1. ヘッダー文字列の値を取得します。
2. 要求ヘッダー文字列を正規形式に正規化します。
3. SHA-1 ハッシュアルゴリズムを使用して HMAC を生成します。
4. hmac の結果を base-64 としてエンコードします。

1. すべての content- ヘッダーを取得します。
2. content-type および content-md5 以外の content- ヘッダーをすべて削除します。
3. content- ヘッダー名が小文字であることを確認します。
4. content- ヘッダーの辞書式で並べ替えます。
5. Date ヘッダー AND があることを確認します。指定した日付が、オフセットではなく GMT を使用していることを確認してください。
6. x-amz- で始まるヘッダーをすべて取得します。
7. x-amz- ヘッダーがすべて小文字であることを確認します。
8. x-amz- ヘッダーの辞書式で並べ替えます。
9. 同じフィールド名の複数のインスタンスを単一のフィールドに組み合わせ、フィールド値をコンマで区切ります。
10. ヘッダー値の空白文字および改行文字を、単一スペースに置き換えます。
11. コロンの前後に空白を削除します。
12. 各ヘッダーの後に新しい行を追加します。
13. ヘッダーを要求ヘッダーにマージします。

1. オペレーティングシステムに基づく指示に従って、ゲートウェイサーバーを適切に設定します。

   1. Red Hat Enterprise Linux の場合は、Red hat Enterprise Linux Installation Guide の Ceph Object Gateway Installation の 章を参照してください。
   2. Ubuntu の場合は、Installation Guide for Ubuntu の Ceph Object Gateway Installation の章を参照してください。
2. Ceph 設定ファイルを変更してポート 80 を使用するようにし、Civetweb がデフォルトの Ansible に設定されたポートである 8080 を使用することは変更 しないでください。

3. root で、ファイアウォールのポート 8080 を開きます。

   # firewall-cmd --zone=public --add-port=8080/tcp --permanent
   # firewall-cmd --reload

4. オブジェクトゲートウェイガイド で説明されているように、ゲートウェイに使用する DNS サーバーにワイルドカードを追加します。

   ローカル DNS キャッシュ用のゲートウェイノードを設定することもできます。これを実行するには、以下の手順を実行します。

   1. root で dnsmasq をインストールおよび設定します。

      # yum install dnsmasq
      # echo "address=/.<FQDN_of_gateway_node>/<IP_of_gateway_node>" | tee --append /etc/dnsmasq.conf
      # systemctl start dnsmasq
      # systemctl enable dnsmasq

      &lt ;IP_of_gateway_node > および < FQDN_of_gateway_node > をゲートウェイノードの IP アドレスと FQDN に置き換えます。

   2. root で NetworkManager を停止します。

      # systemctl stop NetworkManager
      # systemctl disable NetworkManager

   3. root として、ゲートウェイサーバーの IP を名前空間として設定します。

      # echo "DNS1=<IP_of_gateway_node>" | tee --append /etc/sysconfig/network-scripts/ifcfg-eth0
      # echo "<IP_of_gateway_node> <FQDN_of_gateway_node>" | tee --append /etc/hosts
      # systemctl restart network
      # systemctl enable network
      # systemctl restart dnsmasq

      &lt ;IP_of_gateway_node > および < FQDN_of_gateway_node > をゲートウェイノードの IP アドレスと FQDN に置き換えます。

   4. サブドメイン要求を確認します。

      $ ping mybucket.<FQDN_of_gateway_node>

      &lt ;FQDN_of_gateway_node> をゲートウェイノードの FQDN に置き換えます。

      警告

      ローカルの DNS キャッシュ用にゲートウェイサーバーを設定することは、テスト目的のみを目的としています。これを行った後は、外部ネットワークにはアクセスできなくなります。Ceph クラスターおよびゲートウェイノードに適切な DNS サーバーを使用することを強く推奨します。

