스토리지 WORM 버킷 만들기

이 페이지에서는 Google Distributed Cloud (GDC) 에어 갭 어플라이언스 환경에서 Write Once Read Many (WORM) 스토리지 버킷을 만드는 방법을 안내합니다. 여기에서는 정의된 보관 기간으로 WORM 버킷을 만들고 역할 결합을 사용하여 액세스 권한을 부여하기 위한 사전 요구사항과 단계를 다룹니다. 이 정보를 사용하면 엄격한 데이터 보관 관행과 불변성을 적용하여 감사 로깅과 같은 기록 및 사용 사례를 위한 안정적이고 규정을 준수하는 데이터 스토리지를 제공할 수 있습니다.

이 페이지는 인프라 운영자 그룹의 IT 관리자 또는 GDC 에어 갭 환경에서 스토리지 버킷의 데이터 보관 및 규정 준수 설정을 관리하는 애플리케이션 운영자 그룹의 개발자와 같은 대상을 위한 것입니다.

시작하기 전에

프로젝트 네임스페이스는 관리 API 서버에서 버킷 리소스를 관리합니다. 버킷 및 객체로 작업하려면 프로젝트가 있어야 합니다.

또한 다음 작업을 수행하려면 적절한 버킷 권한이 있어야 합니다. 버킷 액세스 권한 부여를 참조하세요.

관리 API 서버에 대해 명령어를 실행하려면 관리 API 서버의 kubeconfig 파일이 없는 경우 로그인하고 생성합니다.

WORM 버킷 만들기

WORM 버킷은 다른 항목이 객체를 덮어쓰지 않도록 하고 최소 기간 동안 객체를 보관합니다. 감사 로깅은 WORM 버킷의 사용 사례입니다.

다음 단계에 따라 WORM 버킷을 만듭니다.

  1. 버킷을 만들 때 보관 기간을 설정합니다. 예를 들어 다음 예시 버킷의 보관 기간은 365일입니다.

    apiVersion: object.gdc.goog/v1
kind: Bucket
metadata:
  name: foo logging-bucket
  namespace: foo-service
spec:
  description: "Audit logs for foo"
  storageClass: Standard
  bucketPolicy :
    lockingPolicy :
      defaultObjectRetentionDays: 365

  2. 읽기 전용 액세스 권한이 필요한 모든 사용자에게 project-bucket-object-viewer 역할을 부여합니다.

    apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: foo-service
  name: object-readonly-access
roleRef:
  kind: Role
  name: project-bucket-object-viewer
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  namespace: foo-service
  name: foo-log-processor
- kind: User
  name: bob@example.com
  apiGroup: rbac.authorization.k8s.io

  3. 버킷에 콘텐츠를 써야 하는 사용자에게 project-bucket-object-admin 역할을 부여합니다.

    apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: foo-service
  name: object-write-access
roleRef:
  kind: Role
  name: project-bucket-object-viewer
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  namespace: foo-service
  name: foo-service-account