3.2. 使用 S3 API 访问 Ceph 对象网关

1. 获取标头字符串的值。
2. 将请求标头字符串规范化为规范形式。
3. 使用 SHA-1 哈希算法生成 HMAC。
4. 将 hmac 结果编码为 base-64。

1. 获取 所有内容 标头。
2. 删除除 content-type 和 content-md5 外的所有 content- 标头。
3. 确保 content- 标头名称是小写。
4. 以字典顺序对 content- 标题排序。
5. 确保带有 Date 标头，并确保指定的日期使用 GMT 而不是偏移量。
6. 获取以 x-amz- 开头的所有标题。
7. 确保 x-amz- 标头都是小写。
8. 以字典顺序对 x-amz- 标头排序。
9. 将同一字段名称的多个实例合并到一个字段中，并使用逗号分隔字段值。
10. 使用单个空格替换标题值中的空格和换行符。
11. 在冒号前后删除空格。
12. 在每个标头后面添加一个新行。
13. 将标头合并回请求标头。

流程

1. 以 root 用户身份，在防火墙上打开端口 8080 ：

   [root@rgw ~]# firewall-cmd --zone=public --add-port=8080/tcp --permanent
   [root@rgw ~]# firewall-cmd --reload

2. 如 对象网关配置和管理指南 中所述，为网关使用的 DNS 服务器添加通配符。

   您还可以为本地 DNS 缓存设置网关节点。要做到这一点，请执行以下步骤：

   1. 以 root 用户身份，安装和设置 dnsmasq ：

      [root@rgw ~]# yum install dnsmasq
      [root@rgw ~]# echo "address=/.FQDN_OF_GATEWAY_NODE/IP_OF_GATEWAY_NODE" | tee --append /etc/dnsmasq.conf
      [root@rgw ~]# systemctl start dnsmasq
      [root@rgw ~]# systemctl enable dnsmasq

      将 IP_OF_GATEWAY_NODE 和 FQDN_OF_GATEWAY_NODE 替换为网关节点的 IP 地址和 FQDN。

   2. 作为 root 用户，停止 NetworkManager：

      [root@rgw ~]# systemctl stop NetworkManager
      [root@rgw ~]# systemctl disable NetworkManager

   3. 以 root 用户身份，将网关服务器的 IP 设置为名称服务器：

      [root@rgw ~]# echo "DNS1=IP_OF_GATEWAY_NODE" | tee --append /etc/sysconfig/network-scripts/ifcfg-eth0
      [root@rgw ~]# echo "IP_OF_GATEWAY_NODE FQDN_OF_GATEWAY_NODE" | tee --append /etc/hosts
      [root@rgw ~]# systemctl restart network
      [root@rgw ~]# systemctl enable network
      [root@rgw ~]# systemctl restart dnsmasq

      将 IP_OF_GATEWAY_NODE 和 FQDN_OF_GATEWAY_NODE 替换为网关节点的 IP 地址和 FQDN。

   4. 验证子域请求：

      [user@rgw ~]$ ping mybucket.FQDN_OF_GATEWAY_NODE

      将 FQDN_OF_GATEWAY_NODE 替换为网关节点的 FQDN。

      警告

      为本地 DNS 缓存设置网关服务器仅用于测试目的。执行此操作后，您将无法访问外部网络。强烈建议您为 Red Hat Ceph Storage 集群和网关节点使用正确的 DNS 服务器。

3. 如 对象网关配置和管理指南中所述，为 S3 访问创建 radosgw 用户， 并复制生成的 access_key 和 secret_key。您需要这些密钥进行 S3 访问和随后的 bucket 管理任务。

流程

1. 安装 ruby 软件包：

   [root@dev ~]# yum install ruby

   注意

   以上命令将安装 ruby 及其基本依赖项，如 rubygems 和 ruby-libs。如果某种方式命令没有安装所有依赖项，请单独安装它们。

2. 安装 aws-s3 Ruby 软件包：

   [root@dev ~]# gem install aws-s3

3. 创建项目目录：

   [user@dev ~]$ mkdir ruby_aws_s3
   [user@dev ~]$ cd ruby_aws_s3

4. 创建连接文件：

   [user@dev ~]$ vim conn.rb

5. 将以下内容粘贴到 conn.rb 文件中：

   语法

   #!/usr/bin/env ruby
   
   require 'aws/s3'
   require 'resolv-replace'
   
