
                

Ad esempio, è possibile specificare quanto riportato di seguito.

• Gruppo o gruppo dinamico per nome o OCID come <subject> . In alternativa, è possibile utilizzare any-user per coprire tutti gli utenti nella tenancy.

• inspect, read, use e manage come <verb> per concedere a <subject> l'accesso a una o più autorizzazioni.

  Come si passa da inspect > read > use > manage, il livello di accesso in genere aumenta e le autorizzazioni concesse sono cumulative. Ad esempio, use include read più la possibilità di eseguire l'aggiornamento.

• Una famiglia di risorse come virtual-network-family per resource-type . In alternativa, è possibile specificare una singola risorsa in una famiglia come vcns e subnets.

• Compartimento in base al nome o all'OCID come <location> . In alternativa, è possibile utilizzare tenancy per coprire l'intera tenancy.

Per ulteriori informazioni sulla creazione dei criteri, vedere Guida introduttiva ai criteri e Informazioni di riferimento sui criteri.

Per fornire agli utenti l'accesso allo storage di file con le risorse Lustre, creare criteri IAM con lo storage di file con i tipi di risorse Lustre.

Il servizio Storage di file con Lustre supporta tutte le variabili generali, oltre a quelle elencate qui.

Per ulteriori informazioni sulle variabili generali supportate dai servizi OCI, vedere Variabili generali per tutte le richieste.

Nella tabella seguente sono elencate le operazioni API per il database OCI con PostgreSQL in un ordine logico, raggruppate per tipo di risorsa.

I tipi di risorsa sono lustre-file-system e lfs-work-request.

Per informazioni sulle autorizzazioni, vedere Autorizzazioni.

Prima che un file system Lustre possa sincronizzare i dati con lo storage degli oggetti, è necessario concedere autorizzazioni specifiche. A tale scopo, creare criteri IAM (Identity and Access Management) che consentano al file system Lustre di leggere e gestire gli oggetti all'interno dei bucket di storage degli oggetti.

Il bucket di storage degli oggetti non richiede autorizzazioni esplicite. Invece, puoi controllare l'accesso al bucket concedendo alla risorsa Lustre l'autorizzazione a leggere e gestire gli oggetti.

Utilizzare gli esempi seguenti per creare criteri comuni in aggiunta a quelli obbligatori per i file system e quelli obbligatori se si utilizza la chiave per la cifratura dei file system.

allow group lfsadminusers to use lustre-file-family in compartment <file_system_compartment>
                        

resource.type='lustrefilesystem'

All {resource.type = 'lustrefilesystem', resource.compartment.id = '<comp_ocid>'}

allow dynamic-group lustre-fs-group to read buckets in tenancy
allow dynamic-group lustre-fs-group to manage objects in tenancy

allow dynamic-group lustre-fs-group to read buckets in compartment <comp id or name e.g. cell:compute-data>
allow dynamic-group lustre-fs-group to manage objects in compartment <comp id or name e.g. cell:compute-data>

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}