3.2. S3 API を使用した Ceph Object Gateway へのアクセス

1. ヘッダー文字列の値を取得します。
2. 要求ヘッダー文字列を正規形式に正規化します。
3. SHA-1 ハッシュアルゴリズムを使用して HMAC を生成します。
4. hmac の結果を base-64 としてエンコードします。

1. すべての content- ヘッダーを取得します。
2. content-type および content-md5 以外の content- ヘッダーをすべて削除します。
3. content- ヘッダー名が小文字であることを確認します。
4. content- ヘッダーの辞書式で並べ替えます。
5. Date ヘッダー AND があることを確認します。指定した日付が、オフセットではなく GMT を使用していることを確認してください。
6. x-amz- で始まるヘッダーをすべて取得します。
7. x-amz- ヘッダーがすべて小文字であることを確認します。
8. x-amz- ヘッダーの辞書式で並べ替えます。
9. 同じフィールド名の複数のインスタンスを単一のフィールドに組み合わせ、フィールド値をコンマで区切ります。
10. ヘッダー値の空白文字および改行文字を、単一スペースに置き換えます。
11. コロンの前後に空白を削除します。
12. 各ヘッダーの後に新しい行を追加します。
13. ヘッダーを要求ヘッダーにマージします。

手順

1. root で、ファイアウォールのポート 8080 を開きます。

   [root@rgw ~]# firewall-cmd --zone=public --add-port=8080/tcp --permanent
   [root@rgw ~]# firewall-cmd --reload

2. Object Gateway 設定および管理ガイド で説明されているように、ゲートウェイに使用する DNS サーバーにワイルドカードを追加します。

   ローカル DNS キャッシュ用のゲートウェイノードを設定することもできます。これを実行するには、以下の手順を実行します。

   1. root で dnsmasq をインストールおよび設定します。

      [root@rgw ~]# yum install dnsmasq
      [root@rgw ~]# echo "address=/.FQDN_OF_GATEWAY_NODE/IP_OF_GATEWAY_NODE" | tee --append /etc/dnsmasq.conf
      [root@rgw ~]# systemctl start dnsmasq
      [root@rgw ~]# systemctl enable dnsmasq

      IP_OF_GATEWAY_NODE および FQDN_OF_GATEWAY_NODE は、ゲートウェイノードの IP アドレスと FQDN に置き換えます。

   2. root で NetworkManager を停止します。

      [root@rgw ~]# systemctl stop NetworkManager
      [root@rgw ~]# systemctl disable NetworkManager

   3. root として、ゲートウェイサーバーの IP を名前空間として設定します。

      [root@rgw ~]# echo "DNS1=IP_OF_GATEWAY_NODE" | tee --append /etc/sysconfig/network-scripts/ifcfg-eth0
      [root@rgw ~]# echo "IP_OF_GATEWAY_NODE FQDN_OF_GATEWAY_NODE" | tee --append /etc/hosts
      [root@rgw ~]# systemctl restart network
      [root@rgw ~]# systemctl enable network
      [root@rgw ~]# systemctl restart dnsmasq

      IP_OF_GATEWAY_NODE および FQDN_OF_GATEWAY_NODE は、ゲートウェイノードの IP アドレスと FQDN に置き換えます。

   4. サブドメイン要求を確認します。

      [user@rgw ~]$ ping mybucket.FQDN_OF_GATEWAY_NODE

      FQDN_OF_GATEWAY_NODE は、ゲートウェイノードの FQDN に置き換えます。

      警告

      ローカルの DNS キャッシュ用にゲートウェイサーバーを設定することは、テスト目的のみを目的としています。これを行った後は、外部ネットワークにはアクセスできなくなります。Red Hat Ceph Storage クラスターおよびゲートウェイノードに適切な DNS サーバーを使用することを強く推奨します。

3. Object Gateway の設定および管理ガイド に説明されているように、S3 アクセスに radosgw ユーザーを慎重に作成し、生成した access_key および secret_key をコピーします。S3 アクセス、およびそれ以降のバケット管理タスクには、これらのキーが必要です。

手順

1. ruby パッケージをインストールします。

   [root@dev ~]# yum install ruby

   注記

   上記のコマンドは ruby と、rubygems、ruby-libs などの基本的な依存関係をインストールします。コマンドによってすべての依存関係がインストールされていない場合は、個別にインストールします。