   AWS::S3::Base.establish_connection!(
           :server            => 'FQDN_OF_GATEWAY_NODE',
           :port           => '8080',
           :access_key_id     => 'MY_ACCESS_KEY',
           :secret_access_key => 'MY_SECRET_KEY'
   )

   将 FQDN_OF_GATEWAY_NODE 替换为 Ceph 对象网关节点的 FQDN。将 MY_ACCESS_KEY 和 MY_SECRET_KEY 替换为您在为 S3 访问创建 radosgw 用户时生成的 access_key 和 secret_key，如 Red Hat Ceph Storage Object Gateway Configuration and Administration Guide 所述。

   示例

   #!/usr/bin/env ruby
   
   require 'aws/s3'
   require 'resolv-replace'
   
   AWS::S3::Base.establish_connection!(
           :server            => 'testclient.englab.pnq.redhat.com',
           :port           => '8080',
           :access_key_id     => '98J4R9P22P5CDL65HKP8',
           :secret_access_key => '6C+jcaP0dp0+FZfrRNgyGA9EzRy25pURldwje049'
   )

   保存文件并退出编辑器。

6. 使文件可执行：

   [user@dev ~]$ chmod +x conn.rb

7. 运行该文件：

   [user@dev ~]$ ./conn.rb | echo $?

   如果您在文件中正确提供了值，命令的输出将是 0。

8. 创建存储桶的新文件：

   [user@dev ~]$ vim create_bucket.rb

   将以下内容粘贴到文件中：

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   AWS::S3::Bucket.create('my-new-bucket1')

   保存文件并退出编辑器。

9. 使文件可执行：

   [user@dev ~]$ chmod +x create_bucket.rb

10. 运行该文件：

    [user@dev ~]$ ./create_bucket.rb

    如果命令的输出为 true，这表示 bucket my-new-bucket1 已创建成功。

11. 创建用于列出所拥有的存储桶的新文件：

    [user@dev ~]$ vim list_owned_buckets.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::Service.buckets.each do |bucket|
            puts "{bucket.name}\t{bucket.creation_date}"
    end

    保存文件并退出编辑器。

12. 使文件可执行：

    [user@dev ~]$ chmod +x list_owned_buckets.rb

13. 运行该文件：

    [user@dev ~]$ ./list_owned_buckets.rb

    输出应类似如下：

    my-new-bucket1 2020-01-21 10:33:19 UTC

14. 创建用于创建对象的新文件：

    [user@dev ~]$ vim create_object.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::S3Object.store(
            'hello.txt',
            'Hello World!',
            'my-new-bucket1',
            :content_type => 'text/plain'
    )

    保存文件并退出编辑器。

15. 使文件可执行：

    [user@dev ~]$ chmod +x create_object.rb

16. 运行该文件：

    [user@dev ~]$ ./create_object.rb

    这将创建一个含有字符串 Hello World! 的文件 hello.txt。

17. 创建用于列出存储桶内容的新文件：

    [user@dev ~]$ vim list_bucket_content.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    new_bucket = AWS::S3::Bucket.find('my-new-bucket1')
    new_bucket.each do |object|
            puts "{object.key}\t{object.about['content-length']}\t{object.about['last-modified']}"
    end

    保存文件并退出编辑器。

18. 使文件成为可执行文件。

    [user@dev ~]$ chmod +x list_bucket_content.rb

19. 运行该文件：

    [user@dev ~]$ ./list_bucket_content.rb

    输出将类似如下：

    hello.txt    12    Fri, 22 Jan 2020 15:54:52 GMT

20. 创建用于删除空存储桶的新文件：

    [user@dev ~]$ vim del_empty_bucket.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::Bucket.delete('my-new-bucket1')

    保存文件并退出编辑器。

21. 使文件可执行：

    [user@dev ~]$ chmod +x del_empty_bucket.rb

22. 运行该文件：

    [user@dev ~]$ ./del_empty_bucket.rb | echo $?

