יצירת קטגוריות אחסון מסוג WORM לפרויקטים

בדף הזה מוסבר איך ליצור קטגוריות אחסון WORM ב-Google Distributed Cloud ‏ (GDC) עם בידוד פיזי.

לפני שמתחילים

מרחב שמות של פרויקט מנהל משאבי קטגוריות בשרת Management API. כדי לעבוד עם קטגוריות ואובייקטים, צריך פרויקט.

כדי לבצע את הפעולה הבאה, צריך גם הרשאות מתאימות ל-bucket. מידע נוסף זמין במאמר הענקת גישה לקטגוריות.

יצירת קטגוריה מסוג WORM

מאגר WORM מבטיח ששום דבר לא ידרוס אובייקטים ושומר אותם למשך תקופה מינימלית. רישום ביומן ביקורת הוא תרחיש שימוש לדוגמה לקטגוריית WORM.

הערה: אם תנסו להחליף אובייקט בדלי WORM, תוסיפו גרסה חדשה של האובייקט. רק אחרי שתקופת השמירה של אובייקט WORM, כפי שנקבעה במדיניות הנעילה של הקטגוריה, מסתיימת, אפשר להמשיך במחיקה של האובייקט, הקטגוריה והפרויקט.

כדי ליצור קטגוריה מסוג WORM:

1. מגדירים תקופת שמירה כשיוצרים את הקטגוריה. לדוגמה, בקטגוריה הבאה מוגדרת תקופת שמירה של 365 ימים.

   apiVersion: object.gdc.goog/v1
   kind: Bucket
   metadata:
     name: foo logging-bucket
     namespace: foo-service
   spec:
     description: "Audit logs for foo"
     storageClass: Standard
     bucketPolicy:
       lockingPolicy:
         defaultObjectRetentionDays: 365
   

2. הקצאת התפקיד project-bucket-object-viewer לכל המשתמשים שזקוקים לגישת קריאה בלבד:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     namespace: foo-service
     name: object-readonly-access
   roleRef:
     kind: Role
     name: project-bucket-object-viewer
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: ServiceAccount
     namespace: foo-service
     name: foo-log-processor
   - kind: User
     name: [e-mail]
     apiGroup: rbac.authorization.k8s.io
   

3. מקצים את התפקיד project-bucket-object-admin למשתמשים שצריכים לכתוב תוכן לדלי:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     namespace: foo-service
     name: object-write-access
   roleRef:
     kind: Role
     name: project-bucket-object-viewer
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: ServiceAccount
     namespace: foo-service
     name: foo-service-account