5. Ubuntu の Object Gateway Guide for Red Hat Enterprise Linux または Object Gateway Guide に記載のとおり、S3 アクセスの radosgw ユーザーを慎重に作成し、生成された access_key および secret_key をコピーします。S3 アクセス、およびそれ以降のバケット管理タスクには、これらのキーが必要です。

1. root として ruby をインストールします。

   # yum install ruby

   注記

   上記のコマンドは ruby と、rubygems や ruby-libs などの基本的な依存関係もインストールします。コマンドによってすべての依存関係がインストールされない場合は、個別にインストールします。

2. root として、aws-s3 をインストールします。

   # gem install aws-s3

コネクションの作成

1. プロジェクトディレクトリーを作成します。

   $ mkdir ruby_aws_s3
   $ cd ruby_aws_s3

2. コネクションファイルを作成します。

   $ vim conn.rb

3. conn.rb ファイルに以下のコンテンツを貼り付けます。

   #!/usr/bin/env ruby
   
   require 'aws/s3'
   require 'resolv-replace'
   
   AWS::S3::Base.establish_connection!(
           :server            => '<FQDN_of_gateway_node>',
           :port           => '8080',
           :access_key_id     => 'my-access-key',
           :secret_access_key => 'my-secret-key'
   )

   &lt ;FQDN_of_gateway_node> をゲートウェイノードの FQDN に置き換えます。Red Hat Enterprise Linux のオブジェクトゲートウェイガイド または Ubuntu のオブジェクトゲートウェイガイド で説明されているように、my-access-key および my-secret-key は、S3 アクセスの radosgw が作成されたときに生成された access_key および secret_key に置き換えます。

   コネクションファイルの例を以下に示します。

   #!/usr/bin/env ruby
   
   require 'aws/s3'
   
   require 'resolv-replace'
   
   AWS::S3::Base.establish_connection!(
           :server            => 'testclient.englab.pnq.redhat.com',
           :port           => '8080',
           :access_key_id     => '98J4R9P22P5CDL65HKP8',
           :secret_access_key => '6C+jcaP0dp0+FZfrRNgyGA9EzRy25pURldwje049'
   )

   ファイルを保存して、エディターを終了します。

4. ファイルを実行可能にします。

   $ chmod +x conn.rb

5. コマンドを実行します。

   $ ./conn.rb | echo $?

   ファイルに正しく値を指定した場合は、コマンドの出力は 0 になります。

バケットの作成

1. 新しいファイルを作成します。

   $ vim create_bucket.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   AWS::S3::Bucket.create('my-new-bucket1')

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   $ chmod +x create_bucket.rb

3. コマンドを実行します。

   $ ./create_bucket.rb

   コマンドの出力が true の場合は、バケット my-new-bucket1 が正常に作成されたことを意味します。

所有するバケットの一覧表示

1. 新しいファイルを作成します。

   $ vim list_owned_buckets.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   AWS::S3::Service.buckets.each do |bucket|
           puts "#{bucket.name}\t#{bucket.creation_date}"
   end

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   $ chmod +x list_owned_buckets.rb

3. コマンドを実行します。

   $ ./list_owned_buckets.rb

   出力は以下のようになります。

   my-new-bucket1 2016-01-21 10:33:19 UTC

オブジェクトの作成

1. 新しいファイルを作成します。

   $ vim create_object.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   AWS::S3::S3Object.store(
           'hello.txt',
           'Hello World!',
           'my-new-bucket1',
           :content_type => 'text/plain'
   )

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   $ chmod +x create_object.rb

3. コマンドを実行します。

   $ ./create_object.rb

   これで、文字列 Hello World! で hello.txt が作成されます。

バケットの内容の一覧表示

1. 新しいファイルを作成します。

   $ vim list_bucket_content.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   new_bucket = AWS::S3::Bucket.find('my-new-bucket1')
   new_bucket.each do |object|
           puts "#{object.key}\t#{object.about['content-length']}\t#{object.about['last-modified']}"
   end

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   $ chmod +x list_bucket_content.rb

3. コマンドを実行します。

   $ ./list_bucket_content.rb

   出力は以下のようになります。

   hello.txt    12    Fri, 22 Jan 2016 15:54:52 GMT

空のバケットの削除

1. 新しいファイルを作成します。

   $ vim del_empty_bucket.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   AWS::S3::Bucket.delete('my-new-bucket1')

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   $ chmod +x del_empty_bucket.rb

3. コマンドを実行します。

   $ ./del_empty_bucket.rb | echo $?