    如果删除了存储桶，命令会返回 0 作为输出。

    注意

    编辑 create_bucket.rb 文件，以创建空存储桶，如 my-new-bucket4、 my-new-bucket5。然后，在尝试删除空存储桶前相应地编辑上述 del_empty_bucket.rb 文件。

23. 创建用于删除非空存储桶的新文件：

    [user@dev ~]$ vim del_non_empty_bucket.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::Bucket.delete('my-new-bucket1', :force => true)

    保存文件并退出编辑器。

24. 使文件可执行：

    [user@dev ~]$ chmod +x del_non_empty_bucket.rb

25. 运行该文件：

    [user@dev ~]$ ./del_non_empty_bucket.rb | echo $?

    如果删除了存储桶，命令会返回 0 作为输出。

26. 创建用于删除对象的新文件：

    [user@dev ~]$ vim delete_object.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    AWS::S3::S3Object.delete('hello.txt', 'my-new-bucket1')

    保存文件并退出编辑器。

27. 使文件可执行：

    [user@dev ~]$ chmod +x delete_object.rb

28. 运行该文件：

    [user@dev ~]$ ./delete_object.rb

    这将删除对象 hello.txt。

流程

1. 安装 ruby 软件包：

   [root@dev ~]# yum install ruby

   注意

   以上命令将安装 ruby 及其基本依赖项，如 rubygems 和 ruby-libs。如果某种方式命令没有安装所有依赖项，请单独安装它们。

2. 安装 aws-sdk Ruby 软件包：

   [root@dev ~]# gem install aws-sdk

3. 创建项目目录：

   [user@dev ~]$ mkdir ruby_aws_sdk
   [user@dev ~]$ cd ruby_aws_sdk

4. 创建连接文件：

   [user@dev ~]$ vim conn.rb

5. 将以下内容粘贴到 conn.rb 文件中：

   语法

   #!/usr/bin/env ruby
   
   require 'aws-sdk'
   require 'resolv-replace'
   
   Aws.config.update(
           endpoint: 'http://FQDN_OF_GATEWAY_NODE:8080',
           access_key_id: 'MY_ACCESS_KEY',
           secret_access_key: 'MY_SECRET_KEY',
           force_path_style: true,
           region: 'us-east-1'
   )

   将 FQDN_OF_GATEWAY_NODE 替换为 Ceph 对象网关节点的 FQDN。将 MY_ACCESS_KEY 和 MY_SECRET_KEY 替换为您在为 S3 访问创建 radosgw 用户时生成的 access_key 和 secret_key，如 Red Hat Ceph Storage Object Gateway Configuration and Administration Guide 所述。

   示例

   #!/usr/bin/env ruby
   
   require 'aws-sdk'
   require 'resolv-replace'
   
   Aws.config.update(
           endpoint: 'http://testclient.englab.pnq.redhat.com:8080',
           access_key_id: '98J4R9P22P5CDL65HKP8',
           secret_access_key: '6C+jcaP0dp0+FZfrRNgyGA9EzRy25pURldwje049',
           force_path_style: true,
           region: 'us-east-1'
   )

   保存文件并退出编辑器。

6. 使文件可执行：

   [user@dev ~]$ chmod +x conn.rb

7. 运行该文件：

   [user@dev ~]$ ./conn.rb | echo $?

   如果您在文件中正确提供了值，命令的输出将是 0。

8. 创建存储桶的新文件：

   [user@dev ~]$ vim create_bucket.rb

   将以下内容粘贴到文件中：

   语法

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   s3_client = Aws::S3::Client.new
   s3_client.create_bucket(bucket: 'my-new-bucket2')

   保存文件并退出编辑器。

9. 使文件可执行：

   [user@dev ~]$ chmod +x create_bucket.rb

10. 运行该文件：

    [user@dev ~]$ ./create_bucket.rb

    如果命令的输出为 true，这表示 bucket my-new-bucket2 已创建成功。

11. 创建用于列出所拥有的存储桶的新文件：

    [user@dev ~]$ vim list_owned_buckets.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.list_buckets.buckets.each do |bucket|
            puts "{bucket.name}\t{bucket.creation_date}"
    end

