Private Endpunkte in Object Storage

Mit Policys können Sie den Zugriff auf private Object Storage-Endpunkte begrenzen. In einer Policy ist definiert, wer wie auf Oracle Cloud Infrastructure-Ressourcen zugreifen kann. Weitere Informationen finden Sie unter Funktionsweise von Policys.

Weisen Sie einer Gruppe jeweils nur die geringsten Berechtigungen zu, die diese Gruppe benötigt, um ihre Zuständigkeiten ausführen zu können. Jede Policy enthält ein Verb, das beschreibt, welche Aktionen die Gruppe ausführen darf. Jede Policy enthält ein Verb, das beschreibt, welche Aktionen die Gruppe ausführen darf. Folgende Verben sind verfügbar (sortiert nach Berechtigung): inspect, read, use und manage.

Die folgenden Berechtigungen sind erforderlich, um die entsprechenden Vorgänge auszuführen:

Allow group groupName to manage objectstorage-private-endpoint in tenancy
Allow group groupName to manage virtual-network-family in tenancy

Es wird empfohlen, die folgenden IAM-Policys hinzuzufügen, um die Verwaltung privater Object Storage-Endpunkte zu ermöglichen:

Die folgenden Limits gelten für private Endpunkte in Object Storage:

• Sie können maximal 10 private Endpunkte in einem Mandanten verwenden.
• Sie können bis zu 10 Zugriffsziele für jeden privaten Endpunkt verwenden.
• Jeder private Endpunkt hat eine maximale Bandbreite von 25 Gbit/s.

Beachten Sie beim Erstellen vorab authentifizierter Anforderungen (PARs) über private Endpunkte die folgenden Punkte:

• Die PAR hat den vollqualifizierten Domainnamen (FQDN) des privaten Endpunkts als Teil der PAR-URL.
• Sie können eine PAR über den privaten Endpunkt für Buckets erstellen, die nur für Zugriffsziele zulässig sind.
• Sie können auch vom öffentlichen Endpunkt aus auf PAR-Buckets und -Objekte zugreifen, indem Sie den FQDN des privaten Endpunkts in der URL durch den öffentlichen Endpunkt ersetzen.

Weitere Informationen finden Sie unter Vorab authentifizierte Anforderungen.

Nachdem Sie einen privaten Object Storage-Endpunkt erstellt haben, kann er verwendet werden. Die vollqualifizierten Domainnamen (FQDNs), die aus der DNS-Präfixeingabe erstellt werden, können von der privaten DNS-Zone im VCN aufgelöst werden. Diese FQDNs werden zum Endpunkt, der in Anforderungen an Object Storage verwendet wird, um sicherzustellen, dass die Anforderungen den privaten Endpunkt durchlaufen.

Im Folgenden finden Sie ein Beispiel dafür, wie die FQDNs in den CLI-basierten Details eines privaten Endpunkts angezeigt werden:

oci os private-endpoint get --pe-name pe1
                 
{
  "data": {
    "access-targets": [
      {
        "bucket": "*",
        "compartment-id": "*",
        "namespace": "MyNamespace"
      }
    ],
    "additional-prefixes": [],
    "compartment-id": "ocid1.tenancy.oc1..exampleuniqueID",
    "created-by": "ocid1.user.region1..exampleuniqueID",
    "defined-tags": {},
    "etag": "017e1d8f-1013-477a-86a4-d4d03b473f74",
    "fqdns": {
      "additional-prefixes-fqdns": {},
      "prefix-fqdns": {
        "object-storage-api-fqdn": "pe1-MyNamespace.private.objectstorage.us-phoenix-1.oci.customer-oci.com",
        "s3-compatibility-api-fqdn": "pe1-MyNamespace.private.compat.objectstorage.us-phoenix-1.oci.customer-oci.com",
        "swift-api-fqdn": "pe1-MyNamespace.private.swiftobjectstorage.us-phoenix-1.oci.customer-oci.com"
      }
    },
    "freeform-tags": {},
    "id": "ocid1.privateendpoint.region1.sea.exampleuniqueID",
    "lifecycle-state": "ACTIVE",
    "name": "pe1",
    "namespace": "MyNamespace",
    "nsg-ids": [],
    "prefix": "pe1",
    "private-endpoint-ip": "10.0.0.2",
    "subnet-id": "ocid1.subnet.region1.sea.exampleuniqueID",
    "time-created": "2024-06-20T06:33:56.866000+00:00",
    "time-modified": "2024-06-20T06:36:01.820000+00:00"
  },
  "etag": "017e1d8f-1013-477a-86a4-d4d03b473f74"
}

