Lustreポリシーを使用したファイル・ストレージ

ポリシー・ステートメント全体の構文:

allow <subject> to <verb>
                    <resource-type> in <location> where <condition>
                

たとえば、次のように指定できます。

• <subject> として、グループまたは動的グループの名前またはOCID。または、any-userを使用して、テナンシ内のすべてのユーザーを含めることができます。

• <subject> に1つ以上の権限のアクセス権を付与するため、 <verb> として、inspect、read、useおよびmanage。

  inspect、read、use、manageと進むに連れて、アクセス権のレベルは一般に高くなり、付与される権限は累積されます。たとえば、useには、readに加えて更新する権限が含まれます。

• resource-type にはリソースのファミリ(virtual-network-familyなど)。または、vcnsやsubnetsなど、ファミリ内の個々のリソースを指定できます。

• <location> として、コンパートメントの名前またはOCID。または、tenancyを使用して、テナンシ全体を含めることができます。

ポリシーの作成の詳細は、ポリシーの開始およびポリシー参照を参照してください。

Lustreリソースを使用してファイル・ストレージへのアクセス権をユーザーに付与するには、Lustreリソース・タイプを使用してファイル・ストレージでIAMポリシーを作成します。

File Storage with Lustreサービスは、すべての一般的な変数とここにリストされている変数をサポートしています。

OCIサービスでサポートされる一般的な変数の詳細は、すべてのリクエストの一般的な変数に関する項を参照してください。

次の表は、OCI Database with PostgreSQLのAPI操作を論理的な順序で、リソース・タイプ別にグループ化したものです。

リソース・タイプは、lustre-file-systemおよびlfs-work-requestです。

権限の詳細は、権限を参照してください。

Lustreファイル・システムがデータをObject Storageと同期するには、その前に特定の権限を付与する必要があります。これを行うには、Lustreファイル・システムがオブジェクト・ストレージ・バケット内のオブジェクトを読み取って管理できるようにするIdentity and Access Management (IAM)ポリシーを作成します。

オブジェクト・ストレージ・バケットには明示的な権限は必要ありません。かわりに、オブジェクトの読取りおよび管理権限をLustreリソースに付与することで、バケットへのアクセスを制御します。

次の例を使用して、ファイル・システムに必要なポリシーおよび独自のキーでファイル・システムを暗号化する場合に必要となるポリシーに加えて、共通ポリシーを作成します。

allow group lfsadminusers to use lustre-file-family in compartment <file_system_compartment>
                        

resource.type='lustrefilesystem'

All {resource.type = 'lustrefilesystem', resource.compartment.id = '<comp_ocid>'}

allow dynamic-group lustre-fs-group to read buckets in tenancy
allow dynamic-group lustre-fs-group to manage objects in tenancy

allow dynamic-group lustre-fs-group to read buckets in compartment <comp id or name e.g. cell:compute-data>
allow dynamic-group lustre-fs-group to manage objects in compartment <comp id or name e.g. cell:compute-data>

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem'}

allow any-user to read buckets in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}
allow any-user to manage objects in compartment <comp id or name e.g. cell:compute-data> where ALL { request.principal.type = 'lustrefilesystem' , target.bucket.tag.<tag-namespace>.<tag-key> = <"tag-value">}