    保存文件并退出编辑器。

12. 使文件可执行：

    [user@dev ~]$ chmod +x list_owned_buckets.rb

13. 运行该文件：

    [user@dev ~]$ ./list_owned_buckets.rb

    输出应类似如下：

    my-new-bucket2 2020-01-21 10:33:19 UTC

14. 创建用于创建对象的新文件：

    [user@dev ~]$ vim create_object.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.put_object(
            key: 'hello.txt',
            body: 'Hello World!',
            bucket: 'my-new-bucket2',
            content_type: 'text/plain'
    )

    保存文件并退出编辑器。

15. 使文件可执行：

    [user@dev ~]$ chmod +x create_object.rb

16. 运行该文件：

    [user@dev ~]$ ./create_object.rb

    这将创建一个含有字符串 Hello World! 的文件 hello.txt。

17. 创建用于列出存储桶内容的新文件：

    [user@dev ~]$ vim list_bucket_content.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.list_objects(bucket: 'my-new-bucket2').contents.each do |object|
            puts "{object.key}\t{object.size}"
    end

    保存文件并退出编辑器。

18. 使文件成为可执行文件。

    [user@dev ~]$ chmod +x list_bucket_content.rb

19. 运行该文件：

    [user@dev ~]$ ./list_bucket_content.rb

    输出将类似如下：

    hello.txt    12    Fri, 22 Jan 2020 15:54:52 GMT

20. 创建用于删除空存储桶的新文件：

    [user@dev ~]$ vim del_empty_bucket.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.delete_bucket(bucket: 'my-new-bucket2')

    保存文件并退出编辑器。

21. 使文件可执行：

    [user@dev ~]$ chmod +x del_empty_bucket.rb

22. 运行该文件：

    [user@dev ~]$ ./del_empty_bucket.rb | echo $?

    如果删除了存储桶，命令会返回 0 作为输出。

    注意

    编辑 create_bucket.rb 文件，以创建空存储桶，如 my-new-bucket6、my-new-bucket7。然后，在尝试删除空存储桶前相应地编辑上述 del_empty_bucket.rb 文件。

23. 创建用于删除非空存储桶的新文件：

    [user@dev ~]$ vim del_non_empty_bucket.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    Aws::S3::Bucket.new('my-new-bucket2', client: s3_client).clear!
    s3_client.delete_bucket(bucket: 'my-new-bucket2')

    保存文件并退出编辑器。

24. 使文件可执行：

    [user@dev ~]$ chmod +x del_non_empty_bucket.rb

25. 运行该文件：

    [user@dev ~]$ ./del_non_empty_bucket.rb | echo $?

    如果删除了存储桶，命令会返回 0 作为输出。

26. 创建用于删除对象的新文件：

    [user@dev ~]$ vim delete_object.rb

    将以下内容粘贴到文件中：

    #!/usr/bin/env ruby
    
    load 'conn.rb'
    
    s3_client = Aws::S3::Client.new
    s3_client.delete_object(key: 'hello.txt', bucket: 'my-new-bucket2')

    保存文件并退出编辑器。

27. 使文件可执行：

    [user@dev ~]$ chmod +x delete_object.rb

28. 运行该文件：

    [user@dev ~]$ ./delete_object.rb

    这将删除对象 hello.txt。

流程

1. 安装 php 软件包：

   [root@dev ~]# yum install php

2. 下载适用于 PHP 的 aws-sdk 的 zip 存档并解压缩。

3. 创建项目目录：

   [user@dev ~]$ mkdir php_s3
   [user@dev ~]$ cd php_s3

4. 将提取的 aws 目录复制到项目目录中。例如：

   [user@dev ~]$ cp -r ~/Downloads/aws/ ~/php_s3/

5. 创建连接文件：

   [user@dev ~]$ vim conn.php

6. 将以下内容粘贴到 conn.php 文件中：

   语法

   <?php
   define('AWS_KEY', 'MY_ACCESS_KEY');
   define('AWS_SECRET_KEY', 'MY_SECRET_KEY');
   define('HOST', 'FQDN_OF_GATEWAY_NODE');
   define('PORT', '8080');
   
