オブジェクト・ストレージのセキュリティのガイドライン

事前認証済リクエストの作成者は、PAR_MANAGE権限と、付与するアクセス・タイプに対する適切なIAM権限を持っている必要があります。次のいずれかに対する読取り、書込みまたは読取り/書込みアクセス権を付与する事前認証済リクエストを作成できます:

• バケット内のすべてのオブジェクト

• バケット内の特定のオブジェクト。

• 指定された接頭辞を持つバケット内のすべてのオブジェクト。

複数のオブジェクトに適用されるリクエストの場合、ユーザーにそれらのオブジェクトのリスト表示を許可するかどうかを決定することもできます。

バケットへの事前認証済リクエスト・アクセスは、監査ログに記録されます。オブジェクトへの事前認証済リクエスト・アクセスは、サービス・ログに記録されます。

認可されたユーザーによる意図しない削除や悪意のある削除を防止することで、データ損失を最小限に抑えることができます。

• 「オブジェクト・バージョニング」を使用して、新しいオブジェクトがアップロードされるたびに、または既存のオブジェクトが上書きされるたびに、オブジェクト・バージョンを自動的に作成します。

• BUCKET_DELETE権限およびOBJECT_DELETE権限は、最小限のユーザーとグループに付与します。削除権限はテナンシ管理者およびコンパートメント管理者にのみ付与します。

WORM (Write Once Read Many)コンプライアンスには、オブジェクトは削除または変更できないことが求められます。保持ルールを使用してWORMコンプライアンスを実現します。保持ルールはバケット・レベルで構成され、バケット内の個々のオブジェクトすべてに適用されます。保持ルールを削除する(無期限ルール)か、または指定した期間(バインドされたルール)まで、オブジェクトまたはオブジェクト・メタデータを更新、上書きまたは削除できません。

オブジェクト・ストレージ保持ルール機能がレコード管理および保持の規制要件を満たす能力の独立評価については、Cohasset AssociateのSEC 17a-4(f)、 FINRA 4511(c)、 CFTC 1.31(c)-(d) and MiFID II Compliance Assessment PDFドキュメントを参照してください。

オブジェクトは、デバイスから返された無効なデータのファントム読取りおよび検出を回避するために、SHA-256チェックサムを使用してZFSファイル・システムに格納されます。

オブジェクト・ストレージにアップロードされたすべてのオブジェクトについてチェックサムが提供されます。チェックサムは、次の2つの方法で使用できます。

• 格納されたオブジェクトがアップロードされたオブジェクトであることを確認するため

• 取得されたオブジェクトが、最初に格納されたオブジェクトであることを確認します。

マルチパート・アップロードは、ラージ・オブジェクト・アップロードの効率性と回復性を実現するためにオブジェクト・ストレージ・サービスによって使用されます。マルチパート・アップロードでは、パート・サイズをMiBに指定すると、ラージ・オブジェクトが小さいパートに分割されます。各パートは個別にアップロードされます。その後、Object Storageがすべてのパートを結合し、元のオブジェクトを再作成します。いずれかのパートのアップロードが失敗した場合は、オブジェクト全体ではなく、失敗したパートのみのアップロードを再試行する必要があります。マルチパート・アップロードでは、アップロードの各部分についてチェックサム値が計算され、個々のすべてのチェックサム値に対して1つのチェックサムが計算されて、オブジェクト・アップロードによって報告されたチェックサム値が取得されます。マルチパート・アップロードで返される値を検証するには、オフライン・チェックサム計算と同じプロセスに従います。