2. Ruby パッケージ aws-s3 をインストールします。

   [root@dev ~]# gem install aws-s3

3. プロジェクトディレクトリーを作成します。

   [user@dev ~]$ mkdir ruby_aws_s3
   [user@dev ~]$ cd ruby_aws_s3

4. コネクションファイルを作成します。

   [user@dev ~]$ vim conn.rb

5. conn.rb ファイルに以下のコンテンツを貼り付けます。

   構文

   #!/usr/bin/env ruby
   
   require 'aws/s3'
   require 'resolv-replace'
   
   AWS::S3::Base.establish_connection!(
           :server            => 'FQDN_OF_GATEWAY_NODE',
           :port           => '8080',
           :access_key_id     => 'MY_ACCESS_KEY',
           :secret_access_key => 'MY_SECRET_KEY'
   )

   FQDN_OF_GATEWAY_NODE は、Ceph Object Gateway ノードの FQDN に置き換えます。MY_ACCESS_KEY および MY_SECRET_KEY は、Red Hat Ceph Storage Object Gateway 設定および管理ガイド に従って S3 アクセス用の radosgw ユーザーを作成したときに生成された、access_key および secret_key に置き換えます。

   例

   #!/usr/bin/env ruby
   
   require 'aws/s3'
   require 'resolv-replace'
   
   AWS::S3::Base.establish_connection!(
           :server            => 'testclient.englab.pnq.redhat.com',
           :port           => '8080',
           :access_key_id     => '98J4R9P22P5CDL65HKP8',
           :secret_access_key => '6C+jcaP0dp0+FZfrRNgyGA9EzRy25pURldwje049'
   )

   ファイルを保存して、エディターを終了します。

6. ファイルを実行可能にします。

   [user@dev ~]$ chmod +x conn.rb

7. コマンドを実行します。

   [user@dev ~]$ ./conn.rb | echo $?

   ファイルに正しく値を指定した場合は、コマンドの出力は 0 になります。

8. バケットを作成するための新規ファイルを作成します。

   [user@dev ~]$ vim create_bucket.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   AWS::S3::Bucket.create('my-new-bucket1')

   ファイルを保存して、エディターを終了します。

9. ファイルを実行可能にします。

   [user@dev ~]$ chmod +x create_bucket.rb

10. コマンドを実行します。

    [user@dev ~]$ ./create_bucket.rb

    コマンドの出力が true の場合は、バケット my-new-bucket1 が正常に作成されたことを意味します。

11. 所有されるバケットをリスト表示するために新規ファイルを作成します。

    [user@dev ~]$ vim list_owned_buckets.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::Service.buckets.each do |bucket|
            puts "{bucket.name}\t{bucket.creation_date}"
    end

    ファイルを保存して、エディターを終了します。

12. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x list_owned_buckets.rb

13. コマンドを実行します。

    [user@dev ~]$ ./list_owned_buckets.rb

    出力は以下のようになります。

    my-new-bucket1 2020-01-21 10:33:19 UTC

14. オブジェクトを作成するための新規ファイルを作成します。

    [user@dev ~]$ vim create_object.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::S3Object.store(
            'hello.txt',
            'Hello World!',
            'my-new-bucket1',
            :content_type => 'text/plain'
    )

    ファイルを保存して、エディターを終了します。

15. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x create_object.rb

16. コマンドを実行します。

    [user@dev ~]$ ./create_object.rb

    これで、文字列 Hello World! で hello.txt が作成されます。

17. バケットのコンテンツをリスト表示するための新規ファイルを作成します。

    [user@dev ~]$ vim list_bucket_content.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    new_bucket = AWS::S3::Bucket.find('my-new-bucket1')
    new_bucket.each do |object|
            puts "{object.key}\t{object.about['content-length']}\t{object.about['last-modified']}"
    end

    ファイルを保存して、エディターを終了します。

18. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x list_bucket_content.rb

19. コマンドを実行します。

    [user@dev ~]$ ./list_bucket_content.rb

    出力は以下のようになります。

    hello.txt    12    Fri, 22 Jan 2020 15:54:52 GMT

20. 空のバケットを削除するために新規ファイルを作成します。

    [user@dev ~]$ vim del_empty_bucket.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::Bucket.delete('my-new-bucket1')

    ファイルを保存して、エディターを終了します。

21. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x del_empty_bucket.rb

22. コマンドを実行します。

    [user@dev ~]$ ./del_empty_bucket.rb | echo $?