   // require the AWS SDK for php library
   require '/PATH_TO_AWS/aws-autoloader.php';
   
   use Aws\S3\S3Client;
   
   // Establish connection with host using S3 Client
   client = S3Client::factory(array(
       'base_url' => HOST,
       'port' => PORT,
       'key'      => AWS_KEY,
       'secret'   => AWS_SECRET_KEY
   ));
   ?>

   将 FQDN_OF_GATEWAY_NODE 替换为网关节点的 FQDN。将 MY_ACCESS_KEY 和 MY_SECRET_KEY 替换为创建 radosgw 用户以进行 S3 访问时生成的 access_key 和 secret_key，如 Red Hat Ceph Storage Object Gateway Configuration and Administration Guide 所述。将 PATH_TO_AWS 替换为您复制到 php 项目目录的提取 aws 目录的绝对路径。

   保存文件并退出编辑器。

7. 运行该文件：

   [user@dev ~]$ php -f conn.php | echo $?

   如果您在文件中正确提供了值，命令的输出将是 0。

8. 创建存储桶的新文件：

   [user@dev ~]$ vim create_bucket.php

   将以下内容粘贴到新文件中：

   语法

   <?php
   
   include 'conn.php';
   
   client->createBucket(array('Bucket' => 'my-new-bucket3'));
   
   ?>

   保存文件并退出编辑器。

9. 运行该文件：

   [user@dev ~]$ php -f create_bucket.php

10. 创建用于列出所拥有的存储桶的新文件：

    [user@dev ~]$ vim list_owned_buckets.php

    将以下内容粘贴到文件中：

    语法

    <?php
    
    include 'conn.php';
    
    blist = client->listBuckets();
    echo "Buckets belonging to " . blist['Owner']['ID'] . ":\n";
    foreach (blist['Buckets'] as b) {
        echo "{b['Name']}\t{b['CreationDate']}\n";
    }
    
    ?>

    保存文件并退出编辑器。

11. 运行该文件：

    [user@dev ~]$ php -f list_owned_buckets.php

    输出应类似于如下：

    my-new-bucket3 2020-01-21 10:33:19 UTC

12. 首先创建名为 hello.txt 的源文件，以创建对象：

    [user@dev ~]$ echo "Hello World!" > hello.txt

13. 创建新 php 文件：

    [user@dev ~]$ vim create_object.php

    将以下内容粘贴到文件中：

    语法

    <?php
    
    include 'conn.php';
    
    key         = 'hello.txt';
    source_file = './hello.txt';
    acl         = 'private';
    bucket      = 'my-new-bucket3';
    client->upload(bucket, key, fopen(source_file, 'r'), acl);
    
    ?>

    保存文件并退出编辑器。

14. 运行该文件：

    [user@dev ~]$ php -f create_object.php

    这将在 bucket my-new-bucket3 中创建对象 hello.txt。

15. 创建用于列出存储桶内容的新文件：

    [user@dev ~]$ vim list_bucket_content.php

    将以下内容粘贴到文件中：

    语法

    <?php
    
    include 'conn.php';
    
    o_iter = client->getIterator('ListObjects', array(
        'Bucket' => 'my-new-bucket3'
    ));
    foreach (o_iter as o) {
        echo "{o['Key']}\t{o['Size']}\t{o['LastModified']}\n";
    }
    ?>

    保存文件并退出编辑器。

16. 运行该文件：

    [user@dev ~]$ php -f list_bucket_content.php

    输出类似如下：

    hello.txt    12    Fri, 22 Jan 2020 15:54:52 GMT

17. 创建用于删除空存储桶的新文件：

    [user@dev ~]$ vim del_empty_bucket.php

    将以下内容粘贴到文件中：

    语法

    <?php
    
    include 'conn.php';
    
    client->deleteBucket(array('Bucket' => 'my-new-bucket3'));
    ?>

    保存文件并退出编辑器。

18. 运行该文件：

    [user@dev ~]$ php -f del_empty_bucket.php | echo $?

