Et bienvenue dans cette vidéo dont nous allons discuter sur les frappes aériennes croisées qui se déroulent maintenant
dans de nombreuses organisations.
Il y a des exigences que certains blogs soient centralisés.
Et l'un des services où les blogs sont généralement centralisés est un livre d'histoire.
Supposons donc qu'il y ait trois deuxièmes comptes Atabay.
Va être dans une devise maintenant, en compte étant une devise.
Vous avez plusieurs instances de votre production en cours d'exécution.
Dans le cadre de la réclamation, vous avez l'exigence que tous les journaux qui font partie de l'U. S. deux instances doivent être
stockées pour les sept prochaines années.
Alors, où allez-vous stocker cela maintenant ?
Une option est soit vous allez créer un livre d'histoire, il peut être stocké.
Les journaux de cet historique le réenregistrent, créent un certificat dans un magasin de devises, tous les journaux du
compte y sont associés, etc.
Maintenant, cela fonctionnera, mais ce n'est pas vraiment évolutif.
De nos jours, les organisations ont des centaines de comptes et cette approche consistant à créer un marché libre dans
un compte Idalis local n'est pas la meilleure approche.
Donc, ce que vous ferez, mieux c'est que vous ayez un compte central, qui est la zone de compte.
Vous créez ici un compartiment à trois et tous les journaux de tous les autres comptes peuvent être stockés dans ce
compartiment S3 central.
Maintenant, ne faites pas que ces journaux peuvent également inclure des journaux d'autres services tels que Cloud Trail, Cloud Watch,
les journaux d'application, les journaux système, etc.
Or, généralement, ce qui se passe dans les entreprises, c'est que lorsque vous avez un S. UNE. M. solutions qui détectent les attaques de
sécurité et ainsi de suite, ces S. UNE. M. les systèmes ne sont pas directement connectés aux comptes individuels.
Ils sont connectés au compartiment S3 d'un compte central et à partir d'un compartiment à trois compartiments différents,
tous les journaux requis de tous les autres comptes disponibles dans le cadre de l'organisation.
Maintenant, pour y parvenir, vous devez créer un compartiment à trois qui permet l'accès à partir de plusieurs
comptes différents.
Et comment faire cela est quelque chose dont nous discuterons aujourd'hui avec.
Vous savez, chaque fois que vous concevez un accès au compartiment du compte S3, l'approche recommandée consiste à créer
une stratégie de compartiment.
Donc, ce qui va se passer, c'est que nous prenons en compte la simplicité.
Vous avez donc Al-Ghamdi, qui est le compte central, et vous avez le compte B, qui contient les deux
instances simples de l'environnement de production en cours d'exécution.
Donc, ce que vous voulez, vous voulez que le compte B stocke les données dans les trois compartiments de la comptabilité.
La méthode recommandée est donc de créer une nouvelle stratégie de compartiment et cette stratégie de compartiment, ce qu'elle indique, autorise
le compte B à envoyer les journaux vers le compartiment décentralisé.
Ainsi, une fois que vous avez associé cette stratégie de compartiment au compartiment centralisé, ce compartiment ira de l'avant et
permettra aux journaux d'être poussés, étant donné qu'ils proviennent du compte B, il s'agit donc d'un aperçu de très
haut niveau.
Voyons maintenant à quoi ressemble exactement cette stratégie de compartiment.
Voici donc la simple capture d'écran d'une stratégie de compartiment.
Maintenant, si vous voyez dans cette action de stratégie de compartiment, trois actions sont autorisées.
Vous devez objecter, mettre l'objet et mettre l'objet est.
Donc, en gros, ce que vous voulez, c'est que le compte soit pour pousser les données, pour centraliser le compartiment.
Vous ne voulez pas non plus vraiment diverses choses comme l'opération de suppression.
Sinon, disons que l'une des deux instances que vous voyez en action avec un attaquant compromis
peut essentiellement supprimer toutes les données du même compartiment.
Plus précisément, chaque fois que vous concevez un compte croisé, une stratégie à trois compartiments, il est
très important de n'autoriser que les actions requises minimales.
C'est très important.
Très bien.
Donc, l'action est un excellent objet, mettez l'objet et mettez les objets ici.
C'est bien pour l'époque.
Nous sommes maintenant dans des principes profonds.
C'est une partie très importante.
Vous spécifiez la zone du compte B, vous avez donc le numéro de compte suivi de l'itinéraire.