   バケットが正常に削除されると、コマンドは 0 を出力として返します。

   注記

   create_bucket.rb ファイルを編集して、my-new-bucket9、my-new-bucket10 などの空のバケットを作成し、空のバケットの削除を試みる前に上記の del_empty_bucket.rb ファイルを適宜編集してください。

空でないバケットの削除（強制的に実行）

1. 新しいファイルを作成します。

   $ vim del_non_empty_bucket.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   AWS::S3::Bucket.delete('my-new-bucket1', :force => true)

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   $ chmod +x del_non_empty_bucket.rb

3. コマンドを実行します。

   $ ./del_non_empty_bucket.rb | echo $?

   バケットが正常に削除されると、コマンドは 0 を出力として返します。

オブジェクトの削除

1. 新しいファイルを作成します。

   $ vim delete_object.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   AWS::S3::S3Object.delete('hello.txt', 'my-new-bucket1')

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   $ chmod +x delete_object.rb

3. コマンドを実行します。

   $ ./delete_object.rb

   これにより、オブジェクト hello.txt が削除されます。

1. root として ruby をインストールします。

   # yum install ruby

   注記

   上記のコマンドは ruby と、rubygems や ruby -libs などの基本的な依存関係をインストールします。コマンドによってすべての依存関係がインストールされない場合は、個別にインストールします。

2. root として、aws-sdk をインストールします。

   # gem install aws-sdk

コネクションの作成

1. プロジェクトディレクトリーを作成します。

   $ mkdir ruby_aws_sdk
   $ cd ruby_aws_sdk

2. コネクションファイルを作成します。

   $ vim conn.rb

3. conn.rb ファイルに以下のコンテンツを貼り付けます。

   #!/usr/bin/env ruby
   
   require 'aws-sdk'
   require 'resolv-replace'
   
   Aws.config.update(
           endpoint: 'http://<FQDN_of_gateway_node>:8080',
           access_key_id: 'my-access-key',
           secret_access_key: 'my-secret-key',
           force_path_style: true,
           region: 'us-east-1'
   )

   &lt ;FQDN_of_gateway_node> をゲートウェイノードの FQDN に置き換えます。Red Hat Ceph Storage オブジェクトゲートウェイガイド で説明されているように、my-access-key および my-secret-key は、S3 アクセスの radosgw が作成されたときに生成された access_key および secret_key に置き換えます。

   コネクションファイルの例を以下に示します。

   #!/usr/bin/env ruby
   
   require 'aws-sdk'
   require 'resolv-replace'
   
   Aws.config.update(
           endpoint: 'http://testclient.englab.pnq.redhat.com:8080',
           access_key_id: '98J4R9P22P5CDL65HKP8',
           secret_access_key: '6C+jcaP0dp0+FZfrRNgyGA9EzRy25pURldwje049',
           force_path_style: true,
           region: 'us-east-1'
   )

   ファイルを保存して、エディターを終了します。

4. ファイルを実行可能にします。

   chmod +x conn.rb

5. コマンドを実行します。

   ./conn.rb | echo $?

