Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRIDでS3テナントのグループを作成する

PDF

S3ユーザーグループの権限は、フェデレーショングループをインポートするか、ローカルグループを作成することで管理できます。

開始する前に

グループ作成ウィザードにアクセスする

まず最初に、グループ作成ウィザードにアクセスしてください。

手順

  1. アクセス管理 ＞ グループ を選択します。

  2. テナントアカウントに「グリッドフェデレーション接続を使用する」権限が付与されている場合は、青いバナーが表示されることを確認してください。このバナーは、このグリッドで作成された新しいグループが、接続先の別のグリッド上の同じテナントに複製されることを示しています。このバナーが表示されない場合は、テナントの宛先グリッドにサインインしている可能性があります。

    テナントソースグリッドのグループページにある青いバナーの画像

  3. 「グループの作成」を選択します。

グループの種類を選択してください

ローカルグループを作成するか、フェデレーショングループをインポートすることができます。

手順

  1. ローカルグループを作成するには、*ローカルグループ*タブを選択し、以前に設定したIDソースからグループをインポートするには、*フェデレーショングループ*タブを選択します。

    StorageGRID システムでシングル サインオン（SSO）が有効になっている場合、ローカルグループに属するユーザーはテナントマネージャーにサインインできませんが、グループの権限に基づいてクライアントアプリケーションを使用してテナントのリソースを管理することは可能です。

  2. グループ名を入力してください。

    • ローカルグループ：表示名と一意の名前の両方を入力してください。表示名は後で編集できます。

      メモ テナントアカウントに Use grid federation connection 権限が付与されている場合、宛先グリッド上に同じ Unique name が既に存在すると、クローン作成エラーが発生します。

    • フェデレーテッドグループ：一意の名前を入力してください。Active Directory の場合、一意の名前は `sAMAccountName`属性に関連付けられた名前です。OpenLDAP の場合、一意の名前は `uid`属性に関連付けられた名前です。

  3. *続行*を選択します。

グループ権限の管理

グループ権限は、テナントマネージャーおよびテナント管理APIにおいて、ユーザーが実行できるタスクを制御します。

手順

  1. *アクセスモード*については、以下のいずれかを選択してください。

    • 読み書き可能（デフォルト）：ユーザーはテナントマネージャーにサインインして、テナント構成を管理できます。

    • 読み取り専用：ユーザーは設定と機能のみを表示できます。Tenant Manager またはテナント管理 API で変更を加えたり、操作を実行したりすることはできません。ローカルの読み取り専用ユーザーは、自分のパスワードを変更できます。

      メモ ユーザーが複数のグループに所属していて、いずれかのグループが読み取り専用に設定されている場合、ユーザーは選択されたすべての設定と機能に対して読み取り専用アクセス権を持つことになります。

  2. このグループに対して、1つ以上の権限を選択してください。

    "テナント管理権限"を参照してください。

  3. *続行*を選択します。

S3グループポリシーを設定する

グループポリシーによって、ユーザーが持つS3アクセス権限が決まります。

手順

  1. このグループに適用するポリシーを選択してください。

    グループポリシー 説明

    S3へのアクセスなし

    デフォルト。このグループのユーザーは、バケットポリシーによってアクセスが許可されない限り、S3リソースにアクセスできません。このオプションを選択すると、デフォルトではルートユーザーのみがS3リソースにアクセスできるようになります。

    読み取り専用アクセス

    このグループのユーザーは、S3リソースへの読み取り専用アクセス権を持ちます。例えば、このグループのユーザーは、オブジェクトの一覧表示や、オブジェクトのデータ、メタデータ、タグの読み取りを行うことができます。このオプションを選択すると、読み取り専用グループポリシーのJSON文字列がテキストボックスに表示されます。この文字列は編集できません。

    フル アクセス

    このグループのユーザーは、バケットを含むS3リソースへの完全なアクセス権を持ちます。このオプションを選択すると、フルアクセス権限を持つグループポリシーのJSON文字列がテキストボックスに表示されます。この文字列は編集できません。

    ランサムウェア対策

    このポリシー例は、このテナントのすべてのバケットに適用されます。このグループのユーザーは一般的な操作を実行できますが、オブジェクトのバージョン管理が有効になっているバケットからオブジェクトを完全に削除することはできません。

    *すべてのバケットを管理する*権限を持つ Tenant Manager ユーザーは、このグループポリシーを上書きできます。「すべてのバケットを管理する」権限は信頼できるユーザーのみに制限し、利用可能な場合は Multi-Factor Authentication （MFA）を使用してください。

    Custom

    グループ内のユーザーには、テキストボックスで指定した権限が付与されます。

  2. Custom を選択した場合は、グループポリシーを入力してください。各グループポリシーのサイズ制限は 5,120 バイトです。有効な JSON 形式の文字列を入力してください。

    グループポリシーに関する詳細情報（言語構文や例を含む）については、"グループポリシーの例"を参照してください。

  3. ローカルグループを作成する場合は、「続行」を選択します。フェデレーテッドグループを作成する場合は、「グループの作成」を選択し、「完了」を選択します。

ユーザーを追加する（ローカルグループのみ）

ユーザーを追加せずにグループを保存することもできますし、既存のローカルユーザーを任意で追加することもできます。

メモ テナントアカウントに「グリッドフェデレーション接続を使用する」権限が付与されている場合、ソースグリッドでローカルグループを作成する際に選択したユーザーは、グループが宛先グリッドに複製される際に含まれません。そのため、グループを作成する際にユーザーを選択しないでください。代わりに、ユーザーを作成する際にグループを選択してください。
手順

  1. 必要に応じて、このグループに1人以上のローカルユーザーを選択してください。

  2. 「グループの作成」と「完了」を選択します。

    作成したグループがグループ一覧に表示されます。

    テナントアカウントに「グリッドフェデレーション接続を使用する」権限があり、かつテナントのソースグリッド上にいる場合、新しいグループはテナントの宛先グリッドに複製されます。グループの詳細ページの概要セクションの「クローン作成ステータス」に「成功」と表示されます。