10.15. アイデンティティーおよびアクセス管理 (IAM) (テクノロジープレビュー)

アカウントの root ユーザー

各アカウントはアカウント root ユーザーによって管理されます。通常のユーザーやロールと同様に、アカウントとアカウント root ユーザーは、管理者が radosgw-admin または Admin Ops API を使用して作成する必要があります。アカウントの root ユーザーには、アカウントが所有するすべてのリソースに対するデフォルトのパーミッションがあります。root ユーザーの認証情報 (アクセスキーとシークレットキー) を Ceph Object Gateway IAM API で使用すると、Ceph Object Gateway S3 API で使用する追加の IAM ユーザーとロールを作成したり、関連するアクセスキーとポリシーを管理したりできます。

リソース所有者

通常の (アカウントを持たない) ユーザーがバケットを作成し、オブジェクトをアップロードした場合に、そのようなリソースはこのユーザーが所有することになります。関連付けられている S3 ACL では、そのユーザーが所有者と権限付与者の両方として指定され、それらのバケットは s3:ListBuckets リクエストで所有ユーザーにのみ表示されます。対照的に、ユーザーまたはロールがアカウントに属している場合、ユーザーやコールが作成するリソースはアカウントにより所有されます。関連付けられている S3 ACL では、アカウント ID が所有者および権限受領者として指定され、それらのバケットは、そのアカウント内の任意のユーザーまたはロールによって送信された s3:ListBuckets リクエストに表示されます。

アカウント IDS

アカウント識別子は、ユーザー ID またはテナント名を受け入れるいくつかの場所で使用できます。そのため、アカウント ID では、あいまいさを避けるために特別な形式が使用されます。RGW という文字列の後に 17 桁の数字が続きます (例: RGW33567154695143645)。指定されていない場合は、アカウント作成時にその形式のアカウント ID が無作為に生成されます。

IAM ポリシー

アカウントのないユーザーはデフォルトでバケットの作成とオブジェクトのアップロードが許可されますが、アカウントユーザーの場合は最初は権限が割り当てられていません。IAM ユーザーが API 操作を実行する前に、操作を許可するためのポリシーを追加する必要があります。アカウントの root ユーザーは、いくつかの方法でユーザーに ID ポリシーを追加できます。iam:PutUserPolicy および iam:AttachUserPoliicy アクションを使用して、ユーザーにポリシーを直接追加します。IAM グループを作成し、iam:PutGroupPolicy および iam:AttachGroupPoliicy アクションを使用してグループポリシーを追加します。iam:AddUserToGroup アクションを使用してそのグループに追加されたユーザーは、グループのポリシーをすべて継承します。IAM ロールを作成し、iam:PutRolePolicy および iam:AttachRolePoliicy アクションを使用してロールポリシーを追加します。sts:AssumeRole および sts:AssumeRoleWithWebIdentity アクションを使用してこのロールを一時的に使用するユーザーは、ロールのすべてのポリシーを継承します。これらのアイデンティティーポリシーは、単一アカウント内でのポリシーの評価およびクロスアカウントポリシー評価ロジックのルールに従って評価されます。

プリンシパル

ポリシードキュメント内の “プリンシパル“ ARN は、ユーザーがアカウントに属している場合にユーザーを別の方法で参照します。アカウント外では、ユーザープリンシパルは、arn:aws:iam:::user/uid や arn:aws:iam::tenantname:user/uid などのユーザー ID で名前が付けられます。ここで、uid は radosgw-admin の --uid 引数に対応します。

テナントの分離

ユーザーと同様に、アカウントはオプションで、バケットの名前空間の分離のためにテナントに所属できます。たとえば、“acct” という名前のアカウントがテナント “a” の下に存在し、“acct” という名前の別のアカウントをテナント “b” の下に存在させることができます。