Ainsi, dans de tels cas, tout utilisateur du compte B ou de tout i. e. mêlés avec l'Inde peuvent envisager la bonne
politique leur dit qu'ils seront en mesure d'effectuer ces trois opérations sur la ressource, qui est
l'ordre central de Strathbogie.
C'est donc la politique de base du compartiment.
Faisons donc une chose.
Allons de l'avant et essayons les deux, qui discuteront des choses plus en détail.
Si similaire à l'architecture dont nous discutions pour la démo d'aujourd'hui, nous aurons deux comptes.
Vous avez maintenant des comptes et le compte B dans mon navigateur Chrome, j'ai un comté, nous le considérerons donc comme
notre comté.
Et j'ai un compte de plus, qui fait partie de mon navigateur Firefox, et nous le considérerons tel qu'il
sera.
Donc, à la fin de la vidéo, nous devrions pouvoir pousser les journaux du compte B vers le compte A de la cage thoracique
centralisée.
Alors d'abord, allons de l'avant et créons le budget centralisé.
Donc, dans mon navigateur Chrome, allons-y et créons un nouveau.
Appelons cela une fois mon trait d'union Gabey Labs Central, puis allons de l'avant et créons un seau Solares
parfait à trois.
Maintenant, si vous examinez les autorisations ici, revenons en arrière.
Ainsi, au sein de la politique de compartiment, à partir de maintenant, vous voyez que vous n'avez pas vraiment de politique de compartiment.
Cela signifie donc que les autres comptes ne pourront pas transmettre leurs données à la centrale de réservation.
Donc, ce dont nous avons besoin, c'est que nous voulons qu'une stratégie de compartiment soit activée ici.
Faisons donc une chose.
Allons de l'avant et ajoutons une stratégie de compartiment.
Donc, peu importait à quel point la politique à trois compartiments était centrale dont nous disposions et nous en avons déjà
discuté.
Vous avez donc trois actions et dans la ressource, vous avez le nom des trois buckets.
Maintenant, une partie importante dont nous discutons est que vous devez ajouter votre numéro de compte du
compte qui poussera les verrous vers ce compartiment supplémentaire auquel cette politique est associée.
Donc, à partir de mon Firefox, permettez-moi de copier le numéro de compte de vont être et je serai auditeur
d'État une fois.
Alors copions la politique de compartiment et permettez-moi d'être franc avec vous.
Voilà donc à quoi ça ressemble.
Allons de l'avant et enregistrons la modification.
Parfait.
Une stratégie à trois compartiments est-elle donc ajoutée avec succès ?
Super.
Notre première partie est donc terminée.
Maintenant, la deuxième partie est liée à la configuration responsable.
Maintenant, pour cet exemple, nous avions utilisé deux instances, mais il peut aussi s'agir d'un Amusa.
Disons que je suis un utilisateur du compte B et que je souhaite télécharger une liste de centres de données critiques. L'utilisateur final devrait
également pouvoir le faire.
Donc, pour la vidéo d'aujourd'hui, nous allons continuer et créer un nouvel utilisateur AYAM à des fins de test.
Passons donc rapidement au service de fin à partir du compte B et
à l'intérieur.
Allons de l'avant et créons un nouvel utilisateur juste pour plus de simplicité.
On va juste appeler ça.
Les utilisateurs vont donner à l'utilisateur des autorisations d'accès par programmation.
Évitons dès maintenant et nous allons continuer et créer l'utilisateur.
Parfait.
Maintenant, juste pour simplifier notre objectif de test, j'ai également une position facile avec Amazon Linux.
Et dans cette tâche facile, puisque je crée un nouvel utilisateur et un nom d'utilisateur, les
qualités de lezzies vont être Orleck et nous allons passer l'utilisateur au compte B et à l'intérieur de cet utilisateur
associerons l'accès Kadian Secret Access.
Voyons donc les barboteurs configurer.
Je vais ajouter la clé d'accès.
Gardons-en une clé d'accès secrète et le nom de la région.
Utilisons simplement la région par défaut de deux USD et même notre seau est créé presque parfait.
Notre compte est donc associé aux identifiants établis.
À ce stade, lorsque vous effectuez un estriol, vous devriez voir l'accès dont ils ont besoin, principalement parce que
vous n'avez pas vraiment de stratégie IAM associée à ce compte.
Maintenant, la deuxième partie importante de cette architecture est que l'entité IBM, peut-être que je suis un utilisateur ou Ambro, doit également
avoir l'autorisation de pousser les données pour centraliser le rebudgétisation.
Ce n'est pas comme si vous aviez autorisé la stratégie de compartiment dans Rivergate centralisé et toutes les entités IAM du
compte.
