IBM Cloud Object Storage (COS)-Protokollbereiche verwalten

Buckets stellen eine Möglichkeit dar, Ihre Daten in einer IBM Cloud Object Storage-Instanz zu organisieren.

Damit ein Benutzer Buckets verwalten kann, müssen ihm Berechtigungen für die Arbeit mit Buckets in der IBM Cloud Object Storage-Instanz erteilt werden. Weitere Informationen zu Rollen finden Sie unter Identitäts- und Zugriffsmanagementrollen.

Einen Protokollbereich erstellen

Wählen Sie 1 der folgenden Optionen aus, um einen Protokollbereich zu erstellen:

Schaufelanforderungen erstellen
Aktion	Weitere Informationen
Erstellen Sie einen Protokollbereich über die IBM Cloud Benutzerschnittstelle	Weitere Informationen
Erstellen Sie einen Protokollbereich über die IBM Cloud CLI	Weitere Informationen
Erstellen Sie einen Protokollbereich unter Verwendung von cURL.	Weitere Informationen
Erstellen eines Protokollbereichs mithilfe der REST-API	Weitere Informationen
Erstellen Sie einen Protokollbereich mit einer anderen Speicherklasse über die REST-API.	Weitere Informationen
Erstellen Sie einen Protokollbereich mit Key Protect oder Hyper Protect Crypto Services verwalteten Verschlüsselungsschlüsseln (SSE-KP) mit der REST-API	Weitere Informationen
Erstellen Sie einen Protokollbereich mit Terraform	Weitere Informationen

Um einen Protokollbereich zu erstellen, muss Ihr Benutzer über Managerberechtigungen für die IBM Cloud Object Storage Instanz verfügen, in der Sie den Protokollbereich erstellen möchten.

Protokollbereich über die IBM Cloud Benutzerschnittstelle erstellen

Führen Sie die folgenden Schritte aus, um einen Protokollbereich über die IBM Cloud Benutzerschnittstelle zu erstellen:

Wählen Sie im Navigationsmenü den Eintrag Ressourcenliste aus.
Wählen Sie die IBM Cloud Object Storage-Instanz aus, in der Sie das Bucket erstellen möchten.
Wählen Sie Buckets aus. Klicken Sie dann auf Bucket erstellen.

Wenn Sie eine Archivierung an einem in der EU verwalteten Standort konfigurieren, müssen Sie ein Bucket konfigurieren, das den Vorgaben für die Verwaltung in der EU und der DSGVO erfüllt. Weitere Informationen finden Sie unter Unterstützung der Europäischen Union.
Geben Sie einen Bucketnamen in das Feld Eindeutiger Bucketname ein.

Anmerkung: Alle Buckets in allen Regionen weltweit verwenden gemeinsam einen einzigen Namensbereich.
Wählen Sie den Typ der Ausfallsicherheit und einen Standort aus, an dem Ihre Daten physisch gespeichert werden sollen.

Ausfallsicherheit bezieht sich auf das Ausmaß des geografischen Bereichs, in dem Ihre Daten verteilt sind.

Eine regionsübergreifende Ausfallsicherheit verteilt Ihre Daten über verschiedene Ballungsräume.

Eine regionale Ausfallsicherheit verteilt Daten über einen einzelnen Ballungsraum.

Bei einem einzigen Rechenzentrum werden Daten nur auf Geräte an einem einzelnen Standort verteilt.

Weitere Informationen finden Sie in Regionen und Endpunkte auswählen.
Wählen Sie den Typ der Speicherklasse aus.

Sie können Buckets mit unterschiedlichen Speicherklassen erstellen. Treffen Sie die Auswahl der Speicherklasse für Ihr Bucket auf der Basis Ihrer Anforderungen bezüglich des Abrufs von Daten. Weitere Informationen finden Sie in Speicherklassen verwenden.

Es ist nicht möglich, die Speicherklasse eines Protokollbereichs zu ändern, sobald der Protokollbereich erstellt wurde. Ist eine Neuklassifizierung von Objekten erforderlich, müssen die Daten in ein Bucket mit der gewünschten Speicherklasse verschoben werden.
Fügen Sie optional zusätzliche Verschlüsselung zu Ihrem Protokollbereich hinzu. Konfigurieren Sie zum Beispiel Key Protect Key in Ihrem Protokollbereich, um Daten in Ruhe zu verschlüsseln.

Sie können nur zusätzliche Verschlüsselung hinzufügen, wenn Sie den Protokollbereich erstellen.