   ファイルに正しく値を指定した場合は、コマンドの出力は 0 になります。

バケットの作成

1. 新しいファイルを作成します。

   vim create_bucket.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   s3_client = Aws::S3::Client.new
   s3_client.create_bucket(bucket: 'my-new-bucket2')

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   chmod +x create_bucket.rb

3. コマンドを実行します。

   ./create_bucket.rb

   コマンドの出力が true の場合は、バケット my-new-bucket2 が正常に作成されていることを意味します。

所有するバケットの一覧表示

1. 新しいファイルを作成します。

   vim list_owned_buckets.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   s3_client = Aws::S3::Client.new
   s3_client.list_buckets.buckets.each do |bucket|
           puts "#{bucket.name}\t#{bucket.creation_date}"
   end

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   chmod +x list_owned_buckets.rb

3. コマンドを実行します。

   ./list_owned_buckets.rb

   出力は以下のようになります。

   my-new-bucket2 2016-01-21 10:33:19 UTC

オブジェクトの作成

1. 新しいファイルを作成します。

   vim create_object.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   s3_client = Aws::S3::Client.new
   s3_client.put_object(
           key: 'hello.txt',
           body: 'Hello World!',
           bucket: 'my-new-bucket2',
           content_type: 'text/plain'
   )

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   chmod +x create_object.rb

3. コマンドを実行します。

   ./create_object.rb

   これで、文字列 Hello World! で hello.txt が作成されます。

バケットの内容の一覧表示

1. 新しいファイルを作成します。

   vim list_bucket_content.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   s3_client = Aws::S3::Client.new
   s3_client.list_objects(bucket: 'my-new-bucket2').contents.each do |object|
           puts "#{object.key}\t#{object.size}"
   end

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   chmod +x list_bucket_content.rb

3. コマンドを実行します。

   ./list_bucket_content.rb

   出力は以下のようになります。

   hello.txt    12    Fri, 22 Jan 2016 15:54:52 GMT

空のバケットの削除

1. 新しいファイルを作成します。

   vim del_empty_bucket.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   s3_client = Aws::S3::Client.new
   s3_client.delete_bucket(bucket: 'my-new-bucket2')

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   chmod +x del_empty_bucket.rb

3. コマンドを実行します。

   ./del_empty_bucket.rb | echo $?

   バケットが正常に削除されると、コマンドは 0 を出力として返します。

   注記

   create_bucket.rb ファイルを編集し、my-new-bucket6、my-new-bucket7 などの空のバケットを作成し、空のバケットの削除を試みる前に上記の del_empty_bucket.rb ファイルを適宜編集してください。

空でないバケットの削除（強制的に実行）

1. 新しいファイルを作成します。

   vim del_non_empty_bucket.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   s3_client = Aws::S3::Client.new
   Aws::S3::Bucket.new('my-new-bucket2', client: s3_client).clear!
   s3_client.delete_bucket(bucket: 'my-new-bucket2')

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   chmod +x del_non_empty_bucket.rb

3. コマンドを実行します。

   ./del_non_empty_bucket.rb | echo $?

   バケットが正常に削除されると、コマンドは 0 を出力として返します。

オブジェクトの削除

1. 新しいファイルを作成します。

   vim delete_object.rb

   以下のコンテンツをファイルに貼り付けます。

   #!/usr/bin/env ruby
   
   load 'conn.rb'
   
   s3_client = Aws::S3::Client.new
   s3_client.delete_object(key: 'hello.txt', bucket: 'my-new-bucket2')

   ファイルを保存して、エディターを終了します。

2. ファイルを実行可能にします。

   chmod +x delete_object.rb

3. コマンドを実行します。

   ./delete_object.rb

   これにより、オブジェクト hello.txt が削除されます。

1. root として、php をインストールします。

   # yum install php

2. php の aws-sdk をインストールします。

   php 用に aws-sdk の zip アーカイブを ダウンロード し、展開します。

コネクションの作成

1. プロジェクトディレクトリーを作成します。

   $ mkdir php_s3
   $ cd php_s3

2. 展開した aws ディレクトリーをプロジェクトのディレクトリーにコピーします。以下に例を示します。

   $ cp -r ~/Downloads/aws/ ~/php_s3/

3. コネクションファイルを作成します。

   $ vim conn.php

4. conn.php ファイルに以下のコンテンツを貼り付けます。

   <?php
   define('AWS_KEY', 'my_access_key');
   define('AWS_SECRET_KEY', 'my_secret_key');
   define('HOST', '<FQDN_of_gateway_node>');
   define('PORT', '8080');
   