    バケットが正常に削除されると、コマンドは 0 を出力として返します。

    注記

    create_bucket.rb ファイルを編集し、空のバケットを作成します (例: my-new-bucket4、my-new-bucket5)。次に、空のバケットの削除を試みる前に、上記の del_empty_bucket.rb ファイルを適宜編集します。

23. 空でないバケットを削除する新規ファイルを作成します。

    [user@dev ~]$ vim del_non_empty_bucket.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::Bucket.delete('my-new-bucket1', :force => true)

    ファイルを保存して、エディターを終了します。

24. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x del_non_empty_bucket.rb

25. コマンドを実行します。

    [user@dev ~]$ ./del_non_empty_bucket.rb | echo $?

    バケットが正常に削除されると、コマンドは 0 を出力として返します。

26. オブジェクトを削除する新しいファイルを作成します。

    [user@dev ~]$ vim delete_object.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::S3Object.delete('hello.txt', 'my-new-bucket1')

    ファイルを保存して、エディターを終了します。

27. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x delete_object.rb

28. コマンドを実行します。

    [user@dev ~]$ ./delete_object.rb

    これにより、オブジェクト hello.txt が削除されます。

手順

1. ruby パッケージをインストールします。

   [root@dev ~]# yum install ruby

   注記

   上記のコマンドは ruby と、rubygems、ruby-libs などの基本的な依存関係をインストールします。コマンドによってすべての依存関係がインストールされていない場合は、個別にインストールします。

2. Ruby パッケージ aws-sdk をインストールします。

   [root@dev ~]# gem install aws-sdk

3. プロジェクトディレクトリーを作成します。

   [user@dev ~]$ mkdir ruby_aws_sdk
   [user@dev ~]$ cd ruby_aws_sdk

4. コネクションファイルを作成します。

   [user@dev ~]$ vim conn.rb

5. conn.rb ファイルに以下のコンテンツを貼り付けます。

   構文

   #!/usr/bin/env ruby
   
   require 'aws-sdk'
   require 'resolv-replace'
   
   Aws.config.update(
           endpoint: 'http://FQDN_OF_GATEWAY_NODE:8080',
           access_key_id: 'MY_ACCESS_KEY',
           secret_access_key: 'MY_SECRET_KEY',
           force_path_style: true,
           region: 'us-east-1'
   )

   FQDN_OF_GATEWAY_NODE は、Ceph Object Gateway ノードの FQDN に置き換えます。MY_ACCESS_KEY および MY_SECRET_KEY は、Red Hat Ceph Storage Object Gateway 設定および管理ガイド に従って S3 アクセス用の radosgw ユーザーを作成したときに生成された、access_key および secret_key に置き換えます。

   例

   #!/usr/bin/env ruby
   
   require 'aws-sdk'
   require 'resolv-replace'
   
   Aws.config.update(
           endpoint: 'http://testclient.englab.pnq.redhat.com:8080',
           access_key_id: '98J4R9P22P5CDL65HKP8',
           secret_access_key: '6C+jcaP0dp0+FZfrRNgyGA9EzRy25pURldwje049',
           force_path_style: true,
           region: 'us-east-1'
   )

   ファイルを保存して、エディターを終了します。

6. ファイルを実行可能にします。

   [user@dev ~]$ chmod +x conn.rb

7. コマンドを実行します。

   [user@dev ~]$ ./conn.rb | echo $?

   ファイルに正しく値を指定した場合は、コマンドの出力は 0 になります。

8. バケットを作成するための新規ファイルを作成します。

   [user@dev ~]$ vim create_bucket.rb

   以下のコンテンツをファイルに貼り付けます。

   構文

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   s3_client = Aws::S3::Client.new
   s3_client.create_bucket(bucket: 'my-new-bucket2')

   ファイルを保存して、エディターを終了します。

9. ファイルを実行可能にします。

   [user@dev ~]$ chmod +x create_bucket.rb

10. コマンドを実行します。

    [user@dev ~]$ ./create_bucket.rb

    コマンドの出力が true の場合は、バケット my-new-bucket2 が正常に作成されていることを意味します。

11. 所有されるバケットをリスト表示するために新規ファイルを作成します。

    [user@dev ~]$ vim list_owned_buckets.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.list_buckets.buckets.each do |bucket|
            puts "{bucket.name}\t{bucket.creation_date}"
    end

