Utilisateurs, groupes et politiques

Cette page couvre l’administration IAM au quotidien : création d’utilisateurs et de groupes, association de politiques et rédaction de documents de politique personnalisés.

PrérequisCopy Anchor Link

• Installez rc avant d’utiliser les commandes d’administration RustFS.
• Configurez un alias avec des identifiants autorisés à effectuer les actions admin:* correspondantes.

Gérer les utilisateursCopy Anchor Link

Les utilisateurs se gèrent depuis la Console (section Identity de la navigation de gauche), avec rc admin ou via l’API REST d’administration. Les points de terminaison d’administration natifs se trouvent sous le préfixe /rustfs/admin/v3. Les requêtes doivent être signées (AWS Signature V4) par un identifiant dont les politiques autorisent l’action admin:* correspondante.

:::note

Un nom d’utilisateur (clé d’accès) ne doit pas contenir d’espace et ne peut pas être identique à la clé d’accès racine. La clé secrète est obligatoire lors de la création d’un utilisateur.

:: :

Gérer les groupesCopy Anchor Link

Les groupes rassemblent des utilisateurs afin qu’une seule association de politique couvre tous les membres. L’appartenance et l’état d’un groupe se gèrent avec ces points de terminaison (la Console propose les équivalents sous Identity) :

Corps de mise à jour de l’appartenance :

{
  "group": "developers",
  "members": ["alice", "bob"],
  "isRemove": false
}

Réglez isRemove sur true pour retirer les membres indiqués au lieu de les ajouter. Les utilisateurs temporaires (STS) et l’identifiant racine ne peuvent pas être ajoutés à un groupe.

Associer des politiquesCopy Anchor Link

Une association relie une politique nommée à un utilisateur ou à un groupe :

Gérer les documents de politiqueCopy Anchor Link

Format du document de politiqueCopy Anchor Link

Un document de politique est un objet JSON comportant les champs Version et Statement. La seule valeur acceptée pour Version est 2012-10-17.

Chaque instruction prend en charge :

Les noms d’actions portent un préfixe d’espace de noms : s3:* pour les opérations sur les objets et les compartiments (par exemple s3:GetObject, s3:PutObject, s3:DeleteObject, s3:ListBucket, s3:GetBucketLocation, s3:ListAllMyBuckets), admin:* pour les opérations de gestion, sts:AssumeRole pour STS et kms:* pour la gestion des clés.

Les opérateurs de condition pris en charge sont : StringEquals, StringNotEquals, StringEqualsIgnoreCase, StringNotEqualsIgnoreCase, StringLike, StringNotLike, ArnEquals, ArnNotEquals, ArnLike, ArnNotLike, BinaryEquals, IpAddress, NotIpAddress, Null, Bool, NumericEquals, NumericNotEquals, NumericLessThan, NumericLessThanEquals, NumericGreaterThan, NumericGreaterThanEquals, DateEquals, DateNotEquals, DateLessThan, DateLessThanEquals, DateGreaterThan et DateGreaterThanEquals. Tout opérateur peut recevoir le suffixe IfExists (la condition est satisfaite lorsque la clé de contexte référencée est absente).

Exemple : accès en lecture seule à un compartimentCopy Anchor Link

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetBucketLocation", "s3:ListBucket"],
      "Resource": ["arn:aws:s3:::reports"]
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": ["arn:aws:s3:::reports/*"]
    }
  ]
}

Exemple : lecture et écriture limitées à un préfixeCopy Anchor Link

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": ["arn:aws:s3:::app-data"],
      "Condition": {
        "StringLike": {
          "s3:prefix": ["tenant-42/*"]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": ["arn:aws:s3:::app-data/tenant-42/*"]
    }
  ]
}

Exemple : accès complet, suppression refuséeCopy Anchor Link

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:*"],
      "Resource": ["arn:aws:s3:::archive", "arn:aws:s3:::archive/*"]
    },
    {
      "Effect": "Deny",
      "Action": ["s3:DeleteObject", "s3:DeleteObjectVersion", "s3:DeleteBucket"],
      "Resource": ["arn:aws:s3:::archive", "arn:aws:s3:::archive/*"]
    }
  ]
}

:::note

Un Deny explicite l’emporte toujours sur Allow : la seconde instruction s’applique donc aux opérations de suppression, même si s3:* les inclut. Voir la sémantique d’évaluation.

:: :

Politiques intégréesCopy Anchor Link

RustFS définit cinq politiques intégrées, associables sans les créer au préalable :

:::warning

La politique intégrée readonly ne comprend ni s3:ListBucket ni s3:ListAllMyBuckets. L’autorisation s3:GetBucketLocation vous permet de voir les noms des compartiments dans RustFS, et s3:GetObject vous permet de récupérer des objets dont vous connaissez la clé. Pour lister les objets d’un compartiment, ajoutez une politique personnalisée accordant s3:ListBucket sur ce compartiment.

:: :