   // require the AWS SDK for php library
   require '/path_to_aws/aws-autoloader.php';
   
   use Aws\S3\S3Client;
   
   // Establish connection with host using S3 Client
   $client = S3Client::factory(array(
       'base_url' => HOST,
       'port' => PORT,
       'key'      => AWS_KEY,
       'secret'   => AWS_SECRET_KEY
   ));
   ?>

   &lt ;FQDN_of_gateway_node> をゲートウェイノードの FQDN に置き換えます。Red Hat Ceph Storage オブジェクトゲートウェイガイド で説明されているように、my-access-key および my-secret-key は、S3 アクセスの radosgw が作成されたときに生成された access_key および secret_key に置き換えます。また、path_to_aws を、php プロジェクトディレクトリーにコピーした展開した aws ディレクトリーへの絶対パスに置き換えます。

   接続ファイルの例を以下に示します。

   <?php
   define('AWS_KEY', '{key}');
   define('AWS_SECRET_KEY', '{secret}');
   define('HOST', 'http://{hostname}');
   
   // require the AWS SDK for php library
   require '/home/ceph/php_s3/aws/aws-autoloader.php';
   
   use Aws\S3\S3Client;
   
   // Establish connection with host using S3 Client
   $client = S3Client::factory(array(
       'base_url' => HOST,
       'port' => PORT,
       'key'      => AWS_KEY,
       'secret'   => AWS_SECRET_KEY
   ));
   ?>

   ファイルを保存して、エディターを終了します。

5. コマンドを実行します。

   $ php -f conn.php | echo $?

   ファイルに正しく値を指定した場合は、コマンドの出力は 0 になります。

バケットの作成

1. 新しいファイルを作成します。

   vim create_bucket.php

   以下のコンテンツをファイルに貼り付けます。

   <?php
   
   include 'conn.php';
   
   $client->createBucket(array('Bucket' => 'my-new-bucket3'));
   
   ?>

   ファイルを保存して、エディターを終了します。

2. コマンドを実行します。

   php -f create_bucket.php

所有するバケットの一覧表示

1. 新しいファイルを作成します。

   vim list_owned_buckets.php

   以下のコンテンツをファイルに貼り付けます。

   <?php
   
   include 'conn.php';
   
   $blist = $client->listBuckets();
   echo "   Buckets belonging to " . $blist['Owner']['ID'] . ":\n";
   foreach ($blist['Buckets'] as $b) {
       echo "{$b['Name']}\t{$b['CreationDate']}\n";
   }
   
   ?>

   ファイルを保存して、エディターを終了します。

2. コマンドを実行します。

   php -f list_owned_buckets.php

   出力は以下のようになります。

   my-new-bucket3 2016-01-21 10:33:19 UTC

オブジェクトの作成

1. ソースファイル hello.txt を作成します。

   echo "Hello World!" > hello.txt

2. 新しい php ファイルを作成します。

   vim create_object.php

   以下のコンテンツをファイルに貼り付けます。

   <?php
   
   include 'conn.php';
   
   $key         = 'hello.txt';
   $source_file = './hello.txt';
   $acl         = 'private';
   $bucket      = 'my-new-bucket3';
   $client->upload($bucket, $key, fopen($source_file, 'r'), $acl);
   
   ?>

   ファイルを保存して、エディターを終了します。

3. コマンドを実行します。

   php -f create_object.php

   これにより、バケット my-new-bucket3 でオブジェクト hello.txt が作成されます。

バケットの内容の一覧表示

1. 新しいファイルを作成します。

   vim list_bucket_content.php

   以下のコンテンツをファイルに貼り付けます。

   <?php
   
   include 'conn.php';
   