Alle Objekte werden standardmäßig mit zufällig generierten Schlüsseln und einer All-or-nothing-Transformation (AONT) verschlüsselt. Dieses Standardverschlüsselungsmodell bietet zwar Sicherheit für ruhende Daten, aber einige Workloads müssen im Besitz der verwendeten Verschlüsselungsschlüssel sein. Weitere Informationen finden Sie in Verschlüsselung verwalten.

Details der Protokollbereich-Konfiguration über die IBM Cloud Benutzerschnittstelle abrufen

Wenn Sie ein Ziel konfigurieren, benötigen Sie den Protokollbereichnamen und den privaten Endpunkt.

Führen Sie die folgenden Schritte aus, um die Details der Protokollbereichkonfiguration über die IBM Cloud Benutzerschnittstelle zu erhalten:

Wählen Sie im Navigationsmenü den Eintrag Ressourcenliste aus.
Wählen Sie die IBM Cloud Object Storage-Instanz aus, in der Sie das Bucket erstellen möchten.
Wählen Sie Buckets aus. Wählen Sie anschließend den Protokollbereich aus, den Sie zum Erfassen von Prüfereignissen verwenden möchten.
Wählen Sie Konfiguration aus. Suchen Sie nach dem Protokollbereichnamen und dem privaten Endpunkt.

API-Schlüssel für den Zugriff auf einen Protokollbereich generieren

Wenn die Aktivitätserfassung Prüfereignisse in Ihrem Konto erfasst, verwendet sie einen API-Schlüssel, um Daten in einen Protokollbereich hochzuladen. Daher müssen Sie Berechtigungsnachweise in Ihrem Konto definieren, um mit dem IBM Cloud Object Storage Service zu arbeiten.

Wenn Sie eine Region in Ihrem Konto konfigurieren möchten, um Prüfereignisse zu erfassen und in einem Protokollbereich zu speichern, benötigen Sie einen Serviceberechtigungsnachweis mit Berechtigungen zum Hochladen von Objekten in den Protokollbereich.

Weitere Informationen zum Erteilen von Zugriff auf eine Service-ID finden Sie unter Zugriff auf eine Service-ID erteilen.

Prüfereignisse für einen Protokollbereich erfassen

Sie können den IBM Cloud Logs -Service verwenden, um zu verfolgen, wie Benutzer und Anwendungen mit IBM Cloud Object Storage (COS) interagieren. Weitere Informationen zu den Prüfereignissen, die für einen Protokollbereich und seine Objekte generiert werden, finden Sie unter Activity Tracker-Ereignisse.

Wenn Sie Prüfereignisse für einen Protokollbereich erfassen möchten, sollten Sie die folgenden Informationen beachten:

Die Erfassung von Prüfereignissen in Ihrem Konto ist optional.
Sie müssen in der Konfiguration jedes Buckets Managementereignisse oder Management- und Datenereignisse aktivieren. Beachten Sie, dass Sie Datenereignisse nicht nur für ein Bucket aktivieren können.
Um Verwaltungsereignisse zu überwachen, müssen Sie einen Bucket konfigurieren und die Instanz IBM Cloud Logs angeben, in der diese Ereignisse gesammelt und weitergeleitet werden.
Um Datenereignisse zu überwachen, müssen Sie die Option Datenereignisse überwachen auswählen. Wählen Sie anschließend Lesen, Schreiben oder Lesen & schreiben aus, um Ereignisse zu erfassen, wenn ein Objekt in ein Bucket hochgeladen oder aus einem Bucket heruntergeladen wird.

Aktivieren Sie die Erfassung von Prüfereignissen, nachdem Sie die Aktivitätsüberwachung in dem Bereich konfiguriert haben, in dem sich der Protokollbereich befindet.

Objekte in einem Protokollbereich auflisten

Sie können eine der folgenden Methoden auswählen, um Objekte in einem Protokollbereich aufzulisten:

Objekte in einem bestimmten Protokollbereich mithilfe der Befehlszeilenschnittstelle auflisten.
Objekte in einem bestimmten Protokollbereich mithilfe der API auflisten
Listet Objekte in einem bestimmten Protokollbereich über die IBM Cloud Benutzerschnittstelle auf.

Objekte in einem bestimmten Protokollbereich über die IBM Cloud Benutzerschnittstelle auflisten

Führen Sie die folgenden Schritte aus, um die Objekte in einem Protokollbereich über die IBM Cloud Benutzerschnittstelle zu auflisten:

Wählen Sie im Navigationsmenü den Eintrag Ressourcenliste aus.
Wählen Sie die IBM Cloud Object Storage-Instanz aus, in der das Bucket verfügbar ist.
Wählen Sie Buckets aus.
Wählen Sie ein Bucket aus. Die Liste der Objekte wird angezeigt.