Nous pourrons le faire.
La police doit également être associée au compte modifié.
Nous devons donc créer une nouvelle stratégie IAM pour l'utilisateur IAM que nous avons créé et que nous allons
devenir.
Et ce que cette politique nous permet de faire.
Encore une fois, les réactions get object, put object et put object sont ici et ici nous sommes en train de spécifier, de décentraliser,
de travailler dessus.
J'espère donc que vous avez compris l'importance de la politique des acronymes.
Nous allons donc aller de l'avant et copier cette politique ici et associer cette politique IAM au compte
qui doit être Amusa.
Ouvrons donc l'utilisateur ici.
Ajoutons qu'une nouvelle politique en ligne ira à Jason.
J'ai basé la politique ici.
Faisons une politique d'examen et le nom du compte croisé de l'escalator de Liz est trois va aller de l'avant et créer une
politique.
Parfait.
Alors maintenant, toute la configuration nécessaire pour le compte et l'achonwa est terminée.
Alors testons les choses.
Donc, ce que je fais, je vais d'abord télécharger des exemples de données dans le compartiment d'attributs de la comptabilité.
C'est donc quelque chose que nous pouvons faire directement depuis la console elle-même.
Faisons cela.
Je définis le fichier.
Vous pouvez simplement ajouter n'importe quel fichier temporaire que vous avez dans votre système.
Parfait.
Le fichier est donc ajouté dans le bucket central.
Maintenant, puisque dans la politique de compartiment, nous avons autorisé l'objet gate, cela signifie essentiellement l'immensité
du compte.
Nous devrions pouvoir récupérer les données de l'histoire.
Alors, à partir du compte, essayons-le.
Je dirai que l'endroit est trois.
Essayez de copier les données, ce qui revient à payer pour DataDot, et le budget sera probablement moins central et sera
le contenu ici.
Et vous voyez que l'opération de téléchargement fonctionne parfaitement bien.
Donc, si je fais une petite zone, nous devons payer pour DataDot.
Ces choses fonctionnent donc comme prévu.
De même, essayons également de télécharger des données de votre part.
Créons donc un nouveau fichier, je l'appellerai comme compte B dot text et essayons de copier ce fichier en tant que trois
comptes stricts B, et nous voulons le recoller au centre de mon trait d'union gauche.
Et vous voyez que le téléchargement fonctionne également parfaitement bien.
Alors maintenant, si je rafraîchis la page ici, vous devriez voir que vous avez pris en compte et que le point est également disponible.
Super.
J'espère donc qu'avec cela, vous avez compris à un niveau élevé le flux de travail derrière le succès du contenu
de Corozal.
Mais à ce stade, nous n'avons pas encore terminé.
C'est une partie très importante qui doit également être examinée.
Nous en discuterons en détail dans la prochaine vidéo.
Mais je vais juste vous donner un aperçu du problème auquel vous serez confronté dans cette architecture.
Maintenant, ce qui s'est passé, c'est que ces deux fichiers font partie de ce compartiment, mais les
autorisations associées à ces deux fichiers sont complètement différentes.
Examinons-le rapidement maintenant pour le compte.
Soyez sale chaque fois que je vais de l'avant et que j'essaie de télécharger ce fichier.
Vous voyez, je reçois un message d'accès refusé.
Très intéressant de la même manière, les fichiers téléchargés depuis le compte lui-même.
Lorsque j'essaie de télécharger ce fichier, essayons de le faire.
Vous voyez, le téléchargement du fichier fonctionne parfaitement.
Donc, la principale raison pour laquelle cela ne fonctionne pas est que ce compte de fichier financé ou B est associé au compte
B et que le prochain fichier à payer pour DataDot est associé au compte A maintenant, bien que j'aie un accès administratif
au compte E, cela ne signifie pas que j'ai des autorisations ou des fichiers qui ont été
téléchargés à partir du compte, alors je vais en discuter en détail.
Mais il est très important de savoir que si vous l'implémentez dans un environnement de production,
j'ai vu ce problème où plusieurs équipes collaborent dans un compartiment S3 central et l'autre équipe télécharge
toutes leurs données dans des centaines de gigaoctets.
Et plus tard, ils se rendent compte que toutes les données qui ont été téléchargées dans le compartiment S3 central, aucun des utilisateurs
de notre comté n'a pu y accéder.
C'était donc un peu pénible et nous discuterons des raisons pour lesquelles cela se produit et de la meilleure façon de résoudre ce problème.
Donc, avec cela se terminera la vidéo d'aujourd'hui.