    如果删除了存储桶，命令会返回 0 作为输出。

    注意

    编辑 create_bucket.php 文件，以创建空存储桶，如 my-new-bucket4、 my-new-bucket5。然后，在尝试删除空存储桶前相应地编辑上述 del_empty_bucket.php 文件。

    重要

    PHP 2 和 aws-sdk 的新版本不支持删除非空存储桶。

19. 创建用于删除对象的新文件：

    [user@dev ~]$ vim delete_object.php

    将以下内容粘贴到文件中：

    语法

    <?php
    
    include 'conn.php';
    
    client->deleteObject(array(
        'Bucket' => 'my-new-bucket3',
        'Key'    => 'hello.txt',
    ));
    ?>

    保存文件并退出编辑器。

20. 运行该文件：

    [user@dev ~]$ php -f delete_object.php

    这将删除对象 hello.txt。

使用 STS 简化访问 S3 资源的工作流

1. 用户希望访问 Red Hat Ceph Storage 中的 S3 资源。
2. 用户需要针对 SSO 提供程序进行身份验证。
3. SSO 提供程序与 IDP 联合，检查用户凭据是否有效，用户通过身份验证，并且 SSO 为用户提供令牌。
4. 使用 SSO 提供的令牌，用户访问 Ceph 对象网关 STS 端点，要求假定一个 IAM 角色提供对 S3 资源的访问权限。
5. Red Hat Ceph Storage 网关接收用户令牌，并要求 SSO 验证令牌。
6. 在 SSO 验证令牌后，允许用户假定角色。通过 STS，该用户具有临时访问和 secret 密钥，用于授予用户对 S3 资源的访问权限。
7. 根据附加到用户假定的 IAM 角色的策略，用户可以访问一组 S3 资源。
8. 例如，存储桶 A 的读取并写入存储桶 B。

流程

1. 为 Ceph 对象网关客户端设置以下配置选项：

   语法

   ceph config set RGW_CLIENT_NAME rgw_sts_key STS_KEY
   ceph config set RGW_CLIENT_NAME rgw_s3_auth_use_sts true

   rgw_sts_key 是用于加密或解密会话令牌的 STS 密钥，且正好为 16 十六进制字符。

   重要

   STS 密钥需要是字母数字。

   示例

   [root@mgr ~]# ceph config set client.rgw rgw_sts_key 7f8fd8dd4700mnop
   [root@mgr ~]# ceph config set client.rgw rgw_s3_auth_use_sts true

2. 在 OpenStack 节点上生成 EC2 凭证：

   示例

   [user@osp ~]$ openstack ec2 credentials create
   
   +------------+--------------------------------------------------------+
   | Field      | Value                                                  |
   +------------+--------------------------------------------------------+
   | access     | b924dfc87d454d15896691182fdeb0ef                       |
   | links      | {u'self': u'http://192.168.0.15/identity/v3/users/     |
   |            | 40a7140e424f493d8165abc652dc731c/credentials/          |
   |            | OS-EC2/b924dfc87d454d15896691182fdeb0ef'}              |
   | project_id | c703801dccaf4a0aaa39bec8c481e25a                       |
   | secret     | 6a2142613c504c42a94ba2b82147dc28                       |
   | trust_id   | None                                                   |
   | user_id    | 40a7140e424f493d8165abc652dc731c                       |
   +------------+--------------------------------------------------------+

3. 使用生成的凭证，通过 GetSessionToken API 来备份一组临时安全凭证：

   示例

   import boto3
   
   access_key = b924dfc87d454d15896691182fdeb0ef
   secret_key = 6a2142613c504c42a94ba2b82147dc28
   
   client = boto3.client('sts',
   aws_access_key_id=access_key,
   aws_secret_access_key=secret_key,
   endpoint_url=https://www.example.com/rgw,
   region_name='',
   )
   
   response = client.get_session_token(
       DurationSeconds=43200
   )

4. 获取临时凭证可用于发出 S3 调用：

   示例

   s3client = boto3.client('s3',
     aws_access_key_id = response['Credentials']['AccessKeyId'],
     aws_secret_access_key = response['Credentials']['SecretAccessKey'],
     aws_session_token = response['Credentials']['SessionToken'],
     endpoint_url=https://www.example.com/s3,
     region_name='')
   
   bucket = s3client.create_bucket(Bucket='my-new-shiny-bucket')
   response = s3client.list_buckets()
   for bucket in response["Buckets"]:
     print "{name}\t{created}".format(
       name = bucket['Name'],
       created = bucket['CreationDate'],
     )

