Настройка на Minio, за да може потребителят да работи само с неговия bucket

Minio е просто, бързо и съвместимо с AWS S3 хранилище за обекти. Minio е създаден за съхранение на неструктурирани данни, като снимки, видеозаписи, файлове с дневници и резервни копия. В Minio също така се поддържа разпределен режим (distributed mode), който предоставя възможност за свързване на много дискове, разположени на различни машини, към един сървър за съхранение на обекти.

Целта на този пост е да настроим Minio така, че всеки потребител да може да работи само с неговия bucket.

Като цяло, Minio е подходящ за следните случаи:

• хранилище без репликация върху надеждна файловата система с достъп по S3 (малки и средни хранилища, разположение на NAS и SAN);
• хранилище без репликация върху ненадеждна файловата система с достъп по S3 (за разработка и тестване);
• хранилище с репликация на малка група сървъри в една стелаж с достъп по протокола S3 (отказоустойчиво хранилище с домейн на отказа равен на стелажа).

На системи RedHat добавяме неофициален репозиторий на Minio.

yum -y install yum-plugin-copr
yum copr enable -y lkiesow/minio
yum install -y minio minio-mc

Генерираме и добавяме в MINIO_ACCESS_KEY и MINIO_SECRET_KEY в /etc/minio/minio.conf.

# Custom username or access key of minimum 3 characters in length.
MINIO_ACCESS_KEY=

# Custom password or secret key of minimum 8 characters in length.
MINIO_SECRET_KEY=

Ако няма да използвате nginx преди Minio, трябва да промените.

--address 127.0.0.1:9000

на

--address 0.0.0.0:9000

Стартираме Minio.

systemctl start minio

Създаваме връзка към Minio с име myminio.

minio-mc config host add myminio http://localhost:9000 MINIO_ACCESS_KEY 
MINIO_SECRET_KEY

Създаваме bucket user1bucket.

minio-mc mb myminio/user1bucket

Създаваме bucket user2bucket.

minio-mc mb myminio/user2bucket

Създаваме файл с политика user1-policy.json.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "s3:PutBucketPolicy",
        "s3:GetBucketPolicy",
        "s3:DeleteBucketPolicy",
        "s3:ListAllMyBuckets",
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::user1bucket"
      ],
      "Sid": ""
    },
    {
      "Action": [
        "s3:AbortMultipartUpload",
        "s3:DeleteObject",
        "s3:GetObject",
        "s3:ListMultipartUploadParts",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::user1bucket/*"
      ],
      "Sid": ""
    }
  ]
}

Създаваме файл с политика user2-policy.json.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "s3:PutBucketPolicy",
        "s3:GetBucketPolicy",
        "s3:DeleteBucketPolicy",
        "s3:ListAllMyBuckets",
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::user2bucket"
      ],
      "Sid": ""
    },
    {
      "Action": [
        "s3:AbortMultipartUpload",
        "s3:DeleteObject",
        "s3:GetObject",
        "s3:ListMultipartUploadParts",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::user2bucket/*"
      ],
      "Sid": ""
    }
  ]
}

Създаваме потребител user1 с парола test12345.

minio-mc admin user add myminio user1 test12345

Създаваме потребител user2 с парола test54321.

minio-mc admin user add myminio user2 test54321

Създаваме политика в Minio с наименование user1-policy от файла user1-policy.json.

minio-mc admin policy add myminio user1-policy user1-policy.json

Създаваме политика в Minio с наименование user2-policy от файла user2-policy.json.

minio-mc admin policy add myminio user2-policy user2-policy.json

Прилагаме политиката user1-policy към потребителя user1.

minio-mc admin policy set myminio user1-policy user=user1

Прилагаме политиката user2-policy към потребителя user2.

minio-mc admin policy set myminio user2-policy user=user2

Проверяваме свързаността на политиките с потребителите

minio-mc admin user list myminio

Проверка на свързаността на политиките с потребителите ще изглежда приблизително така

enabled    user1                 user1-policy
enabled    user2                 user2-policy

За по-голяма яснота влизаме през браузър на адрес http://ip-сервера-где-запущен-minio:9000/minio/

Виждаме, че сме свързани с Minio под MINIO_ACCESS_KEY=user1. За нас е наличен bucket user1bucket.

Не можем да създадем bucket, тъй като съответстващото Action в политиката липсва.

Създаваме файл в bucket user1bucket.

Свързваме се с Minio под MINIO_ACCESS_KEY=user2. За нас е наличен bucket user2bucket.

И не виждаме нито user1bucket, нито файлове от user1bucket.

Създадох Telegram чат по Minio https://t.me/minio_s3_ru

Източник: habr.com