ユーザー、グループ、ポリシー

このページでは、日常的な IAM 管理として、ユーザーとグループの作成、ポリシーの割り当て、カスタムポリシードキュメントの記述を説明します。

要件Copy Anchor Link

• RustFS の管理コマンドを使う前に、rc をインストールします。
• 対応する admin:* アクションを許可する認証情報で、エイリアスを設定します。

ユーザーの管理Copy Anchor Link

ユーザーは Console（左ナビゲーションの Identity）、rc admin、または管理用 REST API から管理できます。ネイティブの管理エンドポイントは /rustfs/admin/v3 プレフィックスの下にあります。リクエストは、対応する admin:* アクションをポリシーで許可された認証情報によって署名する必要があります（AWS Signature V4）。

グループの管理Copy Anchor Link

グループはユーザーをまとめ、1 つのポリシー割り当てを全メンバーに適用します。グループのメンバーシップと状態は、次のエンドポイントで管理します（Console では Identity に対応する操作があります）。

メンバーシップ更新の本文は次のとおりです。

{
  "group": "developers",
  "members": ["alice", "bob"],
  "isRemove": false
}

isRemove を true にすると、列挙したメンバーを追加ではなく削除します。一時ユーザー（STS）とルート認証情報は、グループに追加できません。

ポリシーの割り当てCopy Anchor Link

ポリシーの割り当ては、名前付きポリシーをユーザーまたはグループに接続します。

ポリシードキュメントの管理Copy Anchor Link

ポリシードキュメントの形式Copy Anchor Link

ポリシードキュメントは、Version と Statement フィールドを持つ JSON オブジェクトです。受け付ける Version の値は 2012-10-17 だけです。

各ステートメントで使えるフィールドは次のとおりです。

アクション名には名前空間があります。オブジェクトとバケットの操作は s3:*（例: s3:GetObject、s3:PutObject、s3:DeleteObject、s3:ListBucket、s3:GetBucketLocation、s3:ListAllMyBuckets）、管理操作は admin:*、STS は sts:AssumeRole、キー管理は kms:* です。

対応する条件演算子には、次が含まれます。StringEquals、StringNotEquals、StringEqualsIgnoreCase、StringNotEqualsIgnoreCase、StringLike、StringNotLike、ArnEquals、ArnNotEquals、ArnLike、ArnNotLike、BinaryEquals、IpAddress、NotIpAddress、Null、Bool、NumericEquals、NumericNotEquals、NumericLessThan、NumericLessThanEquals、NumericGreaterThan、NumericGreaterThanEquals、DateEquals、DateNotEquals、DateLessThan、DateLessThanEquals、DateGreaterThan、DateGreaterThanEquals。任意の演算子には IfExists を付けられます（参照するコンテキストキーが存在しない場合、その条件は成立します）。

例: 1 つのバケットへの読み取り専用アクセスCopy Anchor Link

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetBucketLocation", "s3:ListBucket"],
      "Resource": ["arn:aws:s3:::reports"]
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": ["arn:aws:s3:::reports/*"]
    }
  ]
}

例: プレフィックスに制限した読み書きCopy Anchor Link

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": ["arn:aws:s3:::app-data"],
      "Condition": {
        "StringLike": {
          "s3:prefix": ["tenant-42/*"]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": ["arn:aws:s3:::app-data/tenant-42/*"]
    }
  ]
}

例: フルアクセスだが削除は拒否Copy Anchor Link

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:*"],
      "Resource": ["arn:aws:s3:::archive", "arn:aws:s3:::archive/*"]
    },
    {
      "Effect": "Deny",
      "Action": ["s3:DeleteObject", "s3:DeleteObjectVersion", "s3:DeleteBucket"],
      "Resource": ["arn:aws:s3:::archive", "arn:aws:s3:::archive/*"]
    }
  ]
}

組み込みポリシーCopy Anchor Link

RustFS には、事前に作成しなくても割り当てられる 5 つの組み込みポリシーがあります。