WORM-Storage-Buckets für Projekte erstellen

Auf dieser Seite wird beschrieben, wie Sie WORM-Buckets (Write Once, Read Many) für isolierte Google Distributed Cloud-Speicher (GDC) erstellen.

Hinweis

Ein Projekt-Namespace verwaltet Bucket-Ressourcen auf dem Management API-Server. Sie benötigen ein Projekt, um mit Buckets und Objekten zu arbeiten.

Außerdem benötigen Sie die entsprechenden Bucket-Berechtigungen, um den folgenden Vorgang auszuführen. Weitere Informationen finden Sie unter Bucket-Zugriff gewähren.

WORM-Bucket erstellen

Ein WORM-Bucket sorgt dafür, dass Objekte nicht überschrieben werden, und bewahrt sie für einen Mindestzeitraum auf. Ein Anwendungsfall für einen WORM-Bucket ist beispielsweise die Audit-Protokollierung.

Hinweis: Wenn Sie versuchen, ein Objekt in einem WORM-Bucket zu überschreiben, wird eine neue Version des Objekts hinzugefügt. Erst nach Ablauf der Aufbewahrungsfrist eines WORM-Objekts, wie in der Bucket-Sperrrichtlinie festgelegt, können Sie mit dem Löschen von Objekten, Buckets und Projekten fortfahren.

So erstellen Sie einen WORM-Bucket:

1. Legen Sie beim Erstellen des Buckets einen Aufbewahrungszeitraum fest. Der folgende Beispiel-Bucket hat beispielsweise einen Aufbewahrungszeitraum von 365 Tagen.

   apiVersion: object.gdc.goog/v1
   kind: Bucket
   metadata:
     name: foo logging-bucket
     namespace: foo-service
   spec:
     description: "Audit logs for foo"
     storageClass: Standard
     bucketPolicy:
       lockingPolicy:
         defaultObjectRetentionDays: 365
   

2. Weisen Sie allen Nutzern, die Lesezugriff benötigen, die Rolle project-bucket-object-viewer zu:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     namespace: foo-service
     name: object-readonly-access
   roleRef:
     kind: Role
     name: project-bucket-object-viewer
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: ServiceAccount
     namespace: foo-service
     name: foo-log-processor
   - kind: User
     name: [e-mail]
     apiGroup: rbac.authorization.k8s.io
   

3. Weisen Sie Nutzern, die Inhalte in den Bucket schreiben müssen, die Rolle project-bucket-object-admin zu:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     namespace: foo-service
     name: object-write-access
   roleRef:
     kind: Role
     name: project-bucket-object-viewer
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: ServiceAccount
     namespace: foo-service
     name: foo-service-account