5. 创建新的 S3Access 角色并配置策略。

   1. 使用管理 CAPS 为用户分配：

      语法

      radosgw-admin caps add --uid="USER" --caps="roles=*"

      示例

      [root@mgr ~]# radosgw-admin caps add --uid="gwadmin" --caps="roles=*"

   2. 创建 S3Access 角色：

      语法

      radosgw-admin role create --role-name=ROLE_NAME --path=PATH --assume-role-policy-doc=TRUST_POLICY_DOC

      示例

      [root@mgr ~]# radosgw-admin role create --role-name=S3Access --path=/application_abc/component_xyz/ --assume-role-policy-doc=\{\"Version\":\"2012-10-17\",\"Statement\":\[\{\"Effect\":\"Allow\",\"Principal\":\{\"AWS\":\[\"arn:aws:iam:::user/TESTER\"\]\},\"Action\":\[\"sts:AssumeRole\"\]\}\]\}

   3. 将权限策略附加到 S3Access 角色：

      语法

      radosgw-admin role-policy put --role-name=ROLE_NAME --policy-name=POLICY_NAME --policy-doc=PERMISSION_POLICY_DOC

      示例

      [root@mgr ~]# radosgw-admin role-policy put --role-name=S3Access --policy-name=Policy --policy-doc=\{\"Version\":\"2012-10-17\",\"Statement\":\[\{\"Effect\":\"Allow\",\"Action\":\[\"s3:*\"\],\"Resource\":\"arn:aws:s3:::example_bucket\"\}\]\}

   4. 现在，另一个用户可以假定 gwadmin 用户的角色。例如，gwuser 用户可以假定 gwadmin 用户权限。

   5. 记录假定用户的 access_key 和 secret_key 值。

      示例

      [root@mgr ~]# radosgw-admin user info --uid=gwuser | grep -A1 access_key

6. 使用 AssumeRole API 调用，提供来自假定用户的 access_key 和 secret_key 值：

   示例

   import boto3
   
   access_key = 11BS02LGFB6AL6H1ADMW
   secret_key = vzCEkuryfn060dfee4fgQPqFrncKEIkh3ZcdOANY
   
   client = boto3.client('sts',
   aws_access_key_id=access_key,
   aws_secret_access_key=secret_key,
   endpoint_url=https://www.example.com/rgw,
   region_name='',
   )
   
   response = client.assume_role(
   RoleArn='arn:aws:iam:::role/application_abc/component_xyz/S3Access',
   RoleSessionName='Bob',
   DurationSeconds=3600
   )

   重要

   AssumeRole API 需要 S3Access 角色。

流程

1. 打开并编辑 Boto 的 auth.py 文件。

   1. 将以下四行添加到代码块中：

      class SigV4Auth(BaseSigner):
        """
        Sign a request with Signature V4.
        """
        REQUIRES_REGION = True
      
        def __init__(self, credentials, service_name, region_name):
            self.credentials = credentials
            # We initialize these value here so the unit tests can have
            # valid values.  But these will get overriden in ``add_auth``
            # later for real requests.
            self._region_name = region_name
            if service_name == 'sts': 1
                self._service_name = 's3' 2
            else: 3
                self._service_name = service_name 4

   2. 将以下两行添加到代码块中：

      def _modify_request_before_signing(self, request):
              if 'Authorization' in request.headers:
                  del request.headers['Authorization']
              self._set_necessary_date_headers(request)
              if self.credentials.token:
                  if 'X-Amz-Security-Token' in request.headers:
                      del request.headers['X-Amz-Security-Token']
                  request.headers['X-Amz-Security-Token'] = self.credentials.token
      
              if not request.context.get('payload_signing_enabled', True):
                  if 'X-Amz-Content-SHA256' in request.headers:
                      del request.headers['X-Amz-Content-SHA256']
                  request.headers['X-Amz-Content-SHA256'] = UNSIGNED_PAYLOAD 1
              else: 2
                  request.headers['X-Amz-Content-SHA256'] = self.payload(request)