Benutzer, Gruppen und Richtlinien

Diese Seite behandelt die tägliche IAM-Verwaltung: Benutzer und Gruppen anlegen, Richtlinien zuweisen und eigene Richtliniendokumente schreiben.

VoraussetzungenCopy Anchor Link

• Installieren Sie rc, bevor Sie administrative RustFS-Befehle verwenden.
• Konfigurieren Sie einen Alias mit Zugangsdaten, deren Richtlinien die entsprechenden Aktionen admin:* erlauben.

Benutzer verwaltenCopy Anchor Link

Benutzer lassen sich in der Console (Abschnitt Identity in der linken Navigation), mit rc admin oder über die Admin-REST-API verwalten. Die nativen Admin-Endpunkte liegen unter dem Präfix /rustfs/admin/v3. Anfragen müssen mit AWS Signature V4 von Zugangsdaten signiert sein, deren Richtlinien die entsprechende Aktion admin:* erlauben.

Gruppen verwaltenCopy Anchor Link

Gruppen fassen Benutzer zusammen, damit eine einzige Richtlinienzuordnung für alle Mitglieder gilt. Mitgliedschaft und Status verwalten Sie über diese Endpunkte (entsprechende Funktionen gibt es in der Console unter Identity):

Body für die Aktualisierung der Mitgliedschaft:

{
  "group": "developers",
  "members": ["alice", "bob"],
  "isRemove": false
}

Setzen Sie isRemove auf true, um die aufgeführten Mitglieder stattdessen zu entfernen. Temporäre STS-Benutzer und die Root-Anmeldedaten können nicht zu Gruppen hinzugefügt werden.

Richtlinien zuweisenCopy Anchor Link

Richtlinienzuordnungen verbinden eine benannte Richtlinie mit einem Benutzer oder einer Gruppe:

Richtliniendokumente verwaltenCopy Anchor Link

Format des RichtliniendokumentsCopy Anchor Link

Ein Richtliniendokument ist ein JSON-Objekt mit den Feldern Version und Statement. Der einzige akzeptierte Wert für Version ist 2012-10-17.

Jedes Statement unterstützt:

Aktionsnamen sind nach Namensraum gegliedert: s3:* für Objekt- und Bucket-Operationen (zum Beispiel s3:GetObject, s3:PutObject, s3:DeleteObject, s3:ListBucket, s3:GetBucketLocation, s3:ListAllMyBuckets), admin:* für Verwaltungsoperationen, sts:AssumeRole für STS und kms:* für die Schlüsselverwaltung.

Unterstützte Bedingungsoperatoren sind unter anderem: StringEquals, StringNotEquals, StringEqualsIgnoreCase, StringNotEqualsIgnoreCase, StringLike, StringNotLike, ArnEquals, ArnNotEquals, ArnLike, ArnNotLike, BinaryEquals, IpAddress, NotIpAddress, Null, Bool, NumericEquals, NumericNotEquals, NumericLessThan, NumericLessThanEquals, NumericGreaterThan, NumericGreaterThanEquals, DateEquals, DateNotEquals, DateLessThan, DateLessThanEquals, DateGreaterThan und DateGreaterThanEquals. An jeden Operator kann IfExists angehängt werden (die Bedingung ist erfüllt, wenn der referenzierte Kontextschlüssel fehlt).

Beispiel: Lesezugriff auf einen BucketCopy Anchor Link

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetBucketLocation", "s3:ListBucket"],
      "Resource": ["arn:aws:s3:::reports"]
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": ["arn:aws:s3:::reports/*"]
    }
  ]
}

Beispiel: Lese- und Schreibzugriff auf ein Präfix beschränktCopy Anchor Link

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": ["arn:aws:s3:::app-data"],
      "Condition": {
        "StringLike": {
          "s3:prefix": ["tenant-42/*"]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": ["arn:aws:s3:::app-data/tenant-42/*"]
    }
  ]
}

Beispiel: Voller Zugriff, Löschen verweigertCopy Anchor Link

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:*"],
      "Resource": ["arn:aws:s3:::archive", "arn:aws:s3:::archive/*"]
    },
    {
      "Effect": "Deny",
      "Action": ["s3:DeleteObject", "s3:DeleteObjectVersion", "s3:DeleteBucket"],
      "Resource": ["arn:aws:s3:::archive", "arn:aws:s3:::archive/*"]
    }
  ]
}

Integrierte RichtlinienCopy Anchor Link

RustFS definiert fünf integrierte Richtlinien, die Sie zuweisen können, ohne sie zuvor anzulegen: