Object Storage 資格情報の取得
Object Storage で IBM Analytics Engine を使用するには、以下のどちらかの Object Storage 資格情報が必要です。
- API キー: IAM API キーと Object Storage サービス・エンドポイント
- HMAC キー: アクセス・キー、秘密鍵、Object Storage サービス・エンドポイント
Object Storage のアクセス管理
Object Storage に対する認証を安全に行うには、ID およびアクセス管理 (IAM) の概念と、Object Storage のコンテキストでサービス資格情報や API キーを使用する方法および状況を理解する必要があります。 サービス管理者は、IAM により、直接的なプラットフォーム・アクセスとサービス API 呼び出しの両方について、サービス・インスタンスとそのリソースに対するアクセス制御をきめ細かく柔軟に行うことができます。 IAM の概要を参照してください。
以下の図は、Object Storage のアクセス管理を示しています。
Object Storage 管理者は、以下の操作を実行できます。
サービス ID を作成する
Object Storage サービス・インスタンスにアクセスするために作成するサービス ID とは、ユーザーに結び付けられる ID ではなく、Object Storage のサービス ID です。
システム管理者は、以下の操作を実行できます。
-
インスタンス・レベル のアクセス権限を持つサービス ID を作成する
サービス・アクセス役割を資格情報に割り当てて、インスタンス内のすべて の Object Storage バケットに対するアクセス権限の程度を指定します。 リーダー、ライター、または管理者の役割のいずれかを指定できます。 必要であれば、同じインスタンスで、アクセス役割が異なるサービス ID を複数作成することができます。 インスタンス・レベルのサービス ID の作成方法を参照してください。
-
バケット・レベルのアクセス権限を持つサービス ID を作成する
サービス ID でアクセスできる、インスタンス内の Object Storage バケットを指定します。 この場合も、必要であれば、アクセスできるバケットが異なるサービス ID を複数作成することができます。 バケット・レベルのサービス ID の作成方法について参照してください。
サービス ID の共有
ユーザーが 1 人であればサービス ID 資格情報をすぐに使用することができます。 一方、複数のユーザーで Object Storage インスタンスを共有する必要がある場合は、Object Storage サービス管理者が以下の操作を実行します。
- サービス ID 資格情報を他のユーザーと共有する
- Object Storage インスタンス自体を (プラットフォーム・レベルで) 他のユーザーと共有して、そのユーザーが自分用の資格情報を参照できるようにする
サービス ID の構造
Object Storage のユーザーが、プロビジョンされたサービスのサービス ID 資格情報を表示すると、以下の例のような内容が表示されます。
{
"apikey": "asdf1234...",
"cos_hmac_keys": {
"access_key_id": "a1b2c3...",
"secret_access_key": "ZYX31..."
},
"endpoints": ...
}
IBM Analytics Engine を使用するように Object Storage を構成するには、API キーまたは HMAC 鍵が必要です。 API キー vs HMAC を参照してください。
サービス・エンドポイント
Object Storage のユーザーは、Object Storage を構成するために API キーまたは HMAC 鍵を知っていなければならないだけでなく、IBM Analytics Engine に接続するために Object Storage のサービス・エンドポイントも知っていなければなりません。 地域とエンドポイントの選択方法を参考に、Object Storage バケットのタイプ (Regional と Cross Regional のどちらかなど) に基づいて、使用するエンドポイントを決定してください。
Object Storage のダッシュボードでサービスを選択し、ナビゲーション・ペインの**「エンドポイント」をクリックして、IBM Cloud® サービスに使用できるすべての地域のエンドポイントを表示することもできます。 常にダイレクトエンドポイント**を選択する。 ダイレクト・エンドポイントは、パフォーマンスを向上させ、課金を発生させません。 米国南部クロス地域のエンドポイントの例を以下に示します:
s3.direct.us.cloud-object-storage.appdomain.cloud
ユーザーを招待して許可を付与する
Object Storage 管理者が、サービス資格情報を作成して共有することを望まない場合は、ユーザーを Object Storage アカウントに招待し、Object Storage バケットのアクセス・ポリシーを使用して、ユーザーに許可を付与することができます。 招待されたユーザーは、自分の IBM Cloud® API キーを使用してアカウントにアクセスします。 ユーザー・グループにアクセス権限を割り当てる方法を参照してください。
API キーの構造
Object Storage のユーザーが、IBM Cloud® で API キーを表示すると、以下の構造が表示されます。
{
"name": "MyAPIKey",
"description": "",
"createdAt": "2019-07...",
"apiKey": "lipsum999..."
}
Object Storage で使用する API キーが必要な場合は、API キーの作成を参照してください。
要約
以下のテーブルは、実行するアクションに対して選択する、Object Storage サービスへのアクセス方式を示しています。
| アクション | タイプ: サービス ID | タイプ: API キー |
|---|---|---|
| 資格情報の作成 | サービス管理者 | サービス・ユーザー |
| アクセス許可を付与する | サービス管理者 | サービス管理者 |
| 資格情報タイプを選択する | HMAC 鍵と IAM API キー | IAM API キーのみ |
| ユーザー役割とデータ・バケットのアクセスを制御する | ある | ある |