Crea buckets de almacenamiento WORM

En esta página, se explica cómo crear buckets de almacenamiento de tipo WORM (escritura única, lecturas múltiples) en entornos aislados de Google Distributed Cloud (GDC). Se incluyen los requisitos previos y los pasos para crear un bucket de tipo WORM con un período de retención definido y para otorgar permisos de acceso mediante vinculaciones de roles. Esta información te permite aplicar prácticas estrictas de retención de datos y de inmutabilidad, lo que proporciona un almacenamiento de datos sólido y compatible para registros y casos de uso como el registro de auditoría.

Esta página está destinada a públicos como los administradores de TI dentro del grupo de operadores de infraestructura o los desarrolladores dentro del grupo de operadores de aplicaciones que administran la retención de datos y la configuración de cumplimiento para los buckets de almacenamiento en entornos de GDC aislado. Para obtener más información, consulta Públicos de la documentación de Google Distributed Cloud aislado.

Antes de comenzar

Los buckets de almacenamiento son recursos con alcance en un proyecto específico. El proyecto actúa como un contenedor, agrupa tus buckets y permite su administración a través del servidor de la API de administración. Antes de realizar las operaciones en esta página, debes crear un proyecto nuevo o seleccionar uno existente en el que tengas los permisos suficientes.

Roles de IAM obligatorios

Comunícate con tu administrador de proyectos de IAM para solicitar los siguientes roles en tu espacio de nombres del proyecto:

  • Administrador de buckets de proyectos (project-bucket-admin): Crea, actualiza y borra buckets de almacenamiento.
  • Visualizador de objetos de buckets de proyectos (project-bucket-object-viewer): Visualiza y verifica los detalles de los buckets y objetos de almacenamiento.

Para obtener más información, consulta Otorga bucket buckets.

Prepara el entorno

Para ejecutar comandos en el servidor de la API de administración o en el servidor de la API global, haz lo siguiente:

  1. Accede y genera el archivo kubeconfig para el servidor de la API de administración zonal si no tienes uno.
  2. Para los buckets birregionales, haz lo siguiente:
    • Verifica con tu operador de infraestructura (IO) que se haya creado el recurso personalizado BucketLocationConfig para tus zonas vinculadas.
    • Genera el archivo kubeconfig para el servidor de la API global.

Crea un bucket de tipo WORM

Un bucket de tipo WORM garantiza que nada más reemplace los objetos y los retiene durante un período mínimo. El registro de auditoría es un ejemplo de caso de uso para un bucket de tipo WORM.

Sigue estos pasos para crear un bucket de tipo WORM:

  1. Establece un período de retención cuando crees el bucket. El período de retención define cuántos días se bloquea cada versión del objeto contra la eliminación o la modificación. Este período de retención es distinto de la duración mínima de almacenamiento de la clase de almacenamiento (como el mínimo de 30 días para la clase de almacenamiento Standard). Por ejemplo, el siguiente bucket establece un período de retención de 365 días. Comunícate con tu operador de infraestructura (IO) si necesitas superar los límites de la política de retención.

    apiVersion: object.gdc.goog/v1
kind: Bucket
metadata:
  name: foo-logging-bucket
  namespace: foo-service
spec:
  description: "Audit logs for foo"
  storageClass: Standard
  bucketPolicy:
    lockingPolicy:
      defaultObjectRetentionDays: 365

  2. Otorga el rol project-bucket-object-viewer a todos los usuarios que necesiten acceso de solo lectura:

    apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: foo-service
  name: object-readonly-access
roleRef:
  kind: Role
  name: project-bucket-object-viewer
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  namespace: foo-service
  name: foo-log-processor
- kind: User
  name: bob@example.com
  apiGroup: rbac.authorization.k8s.io

  3. Otorga el rol project-bucket-object-admin a los usuarios que necesiten escribir contenido en el bucket:

    apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: foo-service
  name: object-write-access
roleRef:
  kind: Role
  name: project-bucket-object-admin
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  namespace: foo-service
  name: foo-service-account