    ファイルを保存して、エディターを終了します。

12. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x list_owned_buckets.rb

13. コマンドを実行します。

    [user@dev ~]$ ./list_owned_buckets.rb

    出力は以下のようになります。

    my-new-bucket2 2020-01-21 10:33:19 UTC

14. オブジェクトを作成するための新規ファイルを作成します。

    [user@dev ~]$ vim create_object.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.put_object(
            key: 'hello.txt',
            body: 'Hello World!',
            bucket: 'my-new-bucket2',
            content_type: 'text/plain'
    )

    ファイルを保存して、エディターを終了します。

15. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x create_object.rb

16. コマンドを実行します。

    [user@dev ~]$ ./create_object.rb

    これで、文字列 Hello World! で hello.txt が作成されます。

17. バケットのコンテンツをリスト表示するための新規ファイルを作成します。

    [user@dev ~]$ vim list_bucket_content.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.list_objects(bucket: 'my-new-bucket2').contents.each do |object|
            puts "{object.key}\t{object.size}"
    end

    ファイルを保存して、エディターを終了します。

18. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x list_bucket_content.rb

19. コマンドを実行します。

    [user@dev ~]$ ./list_bucket_content.rb

    出力は以下のようになります。

    hello.txt    12    Fri, 22 Jan 2020 15:54:52 GMT

20. 空のバケットを削除するために新規ファイルを作成します。

    [user@dev ~]$ vim del_empty_bucket.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.delete_bucket(bucket: 'my-new-bucket2')

    ファイルを保存して、エディターを終了します。

21. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x del_empty_bucket.rb

22. コマンドを実行します。

    [user@dev ~]$ ./del_empty_bucket.rb | echo $?

    バケットが正常に削除されると、コマンドは 0 を出力として返します。

    注記

    create_bucket.rb ファイルを編集し、空のバケットを作成します (例: my-new-bucket6、my-new-bucket7)。次に、空のバケットの削除を試みる前に、上記の del_empty_bucket.rb ファイルを適宜編集します。

23. 空でないバケットを削除する新規ファイルを作成します。

    [user@dev ~]$ vim del_non_empty_bucket.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    Aws::S3::Bucket.new('my-new-bucket2', client: s3_client).clear!
    s3_client.delete_bucket(bucket: 'my-new-bucket2')

    ファイルを保存して、エディターを終了します。

24. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x del_non_empty_bucket.rb

25. コマンドを実行します。

    [user@dev ~]$ ./del_non_empty_bucket.rb | echo $?

    バケットが正常に削除されると、コマンドは 0 を出力として返します。

26. オブジェクトを削除する新しいファイルを作成します。

    [user@dev ~]$ vim delete_object.rb

    以下のコンテンツをファイルに貼り付けます。

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.delete_object(key: 'hello.txt', bucket: 'my-new-bucket2')

    ファイルを保存して、エディターを終了します。

27. ファイルを実行可能にします。

    [user@dev ~]$ chmod +x delete_object.rb

28. コマンドを実行します。

    [user@dev ~]$ ./delete_object.rb

    これにより、オブジェクト hello.txt が削除されます。

手順

1. php パッケージをインストールします。

   [root@dev ~]# yum install php

2. PHP 用に aws-sdk の zip アーカイブを ダウンロード し、デプロイメントします。

3. プロジェクトディレクトリーを作成します。

   [user@dev ~]$ mkdir php_s3
   [user@dev ~]$ cd php_s3

4. デプロイメントした aws ディレクトリーをプロジェクトのディレクトリーにコピーします。以下に例を示します。

   [user@dev ~]$ cp -r ~/Downloads/aws/ ~/php_s3/

5. コネクションファイルを作成します。

   [user@dev ~]$ vim conn.php

6. conn.php ファイルに以下のコンテンツを貼り付けます。

   構文

   <?php
   define('AWS_KEY', 'MY_ACCESS_KEY');
   define('AWS_SECRET_KEY', 'MY_SECRET_KEY');
   define('HOST', 'FQDN_OF_GATEWAY_NODE');
   define('PORT', '8080');
   
   // require the AWS SDK for php library
   require '/PATH_TO_AWS/aws-autoloader.php';
   
   use Aws\S3\S3Client;
   
   // Establish connection with host using S3 Client
   client = S3Client::factory(array(
       'base_url' => HOST,
       'port' => PORT,
       'key'      => AWS_KEY,
       'secret'   => AWS_SECRET_KEY
   ));
   ?>

