7.7. ロールの管理

ストレージ管理者は、radosgw-admin コマンドでロールに関連付けられたパーミッションを作成、削除、または更新できます。

ロールはユーザーに似ており、パーミッションポリシーが割り当てられます。任意のアイデンティティーをもとに想定することができます。ユーザーがロールを想定すると、動的に作成された一時認証情報のセットがユーザーに返されます。ロールを使用すると、一部の S3 リソースへのアクセス権限を持たないユーザー、アプリケーション、およびサービスへのアクセスを委譲できます。

7.7.1. ロールの作成

radosgw-admin role create コマンドでユーザーのロールを作成します。コマンドで assume-role-policy-doc パラメーターを持つユーザーを作成する必要があります。これは、エンティティーにロールを引き受けるパーミッションを付与する信頼関係ポリシードキュメントです。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
S3 バケットが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

ロールを作成します。

構文

radosgw-admin role create --role-name=ROLE_NAME [--path=="PATH_TO_FILE"] [--assume-role-policy-doc=TRUST_RELATIONSHIP_POLICY_DOCUMENT]

例

[root@host01 ~]# radosgw-admin role create --role-name=S3Access1 --path=/application_abc/component_xyz/ --assume-role-policy-doc=\{\"Version\":\"2012-10-17\",\"Statement\":\[\{\"Effect\":\"Allow\",\"Principal\":\{\"AWS\":\[\"arn:aws:iam:::user/TESTER\"\]\},\"Action\":\[\"sts:AssumeRole\"\]\}\]\}

{
  "RoleId": "ca43045c-082c-491a-8af1-2eebca13deec",
  "RoleName": "S3Access1",
  "Path": "/application_abc/component_xyz/",
  "Arn": "arn:aws:iam:::role/application_abc/component_xyz/S3Access1",
  "CreateDate": "2022-06-17T10:18:29.116Z",
  "MaxSessionDuration": 3600,
  "AssumeRolePolicyDocument": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"AWS\":[\"arn:aws:iam:::user/TESTER\"]},\"Action\":[\"sts:AssumeRole\"]}]}"
}

--path の値は、デフォルトで / です。

7.7.2. ロールの取得

get コマンドを使用して、ロールに関する情報を取得します。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
S3 バケットが作成されている。
ロールが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

ロールに関する情報を取得します。

構文

radosgw-admin role get --role-name=ROLE_NAME

例

[root@host01 ~]# radosgw-admin role get --role-name=S3Access1

{
  "RoleId": "ca43045c-082c-491a-8af1-2eebca13deec",
  "RoleName": "S3Access1",
  "Path": "/application_abc/component_xyz/",
  "Arn": "arn:aws:iam:::role/application_abc/component_xyz/S3Access1",
  "CreateDate": "2022-06-17T10:18:29.116Z",
  "MaxSessionDuration": 3600,
  "AssumeRolePolicyDocument": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"AWS\":[\"arn:aws:iam:::user/TESTER\"]},\"Action\":[\"sts:AssumeRole\"]}]}"
}

関連情報

詳細は、Red Hat Ceph Storage Object Gateway ガイド の ロールの作成 セクションを参照してください。

7.7.3. ロールの一覧表示

list コマンドを使用して、特定のパス内のロールを一覧表示できます。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
S3 バケットが作成されている。
ロールが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

ロールを一覧表示するには、以下のコマンドを使用します。

構文

radosgw-admin role list

例

[root@host01 ~]# radosgw-admin role list
[
    {
        "RoleId": "85fb46dd-a88a-4233-96f5-4fb54f4353f7",
        "RoleName": "kvm-sts",
        "Path": "/application_abc/component_xyz/",
        "Arn": "arn:aws:iam:::role/application_abc/component_xyz/kvm-sts",
        "CreateDate": "2022-09-13T11:55:09.39Z",
        "MaxSessionDuration": 7200,
        "AssumeRolePolicyDocument": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"AWS\":[\"arn:aws:iam:::user/kvm\"]},\"Action\":[\"sts:AssumeRole\"]}]}"
    },
    {
        "RoleId": "9116218d-4e85-4413-b28d-cdfafba24794",
        "RoleName": "kvm-sts-1",
        "Path": "/application_abc/component_xyz/",
        "Arn": "arn:aws:iam:::role/application_abc/component_xyz/kvm-sts-1",
        "CreateDate": "2022-09-16T00:05:57.483Z",
        "MaxSessionDuration": 3600,
        "AssumeRolePolicyDocument": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"AWS\":[\"arn:aws:iam:::user/kvm\"]},\"Action\":[\"sts:AssumeRole\"]}]}"
    }
]

7.7.4. ロールの仮定ロールポリシードキュメントの更新

modify コマンドを使用してロールを引き受けるためにエンティティーパーミッションを付与する assume ロールポリシードキュメントを更新できます。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
S3 バケットが作成されている。
ロールが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

ロールの assume ロールポリシードキュメントを変更します。

構文

radosgw-admin role-trust-policy modify --role-name=ROLE_NAME --assume-role-policy-doc=TRUST_RELATIONSHIP_POLICY_DOCUMENT

例

[root@host01 ~]# radosgw-admin role-trust-policy modify --role-name=S3Access1 --assume-role-policy-doc=\{\"Version\":\"2012-10-17\",\"Statement\":\[\{\"Effect\":\"Allow\",\"Principal\":\{\"AWS\":\[\"arn:aws:iam:::user/TESTER\"\]\},\"Action\":\[\"sts:AssumeRole\"\]\}\]\}

