Red Hat Summit第2章 Object Gateway S3 アプリケーションプログラミングインターフェイス(API)
Red Hat Ceph Object Gateway は、Amazon S3 API の基本的なデータアクセスモデルと互換性のある RESTful API をサポートします。
以下の表は、現在の Amazon S3 機能機能のサポートステータスについて説明しています。
| 機能 | 状態 | 備考 |
|---|---|---|
| サポート対象 | ||
| サポート対象 | 固定 ACL のさまざまなセット | |
| 一部サポート対象 |
| |
| サポート対象 | ||
| 一部サポート対象 |
| |
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | 固定 ACL のさまざまなセット | |
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| 一部サポート対象 |
| |
| 一部サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 | ||
| サポート対象 |
以下の表は、サポートされていない一般的なリクエストヘッダーフィールドの一覧です。
| 名前 | 型 |
|---|---|
| x-amz-security-token | リクエスト |
| Server | レスポンス |
| x-amz-delete-marker | レスポンス |
| x-amz-id-2 | レスポンス |
| x-amz-request-id | レスポンス |
| x-amz-version-id | 応答 |
2.1. S3 API サーバー側の暗号化
Ceph Object Gateway は、S3 API のアップロードされたオブジェクトのサーバー側の暗号化をサポートしています。サーバー側の暗号化とは、S3 クライアントが暗号化されていない形式で HTTP 経由でデータを送信し、Ceph Object Gateway はそのデータを暗号化した形式で Ceph Storage Cluster に保存することを意味します。
Red Hat は、SLO(Static Large Object) または DLO(Dynamic Large Object) の S3 オブジェクト暗号化をサポートしません。
暗号化を使用するには、クライアントリクエストは、SSL 接続上でリクエストを送信する 必要があります。Red Hat は、Ceph Object Gateway が SSL を使用しない限り、クライアントからの S3 暗号化をサポートしません。ただし、テスト目的で、管理者は、ランタイム時に rgw_crypt_require_ssl 設定を false に設定し、Ceph 設定ファイルで false に設定して、Ansible 設定ファイルで false に設定し、Ceph Object Gateway の Ansible Playbook を再生して、テスト中に SSL を無効にすることができます。
暗号化キーの管理には、以下の 2 つのオプションがあります。
お客様提供のキー
お客様が提供する鍵を使用する場合、S3 クライアントは暗号鍵を各リクエストと共に渡して、暗号化されたデータの読み取りまたは書き込みを行います。これらのキーを管理するのは、お客様の責任です。各オブジェクトの暗号化に使用する Ceph Object Gateway の鍵を覚えておく必要があります。
Ceph Object Gateway は、Amazon SSE-C 仕様に従って、S3 API で顧客提供のキー動作を実装します。
お客様がキー管理を処理し、S3 クライアントはキーを Ceph Object Gateway に渡すため、Ceph Object Gateway ではこの暗号化モードをサポートするための特別な設定は必要ありません。
キー管理サービス
キー管理サービスを使用する場合、セキュアなキー管理サービスはキーを格納し、Ceph Object Gateway はデータの暗号化または復号の要求に対応するためにキーをオンデマンドで取得します。
Ceph Object Gateway は、Amazon SSE-KMS 仕様に従って S3 API にキー管理サービスの動作を実装します。
現在、テスト済みの唯一のキー管理実装は OpenStack Barbican を使用します。ただし、OpenStack Barbican はテクノロジープレビューであるため、実稼働システムでの使用はサポートされません。
