Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID のアカウント同期について

共同作成者 netapp-lhalbert netapp-perveilerk
PDF

アカウント同期とは、1つ以上の"グリッドフェデレーション接続"内のStorageGRIDシステム間で、テナントアカウント、テナントグループ、テナントユーザー、およびオプションでS3アクセスキーを自動的かつ継続的に連続レプリケーションすることです。

"グリッド間レプリケーション"にはアカウント同期が必要です。StorageGRID システム間でアカウント情報を同期することで、テナントのユーザーとグループが、接続されている任意のグリッド上の対応するバケットとオブジェクトにアクセスできるようになります。

アカウント同期のワークフロー

ワークフロー図は、グリッド管理者と許可されたテナントがアカウント同期を設定するために実行する手順を示しています。これらの手順は、"グリッドフェデレーション接続が設定されました"の後に実行されます。

アカウント同期のワークフロー

Grid管理ワークフロー

グリッド管理者が実行する手順は、のStorageGRIDシステムでシングルサインオン（SSO）を使用するかアイデンティティフェデレーションを使用するかによって異なり"グリッドフェデレーション接続"ます。

アカウント同期のための SSO の設定（オプション）

グリッドフェデレーション接続のいずれかのStorageGRID システムでSSOを使用する場合は、両方のグリッドでSSOを使用する必要があります。グリッドフェデレーション用のテナントアカウントを作成する前に、テナントのソースグリッドとデスティネーショングリッドのグリッド管理者が次の手順を実行する必要があります。

手順

  1. 両方のグリッドに同じアイデンティティソースを設定します。を参照して "アイデンティティフェデレーションを使用する"

  2. 両方のグリッドに同じ SSO ID プロバイダー (IdP) を構成します。見る"シングルサインオンを設定します" 。

  3. "同じ管理者グループを作成します"両方のグリッドで同じフェデレーテッドグループをインポートする。

    テナントを作成するときに、このグループを選択して、ソースとデスティネーションの両方のテナントアカウントに対する初期のRootアクセス権限を割り当てます。

    メモ テナントを作成する前にこの管理者グループが両方のグリッドに存在していない場合、テナントはデスティネーションにレプリケートされません。

アカウント同期のためのグリッドレベルの ID フェデレーションを設定する（オプション）

どちらかのStorageGRID システムがSSOなしでアイデンティティフェデレーションを使用する場合は、両方のグリッドでアイデンティティフェデレーションを使用する必要があります。グリッドフェデレーション用のテナントアカウントを作成する前に、テナントのソースグリッドとデスティネーショングリッドのグリッド管理者が次の手順を実行する必要があります。

手順

  1. 両方のグリッドに同じアイデンティティソースを設定します。を参照して "アイデンティティフェデレーションを使用する"

  2. 必要に応じて、あるフェデレーテッドグループにソースとデスティネーションの両方のテナントアカウントに対する最初のRoot Access権限が付与される場合は、同じフェデレーテッドグループをインポートすることで、両方のグリッドで権限が付与され"同じ管理者グループを作成します"ます。

    メモ 両方のグリッドに存在しないフェデレーテッドグループにRoot Access権限を割り当てた場合、テナントはデスティネーショングリッドにレプリケートされません。

  3. フェデレーテッドグループに両方のアカウントに対する最初のRoot Access権限を付与しない場合は、ローカルrootユーザのパスワードを指定します。

許可されたS3テナントアカウントを作成します

SSOまたはアイデンティティフェデレーションを必要に応じて設定したら、グリッド管理者が次の手順を実行して、バケットオブジェクトを他のStorageGRID システムにレプリケートできるテナントを特定します。

手順

  1. テナントのアカウント同期操作のソースグリッドとして使用するグリッドを決定します。

    テナントが最初に作成されたグリッドは、テナントの_source grid_と呼ばれます。テナントがレプリケートされるグリッドは、テナントの_destination grid_と呼ばれます。

  2. そのグリッドで、新しいS3テナントアカウントを作成するか、既存のアカウントを編集します。

  3. Use grid federation connection *権限を割り当てます。

  4. テナントアカウントで独自のフェデレーテッドユーザを管理する場合は、* Use own identity source *権限を割り当てます。

    この権限が割り当てられている場合、フェデレーショングループを作成する前に、送信元と宛先のテナントアカウントの両方で同じIDソースを設定する必要があります。ソーステナントに追加されたフェデレーショングループは、両方のグリッドが同じIDソースを使用しない限り、宛先テナントに同期できません。

  5. 特定のグリッドフェデレーション接続を選択します。

  6. 新しいテナントまたは変更したテナントを保存します。

    [Use grid federation connection]*権限が設定された新しいテナントが保存されると、StorageGRID は次のように、そのテナントのレプリカをもう一方のグリッドに自動的に作成します。

    • 両方のテナントアカウントで、アカウントID、名前、ストレージクォータ、および権限が同じになります。

    • テナントに対してルートアクセス権限を持つフェデレーショングループを選択した場合、そのグループは宛先テナントに複製されます。ただし、フェデレーショングループおよびユーザーについては、継続的な同期は行われません。クローンは一度のみ実行されます。

    • テナントに対してルートアクセス権限を持つローカルユーザーを選択した場合、そのユーザーは宛先テナントに同期されます。

詳細については、"グリッドフェデレーションで許可されるテナントを管理します"を参照してください。

許可されているテナントアカウントのワークフロー

*グリッドフェデレーション接続の使用*権限を持つテナントが宛先グリッドにレプリケートされた後、許可されたテナントアカウントは、テナントグループ、ユーザー、およびS3アクセスキーを同期するために、以下の手順を実行できます。

手順

  1. 接続されているいずれかのグリッド上で、テナントアカウントにサインインしてください。

  2. 許可されている場合は、送信元テナントアカウントと宛先テナントアカウントの両方でIDフェデレーションを設定してください。

  3. 接続されたグリッド上でグループとユーザーを作成できます。

    テナントに新しいグループまたはユーザーが作成されると、StorageGRID はそれらを宛先テナントに自動的に同期します。

  4. S3アクセスキーを作成

  5. 必要に応じて、S3アクセスキーをソーステナントから宛先テナントに同期します。

許可されたテナントアカウントのワークフローの詳細、およびグループ、ユーザー、S3 アクセスキーの同期方法については、"テナントグループとユーザーを同期する"を参照してください。