   FQDN_OF_GATEWAY_NODE は、ゲートウェイノードの FQDN に置き換えます。MY_ACCESS_KEY および MY_SECRET_KEY は、Red Hat Ceph Storage Object Gateway 設定および管理ガイド に従って S3 アクセス用の radosgw ユーザーを作成したときに生成された、access_key および secret_key に置き換えます。PATH_TO_AWS は、php プロジェクトディレクトリーにコピーした、デプロイメントした aws ディレクトリーへの絶対パスに置き換えます。

   ファイルを保存して、エディターを終了します。

7. コマンドを実行します。

   [user@dev ~]$ php -f conn.php | echo $?

   ファイルに正しく値を指定した場合は、コマンドの出力は 0 になります。

8. バケットを作成するための新規ファイルを作成します。

   [user@dev ~]$ vim create_bucket.php

   新しいファイルに以下の内容を貼り付けます。

   構文

   <?php
   
   include 'conn.php';
   
   client->createBucket(array('Bucket' => 'my-new-bucket3'));
   
   ?>

   ファイルを保存して、エディターを終了します。

9. コマンドを実行します。

   [user@dev ~]$ php -f create_bucket.php

10. 所有されるバケットをリスト表示するために新規ファイルを作成します。

    [user@dev ~]$ vim list_owned_buckets.php

    以下のコンテンツをファイルに貼り付けます。

    構文

    <?php
    
    include 'conn.php';
    
    blist = client->listBuckets();
    echo "Buckets belonging to " . blist['Owner']['ID'] . ":\n";
    foreach (blist['Buckets'] as b) {
        echo "{b['Name']}\t{b['CreationDate']}\n";
    }
    
    ?>

    ファイルを保存して、エディターを終了します。

11. コマンドを実行します。

    [user@dev ~]$ php -f list_owned_buckets.php

    出力は以下のようになります。

    my-new-bucket3 2020-01-21 10:33:19 UTC

12. まず hello.txt という名前のソースファイルを作成するオブジェクトを作成します。

    [user@dev ~]$ echo "Hello World!" > hello.txt

13. 新しい php ファイルを作成します。

    [user@dev ~]$ vim create_object.php

    以下のコンテンツをファイルに貼り付けます。

    構文

    <?php
    
    include 'conn.php';
    
    key         = 'hello.txt';
    source_file = './hello.txt';
    acl         = 'private';
    bucket      = 'my-new-bucket3';
    client->upload(bucket, key, fopen(source_file, 'r'), acl);
    
    ?>

    ファイルを保存して、エディターを終了します。

14. コマンドを実行します。

    [user@dev ~]$ php -f create_object.php

    これにより、バケット my-new-bucket3 でオブジェクト hello.txt が作成されます。

15. バケットのコンテンツをリスト表示するための新規ファイルを作成します。

    [user@dev ~]$ vim list_bucket_content.php

    以下のコンテンツをファイルに貼り付けます。

    構文

    <?php
    
    include 'conn.php';
    
    o_iter = client->getIterator('ListObjects', array(
        'Bucket' => 'my-new-bucket3'
    ));
    foreach (o_iter as o) {
        echo "{o['Key']}\t{o['Size']}\t{o['LastModified']}\n";
    }
    ?>

    ファイルを保存して、エディターを終了します。

16. コマンドを実行します。

    [user@dev ~]$ php -f list_bucket_content.php

    出力は以下のようになります。

    hello.txt    12    Fri, 22 Jan 2020 15:54:52 GMT

17. 空のバケットを削除するために新規ファイルを作成します。

    [user@dev ~]$ vim del_empty_bucket.php

    以下のコンテンツをファイルに貼り付けます。

    構文

    <?php
    
    include 'conn.php';
    
    client->deleteBucket(array('Bucket' => 'my-new-bucket3'));
    ?>

    ファイルを保存して、エディターを終了します。

18. コマンドを実行します。

    [user@dev ~]$ php -f del_empty_bucket.php | echo $?