{
  "RoleId": "ca43045c-082c-491a-8af1-2eebca13deec",
  "RoleName": "S3Access1",
  "Path": "/application_abc/component_xyz/",
  "Arn": "arn:aws:iam:::role/application_abc/component_xyz/S3Access1",
  "CreateDate": "2022-06-17T10:18:29.116Z",
  "MaxSessionDuration": 3600,
  "AssumeRolePolicyDocument": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"AWS\":[\"arn:aws:iam:::user/TESTER\"]},\"Action\":[\"sts:AssumeRole\"]}]}"
}

7.7.5. ロールに割り当てられたパーミッションポリシーの取得

get コマンドを使用して、ロールに割り当てられた特定のパーミッションポリシーを取得できます。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
S3 バケットが作成されている。
ロールが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

パーミッションポリシーを取得します。

構文

radosgw-admin role-policy get --role-name=ROLE_NAME --policy-name=POLICY_NAME

例

[root@host01 ~]# radosgw-admin role-policy get --role-name=S3Access1 --policy-name=Policy1

{
  "Permission policy": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Action\":[\"s3:*\"],\"Resource\":\"arn:aws:s3:::example_bucket\"}]}"
}

7.7.6. ロールの削除

ロールは、割り当てられたパーミッションポリシーを削除した後にのみ削除できます。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
ロールが作成されている。
S3 バケットが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

ロールに割り当てられたポリシーを削除します。

構文

radosgw-admin role policy delete --role-name=ROLE_NAME --policy-name=POLICY_NAME

例

[root@host01 ~]# radosgw-admin role policy delete --role-name=S3Access1 --policy-name=Policy1

ロールを削除します。

構文

radosgw-admin role delete --role-name=ROLE_NAME

例

[root@host01 ~]# radosgw-admin role delete --role-name=S3Access1

7.7.7. ロールに割り当てられたポリシーの更新

put コマンドを使用して、ロールにアタッチされたインラインポリシーを追加または更新できます。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
S3 バケットが作成されている。
ロールが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

インラインポリシーを更新します。

構文

radosgw-admin role-policy put --role-name=ROLE_NAME --policy-name=POLICY_NAME --policy-doc=PERMISSION_POLICY_DOCUMENT

例

[root@host01 ~]# radosgw-admin role-policy put --role-name=S3Access1 --policy-name=Policy1 --policy-doc=\{\"Version\":\"2012-10-17\",\"Statement\":\[\{\"Effect\":\"Allow\",\"Action\":\[\"s3:*\"\],\"Resource\":\"arn:aws:s3:::example_bucket\"\}\]\}

この例では、Policy1 をロール S3Access1 に割り当てます。これにより、example_bucket ですべての S3 アクションが許可されます。

7.7.8. ロールに割り当てられたパーミッションポリシーの一覧表示

list コマンドを使用して、ロールに割り当てられているパーミッションポリシーの名前を一覧表示できます。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
S3 バケットが作成されている。
ロールが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

パーミッションポリシーの名前を一覧表示します。

構文

radosgw-admin role-policy list --role-name=ROLE_NAME

例

[root@host01 ~]# radosgw-admin role-policy list --role-name=S3Access1

[
  "Policy1"
]

7.7.9. ロールに割り当てられたポリシーの削除

rm コマンドを使用すると、ロールに割り当てられたパーミッションポリシーを削除できます。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
S3 バケットが作成されている。
ロールが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

パーミッションポリシーを削除します。

構文

radosgw-admin role policy delete --role-name=ROLE_NAME --policy-name=POLICY_NAME

例

[root@host01 ~]# radosgw-admin role policy delete --role-name=S3Access1 --policy-name=Policy1

7.7.10. ロールのセッション期間の更新

update コマンドを使用して、ロールのセッション期間を更新できます。

前提条件

稼働中の Red Hat Ceph Storage クラスターがある。
Ceph Object Gateway のインストール
Ceph Object Gateway ノードへのルートレベルのアクセス。
S3 バケットが作成されている。
ロールが作成されている。
ユーザーアクセスで作成された S3 ユーザー。

手順

update コマンドを使用して max-session-duration を更新します。

構文

[root@node1 ~]# radosgw-admin role update --role-name=ROLE_NAME --max-session-duration=7200

例

[root@node1 ~]# radosgw-admin role update --role-name=test-sts-role --max-session-duration=7200

検証

ロールを一覧表示して、更新を確認します。

例

[root@node1 ~]#radosgw-admin role list
[
    {
        "RoleId": "d4caf33f-caba-42f3-8bd4-48c84b4ea4d3",
        "RoleName": "test-sts-role",
        "Path": "/",
        "Arn": "arn:aws:iam:::role/test-role",
        "CreateDate": "2022-09-07T20:01:15.563Z",
        "MaxSessionDuration": 7200,				<<<<<<
        "AssumeRolePolicyDocument": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"AWS\":[\"arn:aws:iam:::user/kvm\"]},\"Action\":[\"sts:AssumeRole\"]}]}"
    }
]

関連情報

詳細は、Red Hat Ceph Storage 開発者ガイド の ロールを操作する REST API セクションを参照してください。

7.7. ロールの管理

7.7.1. ロールの作成

7.7.2. ロールの取得

7.7.3. ロールの一覧表示

7.7.4. ロールの仮定ロールポリシードキュメントの更新

7.7.5. ロールに割り当てられたパーミッションポリシーの取得

7.7.6. ロールの削除

7.7.7. ロールに割り当てられたポリシーの更新

7.7.8. ロールに割り当てられたパーミッションポリシーの一覧表示

7.7.9. ロールに割り当てられたポリシーの削除

7.7.10. ロールのセッション期間の更新

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

多様性を受け入れるオープンソースの強化

会社概要

Red Hat legal and privacy links

Red Hat legal and privacy links