WORM-Storage-Buckets erstellen

Auf dieser Seite erfahren Sie, wie Sie WORM-Speicher-Buckets (Write Once Read Many) in Google Distributed Cloud (GDC) mit Air Gap erstellen. Dabei werden die Voraussetzungen und Schritte zum Erstellen eines WORM-Buckets mit einem definierten Aufbewahrungszeitraum sowie zum Erteilen von Zugriffsrechten mithilfe von Rollenbindungen behandelt. Mit diesen Informationen können Sie strenge Richtlinien zur Datenaufbewahrung und Unveränderlichkeit durchsetzen und so eine robuste und konforme Datenspeicherung für Aufzeichnungen und Anwendungsfälle wie die Audit-Protokollierung ermöglichen.

Diese Seite richtet sich an Zielgruppen wie IT-Administratoren in der Gruppe der Infrastrukturbetreiber oder Entwickler in der Gruppe der Anwendungsbetreiber, die die Einstellungen zur Datenaufbewahrung und Compliance für Speicher-Buckets in GDC-Umgebungen mit Air Gap verwalten.

Hinweis

Ein Projekt-Namespace verwaltet Bucket-Ressourcen auf dem Management API-Server. Sie benötigen ein Projekt, um mit Buckets und Objekten zu arbeiten.

Außerdem benötigen Sie die entsprechenden Bucket-Berechtigungen, um den folgenden Vorgang auszuführen. Weitere Informationen finden Sie unter Bucket-Zugriff gewähren.

Wenn Sie Befehle für den Management API-Server ausführen möchten, melden Sie sich an und generieren Sie die kubeconfig-Datei für den Management API-Server, falls Sie noch keine haben.

WORM-Bucket erstellen

Ein WORM-Bucket sorgt dafür, dass Objekte nicht überschrieben werden und für einen bestimmten Zeitraum aufbewahrt werden. Ein Anwendungsfall für einen WORM-Bucket ist die Audit-Protokollierung.

So erstellen Sie einen WORM-Bucket:

  1. Legen Sie beim Erstellen des Buckets einen Aufbewahrungszeitraum fest. Im folgenden Beispiel hat der Bucket einen Aufbewahrungszeitraum von 365 Tagen.

    apiVersion: object.gdc.goog/v1
kind: Bucket
metadata:
  name: foo logging-bucket
  namespace: foo-service
spec:
  description: "Audit logs for foo"
  storageClass: Standard
  bucketPolicy :
    lockingPolicy :
      defaultObjectRetentionDays: 365

  2. Erteilen Sie allen Nutzern, die schreibgeschützten Zugriff benötigen, die Rolle project-bucket-object-viewer:

    apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: foo-service
  name: object-readonly-access
roleRef:
  kind: Role
  name: project-bucket-object-viewer
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  namespace: foo-service
  name: foo-log-processor
- kind: User
  name: bob@example.com
  apiGroup: rbac.authorization.k8s.io

  3. Erteilen Sie Nutzern, die Inhalte in den Bucket schreiben müssen, die Rolle project-bucket-object-admin:

    apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: foo-service
  name: object-write-access
roleRef:
  kind: Role
  name: project-bucket-object-viewer
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  namespace: foo-service
  name: foo-service-account