    バケットが正常に削除されると、コマンドは 0 を出力として返します。

    注記

    create_bucket.php ファイルを編集し、空のバケットを作成します (例: my-new-bucket4、my-new-bucket5)。次に、空のバケットの削除を試みる前に、上記の del_empty_bucket.php ファイルを適宜編集します。

    重要

    空でないバケットの削除は、現在 PHP 2 以降のバージョンの aws-sdk ではサポートされていません。

19. オブジェクトを削除する新しいファイルを作成します。

    [user@dev ~]$ vim delete_object.php

    以下のコンテンツをファイルに貼り付けます。

    構文

    <?php
    
    include 'conn.php';
    
    client->deleteObject(array(
        'Bucket' => 'my-new-bucket3',
        'Key'    => 'hello.txt',
    ));
    ?>

    ファイルを保存して、エディターを終了します。

20. コマンドを実行します。

    [user@dev ~]$ php -f delete_object.php

    これにより、オブジェクト hello.txt が削除されます。

STS を使用して S3 リソースにアクセスするワークフローを簡略化する

1. ユーザーは、Red Hat Ceph Storage 内の S3 リソースにアクセスしたいと考えています。
2. ユーザーは SSO プロバイダーに対して認証する必要があります。
3. SSO プロバイダーは IDP と統合され、ユーザーの認証情報が有効か確認し、ユーザーが認証されると SSO がユーザーにトークンを提供します。
4. ユーザーは、SSO によって提供されたトークンを使用して Ceph Object Gateway STS エンドポイントにアクセスし、S3 リソースへのアクセスをユーザーに提供する IAM ロールを引き受けるように要求します。
5. Red Hat Ceph Storage ゲートウェイはユーザートークンを受け取り、SSO にトークンの検証を要求します。
6. SSO がトークンを検証すると、ユーザーはロールを引き受けることができます。STS を通じて、ユーザーは一時的なアクセスと秘密鍵を取得し、S3 リソースにアクセスできるようになります。
7. ユーザーが引き受けた IAM ロールにアタッチされたポリシーに応じて、ユーザーは S3 リソースセットにアクセスできます。
8. たとえば、バケット A を読み取り、バケット B に書き込みます。

手順

1. Ceph Object Gateway クライアントに以下の設定オプションを設定します。

   構文

   ceph config set RGW_CLIENT_NAME rgw_sts_key STS_KEY
   ceph config set RGW_CLIENT_NAME rgw_s3_auth_use_sts true

   rgw_sts_key は、セッショントークンを暗号化または復号化するための STS キーであり、正確に 16 進数の 16 文字です。

   重要

   STS キーは英数字である必要があります。

   例

   [root@mgr ~]# ceph config set client.rgw rgw_sts_key 7f8fd8dd4700mnop
   [root@mgr ~]# ceph config set client.rgw rgw_s3_auth_use_sts true

2. OpenStack ノードで EC2 認証情報を生成します。

   例

   [user@osp ~]$ openstack ec2 credentials create
   
   +------------+--------------------------------------------------------+
   | Field      | Value                                                  |
   +------------+--------------------------------------------------------+
   | access     | b924dfc87d454d15896691182fdeb0ef                       |
   | links      | {u'self': u'http://192.168.0.15/identity/v3/users/     |
   |            | 40a7140e424f493d8165abc652dc731c/credentials/          |
   |            | OS-EC2/b924dfc87d454d15896691182fdeb0ef'}              |
   | project_id | c703801dccaf4a0aaa39bec8c481e25a                       |
   | secret     | 6a2142613c504c42a94ba2b82147dc28                       |
   | trust_id   | None                                                   |
   | user_id    | 40a7140e424f493d8165abc652dc731c                       |
   +------------+--------------------------------------------------------+

3. 生成された認証情報を使用して、GetSessionToken API を使用して一時的なセキュリティー認証情報のセットを取得します。

   例

   import boto3
   
   access_key = b924dfc87d454d15896691182fdeb0ef
   secret_key = 6a2142613c504c42a94ba2b82147dc28
   
   client = boto3.client('sts',
   aws_access_key_id=access_key,
   aws_secret_access_key=secret_key,
   endpoint_url=https://www.example.com/rgw,
   region_name='',
   )
   
   response = client.get_session_token(
       DurationSeconds=43200
   )

4. 一時認証情報の取得は、S3 呼び出しの作成に使用できます。

   例

   s3client = boto3.client('s3',
     aws_access_key_id = response['Credentials']['AccessKeyId'],
     aws_secret_access_key = response['Credentials']['SecretAccessKey'],
     aws_session_token = response['Credentials']['SessionToken'],
     endpoint_url=https://www.example.com/s3,
     region_name='')
   
   bucket = s3client.create_bucket(Bucket='my-new-shiny-bucket')
   response = s3client.list_buckets()
   for bucket in response["Buckets"]:
     print "{name}\t{created}".format(
       name = bucket['Name'],
       created = bucket['CreationDate'],
     )

