Lorsque vous utilisez la compatibilité du protocole S3 dans Lindorm, un modèle d'autorisations contrôle l'accès aux buckets en correspondant directement aux autorisations au niveau des tables dans LindormTable. Comprendre cette correspondance vous permet de définir les autorisations minimales requises pour chaque utilisateur avant d'accorder l'accès.
Types d'autorisations
Cinq types d'autorisations contrôlent l'accès aux buckets. Appliquez-les au niveau Table, Namespace ou Global pour cibler un seul bucket, tous les buckets d'un namespace ou tous les buckets de l'instance.
| Autorisation | Opérations autorisées |
|---|---|
| READ | listObjects, getObject, headBucket, setTagging, getLifecycle |
| WRITE | putObject, multipartUpload, setTagging, setLifecycle |
| TRASH | deleteObject, deleteTagging, deleteLifecycle |
| ADMIN | Toutes les opérations READ, WRITE et TRASH |
| SYSTEM | Toutes les opérations READ, WRITE et TRASH (équivalent à ADMIN) |
Autorisations par défaut :
L'utilisateur root de LindormTable dispose des autorisations ADMIN et SYSTEM sur tous les buckets.
Les nouveaux utilisateurs ne disposent d'aucune autorisation sur les buckets. Accordez explicitement des autorisations avant qu'ils puissent accéder à un bucket.
Fonctionnement des autorisations sur les buckets
Chaque bucket correspond à une table portant le même nom dans le namespace lfsdata. Les autorisations sur un bucket sont identiques à celles de la table correspondante.
Par exemple, l'autorisation WRITE sur un bucket nommé testbucket équivaut à l'autorisation WRITE sur la table lfsdata.testbucket.
Pour créer un bucket, un utilisateur doit disposer d'autorisations d'écriture sur le namespace lfsdata.
Accorder et révoquer les autorisations sur les buckets
Deux méthodes sont disponibles :
Système de gestion de cluster : accorde des autorisations au niveau Namespace ou Global. Utilisez cette méthode pour appliquer une autorisation à tous les buckets d'un namespace simultanément.
Lindorm-cli : accorde des autorisations au niveau Table, Namespace ou Global. Privilégiez cette approche pour un contrôle granulaire par bucket.
Utiliser le système de gestion de cluster
Dans le système de gestion de cluster de LindormTable, vous pouvez accorder à un utilisateur des autorisations au niveau Namespace ou Global sur les buckets.
Par exemple, si vous accordez l'autorisation READ à user1 sur namespace1, user1 obtient un accès en lecture à tous les buckets de ce namespace.
Sélectionnez lfsdata pour namespace lors de l'attribution des autorisations dans le système de gestion de cluster.
Pour plus de détails, consultez la section « Grant permissions to a user » de la rubrique Gestion des autorisations pour le contrôle d'accès.
Utiliser Lindorm-cli avec GRANT et REVOKE
Avec Lindorm-cli, exécutez des instructions GRANT ou REVOKE pour des autorisations au niveau Table, Namespace ou Global, ce qui offre un contrôle précis par bucket.
Connectez-vous à LindormTable via Lindorm-cli. Pour les instructions de connexion, consultez la rubrique Utiliser Lindorm-cli pour se connecter à LindormTable et l'utiliser.
Accorder l'autorisation WRITE sur un bucket spécifique à user1 :
GRANT WRITE ON TABLE lfsdata.testbucket TO user1;Révoquer toutes les autorisations sur un namespace pour user1 :
REVOKE ADMIN ON SCHEMA lfsdata FROM user1;Pour connaître la syntaxe complète des commandes GRANT et REVOKE, consultez les rubriques GRANT et REVOKE.