Cuando utiliza la compatibilidad con el protocolo S3 en Lindorm, un modelo de permisos controla el acceso a los buckets. Este modelo se asigna directamente a los permisos de tabla en LindormTable. Comprender esta correspondencia le permite planificar los permisos mínimos obligatorios para cada usuario antes de otorgar el acceso.
Tipos de permisos
Existen cinco tipos de permisos que controlan el acceso a los buckets. Estos se aplican a nivel de Table, Namespace o Global para determinar si afectan a un solo bucket, a todos los buckets de un namespace o a todos los buckets de la instancia.
|
Permiso |
Operaciones permitidas |
|
READ |
|
|
WRITE |
|
|
TRASH |
|
|
ADMIN |
Todas las operaciones de READ, WRITE y TRASH |
|
SYSTEM |
Todas las operaciones de READ, WRITE y TRASH (equivalente a ADMIN) |
Permisos predeterminados:
El usuario root de LindormTable cuenta con los permisos ADMIN y SYSTEM en todos los buckets.
Los usuarios recién creados no tienen permisos sobre ningún bucket. Otorgue los permisos de forma explícita antes de que puedan acceder a cualquier bucket.
Funcionamiento de los permisos de bucket
Cada bucket se asigna a una tabla con el mismo nombre dentro del namespace lfsdata. Los permisos de un bucket corresponden exactamente a los permisos de dicha tabla.
Por ejemplo, el permiso WRITE sobre un bucket llamado testbucket equivale al permiso WRITE sobre la tabla lfsdata.testbucket.
Para crear un bucket, el usuario debe tener permisos de escritura en el namespace lfsdata.
Otorgar y revocar permisos de bucket
Dispone de dos métodos:
Sistema de gestión del clúster: otorga permisos a nivel de Namespace o Global. Úselo cuando necesite aplicar un permiso a todos los buckets de un namespace de manera simultánea.
Lindorm-cli: otorga permisos a nivel de Table, Namespace o Global. Resulta más indicado para escenarios donde requiere control individual por bucket.
Uso del sistema de gestión del clúster
En el sistema de gestión del clúster de LindormTable, puede otorgar a un usuario permisos sobre los buckets a nivel de Namespace o Global.
Por ejemplo, si otorga el permiso READ al usuario user1 sobre namespace1, este obtendrá acceso de lectura a todos los buckets de dicho namespace.
Seleccione lfsdata en namespace cuando otorgue permisos desde el sistema de gestión del clúster.
Para conocer los pasos detallados, consulte la sección "Grant permissions to a user" en Permission management for access control.
Uso de Lindorm-cli con GRANT y REVOKE
Lindorm-cli le permite ejecutar instrucciones GRANT o REVOKE para permisos a nivel de Table, Namespace o Global. De esta forma, obtiene control individual sobre cada bucket.
Conéctese a LindormTable mediante Lindorm-cli. Para ver las instrucciones de conexión, consulte Use Lindorm-cli to connect to and use LindormTable.
Otorgar el permiso WRITE sobre un bucket específico al usuario user1:
GRANT WRITE ON TABLE lfsdata.testbucket TO user1;Revocar todos los permisos sobre un namespace al usuario user1:
REVOKE ADMIN ON SCHEMA lfsdata FROM user1;Para conocer la sintaxis completa de GRANT y REVOKE, consulte GRANT y REVOKE.