Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Créer des buckets WORM de stockage pour les projets

Cette page explique comment créer des buckets WORM de stockage isolés de Google Distributed Cloud (GDC).

Avant de commencer

Les buckets de stockage sont des ressources limitées à un projet spécifique. Le projet agit comme un conteneur, regroupant vos buckets et permettant leur gestion via le serveur d'API Management. Avant de pouvoir effectuer les opérations décrites sur cette page, vous devez créer un projet ou en sélectionner un existant pour lequel vous disposez des autorisations suffisantes.

Rôles IAM requis

Contactez votre administrateur de projet IAM pour demander les rôles suivants dans l'espace de noms de votre projet :

Administrateur de buckets de projet (project-bucket-admin) : crée, met à jour et supprime des buckets de stockage.
Lecteur d'objets de buckets de projet (project-bucket-object-viewer) : affiche et vérifie les détails des buckets et des objets de stockage.

Pour en savoir plus, consultez la section Accorder l'accès à un bucket.

Préparer votre environnement

Pour exécuter des commandes sur le serveur d'API de gestion ou le serveur d'API global, procédez comme suit :

Connectez-vous et générez le fichier kubeconfig pour le serveur d'API de gestion zonale si vous n'en avez pas.
Pour les buckets birégionaux, procédez comme suit :
- Vérifiez auprès de votre opérateur d'infrastructure (IO) que la ressource personnalisée BucketLocationConfig a été créée pour vos zones appairées.
- Générez le fichier kubeconfig pour le serveur d'API global.

Créer un bucket WORM

Un bucket WORM garantit que rien d'autre n'écrase les objets et les conserve pendant une période minimale. L'audit logging est un exemple de cas d'utilisation d'un bucket WORM.

Pour créer un bucket WORM, procédez comme suit :

Définissez une période de conservation lors de la création du bucket. La période de conservation définit le nombre de jours pendant lesquels chaque version d'objet est verrouillée contre la suppression ou la modification. Cette période de conservation est distincte de la durée minimale de stockage de la classe de stockage (par exemple, le minimum de 30 jours pour la classe de stockage Standard). Par exemple, le bucket suivant définit une période de conservation de 365 jours. Contactez votre opérateur d'infrastructure (IO) si vous devez dépasser les limites de la règle de conservation.
```
apiVersion: object.gdc.goog/v1
kind: Bucket
metadata:
  name: foo-logging-bucket
  namespace: foo-service
spec:
  description: "Audit logs for foo"
  storageClass: Standard
  bucketPolicy:
    lockingPolicy:
      defaultObjectRetentionDays: 365
```

Accordez le rôle project-bucket-object-viewer à tous les utilisateurs qui ont besoin d'un accès en lecture seule :

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: foo-service
  name: object-readonly-access
roleRef:
  kind: Role
  name: project-bucket-object-viewer
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  namespace: foo-service
  name: foo-log-processor
- kind: User
  name: bob@example.com
  apiGroup: rbac.authorization.k8s.io

Accordez le rôle project-bucket-object-admin aux utilisateurs qui doivent écrire du contenu dans le bucket :

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: foo-service
  name: object-write-access
roleRef:
  kind: Role
  name: project-bucket-object-admin
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  namespace: foo-service
  name: foo-service-account