Skip to main content
Une version plus récente de ce produit est disponible.
La version française est une traduction automatique. La version anglaise prévaut sur la française en cas de divergence.

Sécurité des clients S3 dans StorageGRID

PDF

Les comptes locataires StorageGRID utilisent des applications clientes S3 pour enregistrer les données d'objets dans StorageGRID. Vous devez examiner les mesures de sécurité mises en œuvre pour les applications clientes.

Résumé

La liste suivante résume la manière dont la sécurité est mise en œuvre pour l'API REST S3 :

Sécurité de la connexion

TLS

Authentification du serveur

Certificat serveur X.509 signé par l'autorité de certification système ou certificat serveur personnalisé fourni par l'administrateur

Authentification du client

ID de clé d'accès au compte S3 et clé d'accès secrète

Autorisation du client

Propriété du compartiment et toutes les politiques de contrôle d'accès applicables

Comment StorageGRID assure la sécurité des applications clientes

Les applications clientes S3 peuvent se connecter au service d'équilibrage de charge sur les nœuds de passerelle ou les nœuds d'administration, ou directement aux nœuds de stockage.

  • Les clients qui se connectent au service Load Balancer peuvent utiliser HTTPS ou HTTP, selon la façon dont vous "configurer le point de terminaison de l'équilibreur de charge".

    Le protocole HTTPS assure une communication sécurisée et chiffrée (TLS) et est recommandé. Vous devez associer un certificat de sécurité au point de terminaison.

    Le protocole HTTP offre une communication moins sécurisée et non chiffrée et ne devrait être utilisé que pour les environnements hors production ou de test.

  • Les clients qui se connectent aux nœuds de stockage peuvent également utiliser HTTPS ou HTTP.

    HTTPS est le protocole par défaut et est recommandé.

    Le protocole HTTP offre une communication moins sécurisée et non chiffrée, mais peut être utilisé en option "activé" pour les environnements hors production ou de test.

  • Les communications entre StorageGRID et le client sont chiffrées à l'aide de TLS.

  • Les communications entre le service d'équilibrage de charge et les nœuds de stockage au sein de la grille sont chiffrées, que le point de terminaison de l'équilibreur de charge soit configuré pour accepter les connexions HTTP ou HTTPS.

  • Les clients doivent fournir "en-têtes d'authentification HTTP" à StorageGRID pour effectuer des opérations REST API.

Certificats de sécurité et applications clientes

Dans tous les cas, les applications clientes peuvent établir des connexions TLS en utilisant soit un certificat serveur personnalisé téléchargé par l'administrateur de la grille, soit un certificat généré par le système StorageGRID :

  • Lorsque les applications clientes se connectent au service d'équilibrage de charge, elles utilisent le certificat configuré pour le point de terminaison de l'équilibreur de charge. Chaque point de terminaison d'équilibrage de charge possède son propre certificat—soit un certificat serveur personnalisé chargé par l'administrateur de la grille, soit un certificat généré par l'administrateur de la grille dans StorageGRID lors de la configuration du point de terminaison.

    Voir "Considérations relatives à l'équilibrage de charge".

  • Lorsque des applications clientes se connectent directement à un nœud de stockage, elles utilisent soit les certificats serveur générés par le système pour les nœuds de stockage lors de l'installation du système StorageGRID (qui sont signés par l'autorité de certification du système), soit un certificat serveur personnalisé unique fourni pour la grille par un administrateur de la grille. Voir "ajoutez un certificat d'API S3 personnalisé".

Les clients doivent être configurés pour faire confiance à l'autorité de certification qui a signé le certificat qu'ils utilisent pour établir des connexions TLS.

Algorithmes de hachage et de chiffrement pris en charge pour les bibliothèques TLS

Le système StorageGRID prend en charge un ensemble de suites de chiffrement que les applications clientes peuvent utiliser lors de l'établissement d'une session TLS. Pour configurer les suites de chiffrement, accédez à Configuration > Sécurité > Paramètres de sécurité et sélectionnez Stratégies TLS et SSH.

Versions de TLS prises en charge

StorageGRID prend en charge TLS 1.2 et TLS 1.3.

Remarque SSLv3 et TLS 1.1 (ou versions antérieures) ne sont plus pris en charge.