Skip to main content
本产品推出了新版本。
简体中文版经机器翻译而成，仅供参考。如与英语版出现任何冲突，应以英语版为准。

StorageGRID 中 S3 客户端的安全性

PDF

StorageGRID 租户帐户使用 S3 客户端应用程序将对象数据保存至 StorageGRID。您应查看为客户端应用程序实施的安全措施。

摘要

以下列表总结了如何为 S3 REST API 实现安全性：

连接安全

TLS

服务器身份验证

由系统 CA 签名的 X.509 服务器证书或由管理员提供的自定义服务器证书

客户端身份验证

S3 账号访问密钥 ID 和密钥

客户端授权

存储桶所有权和所有适用的访问控制策略

StorageGRID 如何为客户端应用程序提供安全性

S3 客户端应用程序可以连接到网关节点或管理节点上的负载平衡器服务，也可以直接连接到存储节点。

  • 连接到负载均衡器服务的客户端可以使用 HTTPS 或 HTTP，具体取决于您如何"配置负载均衡器端点"。

    HTTPS 提供安全的 TLS 加密通信，建议使用。您必须将安全证书附加到端点。

    HTTP 提供安全性较低的未加密通信，应仅用于非生产或测试网格。

  • 连接到存储节点的客户端也可以使用 HTTPS 或 HTTP。

    HTTPS 是默认设置，建议使用。

    HTTP 提供安全性较低的未加密通信，但可以选择"启用"用于非生产或测试网格。

  • StorageGRID 和客户端之间的通信使用 TLS 进行加密。

  • 无论负载均衡器端点配置为接受 HTTP 还是 HTTPS 连接，网格中负载均衡器服务与存储节点之间的通信均会加密。

  • 客户端必须向 StorageGRID 提供 "HTTP 身份验证标头" 才能执行 REST API 操作。

安全证书和客户端应用程序

在所有情况下，客户端应用程序都可以使用网格管理员上传的自定义服务器证书或 StorageGRID 系统生成的证书进行 TLS 连接：

  • 当客户端应用程序连接到负载平衡器服务时，它们使用为负载平衡器端点配置的证书。每个负载平衡器端点都有自己的证书—由网格管理员上传的自定义服务器证书或网格管理员在配置端点时在 StorageGRID 中生成的证书。

    请参阅 "负载平衡注意事项"。

  • 当客户端应用程序直接连接到存储节点时，它们使用安装 StorageGRID 系统时为存储节点生成的系统生成的服务器证书（由系统证书颁发机构签名），或者使用网格管理员为网格提供的单个自定义服务器证书。请参阅 "添加自定义 S3 API 证书"。

应将客户端配置为信任对其用于建立 TLS 连接的任何证书进行签名的证书颁发机构。

TLS 库支持的哈希和加密算法

StorageGRID 系统支持一组密码套件，客户端应用程序可以在建立 TLS 会话时使用这些密码套件。要配置密码，请转到 配置 > 安全 > 安全设置，然后选择 TLS 和 SSH 策略。

支持的 TLS 版本

StorageGRID 支持 TLS 1.2 和 TLS 1.3。

备注 SSLv3 和 TLS 1.1（或更早版本）不再受支持。