Im Folgenden finden Sie ein Beispiel für das Abrufen von Details zu einem Objekt mit einem der FQDNs, die Sie mit der CLI erstellt haben:

oci os object get --namespace 'MyNamespace' --bucket-name 'MyBucket' --name MyObjectName --endpoint https://pe1-MyNamespace.private.objectstorage.us-phoenix-1.oci.customer-oci.com

Um eine sichere, private Konnektivität zu Object Storage sicherzustellen, empfehlen wir die folgenden Best Practices bei der Verwendung privater Endpunkte:

• Sie müssen Ingress für Port 443 mit einer der folgenden Methoden zulassen:
  • Hinzufügen einer Sicherheitslistenregel in die Standard-Sicherheitsliste. Diese Sicherheitsregel wird auf alle VNICs im Subnetz angewendet. Weitere Informationen finden Sie unter Sicherheitslisten.
  • Erstellen Sie eine Netzwerksicherheitsgruppe (NSG) mit der Sicherheitslistenregel des Ingresses, und nehmen Sie dann die NSG in die Erstellung des privaten Endpunkts auf. Diese NSG wird nur auf den privaten Endpunkt angewendet. Weitere Informationen finden Sie unter Netzwerksicherheitsgruppen. Wir empfehlen, diese Methode zu verwenden, da sie ein höheres Maß an Sicherheit bietet.
• Um eine mandantenübergreifende Datenexfiltration zu vermeiden, beginnen Sie mit einem konfigurierten Zugriffsziel wie Namespace = your_namespace, Compartment = *, Bucket = *. Mit dieser Konfiguration kann der private Endpunkt auf alle Buckets in allen Compartments in Ihrem Namespace zugreifen.
• Um den Zugriff auf mindestens einen Bucket, auf den der private Endpunkt zugreifen kann, weiter einzuschränken, beginnen Sie mit einem konfigurierten Zugriffsziel wie Namespace = <your_namespace>, Compartment = Compartment1, Bucket = Bucket1. Sie können bis zu 10 Buckets mit Zugriffszielen angeben.
• Verwenden Sie IAM-Policys im Bucket, sodass Anforderungen nur autorisiert werden, wenn sie von einem bestimmten VCN oder einem CIDR-Block in diesem VCN stammen. Alle anderen Zugriffe, auch über das Internet, werden für diese Buckets blockiert. Weitere Informationen finden Sie unter Netzwerkquellen verwalten.

  Im Folgenden finden Sie eine Beispiel-Policy zum Beschränken eines bestimmten Buckets auf eine bestimmte Netzwerkquelle:

  allow group groupName to manage objects in tenancy where all {target.bucket.name = 'bucketName', request.networkSource.name = 'networkSourceName'}

• Mindestens eine private DNS-Zone wird beim Erstellen eines privaten Endpunkts im VCN erstellt. Mit dieser privaten DNS-Zone kann der vollqualifizierte Domainname des privaten Endpunkts in die private IP-Adresse des privaten Endpunkts aufgelöst werden. Wenn Sie private Endpunkte verwenden, wird empfohlen, die DNS-Einträge in der privaten DNS-Zone des VCN nicht zu ändern. Eine Änderung dieser Einstellungen kann sich auf das Verhalten von Traffic und Anforderungen auswirken, die durch den privaten Endpunkt fließen.
• Um ein Subnetz oder VCN zu löschen, das einen privaten Endpunkt enthält, wird empfohlen, den privaten Endpunkt zu löschen, bevor Sie das Subnetz oder das VCN löschen.