5. 新しい S3Access ロールを作成し、ポリシーを設定します。

   1. 管理 CAPS でユーザーを割り当てます。

      構文

      radosgw-admin caps add --uid="USER" --caps="roles=*"

      例

      [root@mgr ~]# radosgw-admin caps add --uid="gwadmin" --caps="roles=*"

   2. S3Access ロールを作成します。

      構文

      radosgw-admin role create --role-name=ROLE_NAME --path=PATH --assume-role-policy-doc=TRUST_POLICY_DOC

      例

      [root@mgr ~]# radosgw-admin role create --role-name=S3Access --path=/application_abc/component_xyz/ --assume-role-policy-doc=\{\"Version\":\"2012-10-17\",\"Statement\":\[\{\"Effect\":\"Allow\",\"Principal\":\{\"AWS\":\[\"arn:aws:iam:::user/TESTER\"\]\},\"Action\":\[\"sts:AssumeRole\"\]\}\]\}

   3. S3Access ロールにパーミッションポリシーを割り当てます。

      構文

      radosgw-admin role-policy put --role-name=ROLE_NAME --policy-name=POLICY_NAME --policy-doc=PERMISSION_POLICY_DOC

      例

      [root@mgr ~]# radosgw-admin role-policy put --role-name=S3Access --policy-name=Policy --policy-doc=\{\"Version\":\"2012-10-17\",\"Statement\":\[\{\"Effect\":\"Allow\",\"Action\":\[\"s3:*\"\],\"Resource\":\"arn:aws:s3:::example_bucket\"\}\]\}

   4. 別のユーザーが gwadmin ユーザーのロールを想定できるようになりました。たとえば、gwuser ユーザーは、gwadmin ユーザーのパーミッションを想定できます。

   5. 仮定ユーザーの access_key および secret_key の値を書き留めておきます。

      例

      [root@mgr ~]# radosgw-admin user info --uid=gwuser | grep -A1 access_key

6. AssumeRole API 呼び出しを使用し、仮定のユーザーから access_key および secret_key の値を提供します。

   例

   import boto3
   
   access_key = 11BS02LGFB6AL6H1ADMW
   secret_key = vzCEkuryfn060dfee4fgQPqFrncKEIkh3ZcdOANY
   
   client = boto3.client('sts',
   aws_access_key_id=access_key,
   aws_secret_access_key=secret_key,
   endpoint_url=https://www.example.com/rgw,
   region_name='',
   )
   
   response = client.assume_role(
   RoleArn='arn:aws:iam:::role/application_abc/component_xyz/S3Access',
   RoleSessionName='Bob',
   DurationSeconds=3600
   )

   重要

   AssumeRole API には S3Access ロールが必要です。

手順

1. Boto の auth.py ファイルを開いて編集します。

   1. 以下の 4 つの行をコードブロックに追加します。

      class SigV4Auth(BaseSigner):
        """
        Sign a request with Signature V4.
        """
        REQUIRES_REGION = True
      
        def __init__(self, credentials, service_name, region_name):
            self.credentials = credentials
            # We initialize these value here so the unit tests can have
            # valid values.  But these will get overriden in ``add_auth``
            # later for real requests.
            self._region_name = region_name
            if service_name == 'sts': 1
                self._service_name = 's3' 2
            else: 3
                self._service_name = service_name 4

   2. 以下の 2 つの行をコードブロックに追加します。

      def _modify_request_before_signing(self, request):
              if 'Authorization' in request.headers:
                  del request.headers['Authorization']
              self._set_necessary_date_headers(request)
              if self.credentials.token:
                  if 'X-Amz-Security-Token' in request.headers:
                      del request.headers['X-Amz-Security-Token']
                  request.headers['X-Amz-Security-Token'] = self.credentials.token
      
              if not request.context.get('payload_signing_enabled', True):
                  if 'X-Amz-Content-SHA256' in request.headers:
                      del request.headers['X-Amz-Content-SHA256']
                  request.headers['X-Amz-Content-SHA256'] = UNSIGNED_PAYLOAD 1
              else: 2
                  request.headers['X-Amz-Content-SHA256'] = self.payload(request)