Zugriff auf einen Protokollbereich verwalten

Der Zugriff auf die Arbeit mit dem Object Storage Service wird durch IBM Cloud Identity and Access Management (IAM) gesteuert.

Jedem Benutzer oder jeder Service-ID, die auf den Object Storage Service in Ihrem Konto zugreift, muss eine Zugriffsrichtlinie mit einer definierten IAM-Rolle zugewiesen werden. Diese Richtlinie legt fest, welche Aktionen der Benutzer oder die Service-ID im Kontext des ausgewählten Service oder der ausgewählten Instanz ausführen kann. Die zulässigen Aktionen werden durch den IBM Cloud-Service angepasst und definiert als Operationen, die für den Service ausgeführt werden dürfen. Die Aktionen werden dann den IAM-Rollen zugeordnet.

Wenn Sie eine Richtlinie definieren möchten, müssen Sie zuerst den Geltungsbereich festlegen. Sie können eine Richtlinie definieren, um Zugriff in einem der folgenden Kontexte zu erteilen:

Über alle Instanzen des Service in Ihrem Konto
Für eine einzelne Serviceinstanz auf Ihrem Konto
Für einen bestimmten Protokollbereich in einer Instanz
Für alle IAM-fähigen Services auf Ihrem Konto

Nachdem Sie den Umfang der Zugriffsrichtlinie definiert haben, müssen Sie eine Rolle zuweisen.

Weitere Informationen dazu, welche Aktionen pro Rolle innerhalb des Object Storage Service zulässig sind, finden Sie unter Rollen für COS-Identität und Zugriffsmanagement.
Weitere Informationen zu Protokollbereich-Berechtigungen pro Rolle finden Sie unter Protokollbereich-Berechtigungen.
Informationen zum Zuordnen von Rollen finden Sie unter IAM-Zugriff verwalten.

IAM-Richtlinien werden hierarchisch umgesetzt, von der größten Zugriffsstufe bis zu den meisten Einschränkungen. Konflikte werden durch die permissivere Richtlinie gelöst. Wenn einem Benutzer beispielsweise sowohl die Servicezugriffsrolle Writer als auch die Servicezugriffsrolle Reader für einen Protokollbereich zugewiesen ist, wird die Richtlinie, mit der die Rolle Reader erteilt wird, ignoriert. Dies gilt auch für Richtlinien für Serviceinstanz- und Protokollbereich-Ebene, z. B.:

Wenn einem Benutzer durch eine Richtlinie die Rolle Writer für eine Serviceinstanz und die Rolle Reader für einen einzelnen Protokollbereich erteilt wird, so wird die Richtlinie auf Protokollbereichebene ignoriert.
Wenn einem Benutzer durch eine Richtlinie die Rolle Reader für eine Serviceinstanz und die Rolle Writer für einen einzelnen Protokollbereich erteilt wird, werden beide Richtlinien umgesetzt und die permissivere Rolle Writer erhält für den einzelnen Protokollbereich Vorrang.

Wenn Sie über die IAM-Berechtigung zum Erstellen von Richtlinien und Berechtigungen verfügen, können Sie nur die Zugriffsebene gewähren, die Sie als Benutzer des Zieldienstes haben. Wenn Sie beispielsweise für den Zieldienst über Viewer-Zugriff verfügen, können Sie nur die Viewer-Rolle für die Berechtigung zuweisen. Wenn Sie versuchen, eine höhere Berechtigung, wie z. B. Administrator, zuzuweisen, sieht es so aus, als ob die Berechtigung erteilt wird, jedoch wird nur die höchste Berechtigungsstufe, die Sie für den Zieldienst haben, d. h. Viewer, zugewiesen.

Um den Zugriff auf einen einzelnen Protokollbereich zu beschränken, stellen Sie sicher, dass die Benutzer-oder Service-ID keine Richtlinien auf Instanzebene hat.

Überwachen des Zustands eines Protokollbereichs

Sie können den IBM Cloud® Monitoring -Service zur Überwachung von Object Storage (COS) in der IBM Cloudverwenden. Weitere Informationen.

CLI-Befehle zum Verwalten von Protokollbereichen

Die folgenden Befehle können nützlich sein, wenn Sie mit Protokollbereichen arbeiten:

Überprüfen Sie, ob ein Protokollbereich auf Ihrem Konto über die Befehlszeilenschnittstelle vorhanden ist.

Führen Sie den folgenden Befehl aus, um festzustellen, ob ein Protokollbereich in einem IBM Cloud Object Storage -Exemplar auf Ihrem Konto vorhanden ist:

ibmcloud cos bucket-head --bucket BUCKET_NAME

Dabei ist BUCKET_NAME der Name des Protokollbereichs.