   $o_iter = $client->getIterator('ListObjects', array(
       'Bucket' => 'my-new-bucket3'
   ));
   foreach ($o_iter as $o) {
       echo "{$o['Key']}\t{$o['Size']}\t{$o['LastModified']}\n";
   }
   ?>

   ファイルを保存して、エディターを終了します。

2. コマンドを実行します。

   php -f list_bucket_content.php

   出力は以下のようになります。

   hello.txt    12    Fri, 22 Jan 2016 15:54:52 GMT

空のバケットの削除

1. 新しいファイルを作成します。

   vim del_empty_bucket.php

   以下のコンテンツをファイルに貼り付けます。

   <?php
   
   include 'conn.php';
   
   $client->deleteBucket(array('Bucket' => 'my-new-bucket3'));
   ?>

   ファイルを保存して、エディターを終了します。

2. コマンドを実行します。

   php -f del_empty_bucket.php | echo $?

   バケットが正常に削除されると、コマンドは 0 を出力として返します。

   注記

   create_bucket.php ファイルを編集し、my-new-bucket4、my-new-bucket5 などの空のバケットを作成し、空のバケットの削除を試みる前に、del_empty_bucket.php ファイルを適宜編集します。

オブジェクトの削除

1. 新しいファイルを作成します。

   vim delete_object.php

   以下のコンテンツをファイルに貼り付けます。

   <?php
   
   include 'conn.php';
   
   $client->deleteObject(array(
       'Bucket' => 'my-new-bucket3',
       'Key'    => 'hello.txt',
   ));
   ?>

   ファイルを保存して、エディターを終了します。

2. コマンドを実行します。

   php -f delete_object.php

   これにより、オブジェクト hello.txt が削除されます。

手順

1. group_vars/rgws.yml ファイルを以下のオプションで開き、編集します。

   rgw_sts_key = $STS_KEY_FOR_ENCRYPTING_SESSION_TOKEN
   rgw_s3_auth_use_sts = true

2. Ansible Playbook を再実行します。

   [user@admin ceph-ansible]$ ansible-playbook site.yml --limit rgws

3. EC2 認証情報を生成します。

   例

   $ openstack ec2 credentials create
   +------------+--------------------------------------------------------+
   | Field      | Value                                                  |
   +------------+--------------------------------------------------------+
   | access     | b924dfc87d454d15896691182fdeb0ef                       |
   | links      | {u'self': u'http://192.168.0.15/identity/v3/users/     |
   |            | 40a7140e424f493d8165abc652dc731c/credentials/          |
   |            | OS-EC2/b924dfc87d454d15896691182fdeb0ef'}              |
   | project_id | c703801dccaf4a0aaa39bec8c481e25a                       |
   | secret     | 6a2142613c504c42a94ba2b82147dc28                       |
   | trust_id   | None                                                   |
   | user_id    | 40a7140e424f493d8165abc652dc731c                       |
   +------------+--------------------------------------------------------+

4. 生成された認証情報を使用して、GetSessionToken API を使用して一時的なセキュリティー認証情報のセットを取得します。

   例

   import boto3
   
   access_key = b924dfc87d454d15896691182fdeb0ef
   secret_key = 6a2142613c504c42a94ba2b82147dc28
   
   client = boto3.client('sts',
   aws_access_key_id=access_key,
   aws_secret_access_key=secret_key,
   endpoint_url=https://www.example.com/rgw,
   region_name='',
   )
   
   response = client.get_session_token(
       DurationSeconds=43200
   )

5. 一時認証情報の取得は、S3 呼び出しの作成に使用できます。

   例

       s3client = boto3.client('s3',
         aws_access_key_id = response['Credentials']['AccessKeyId'],
         aws_secret_access_key = response['Credentials']['SecretAccessKey'],
         aws_session_token = response['Credentials']['SessionToken'],
         endpoint_url=https://www.example.com/s3,
         region_name='')
   
       bucket = s3client.create_bucket(Bucket='my-new-shiny-bucket')
       response = s3client.list_buckets()
       for bucket in response["Buckets"]:
           print "{name}\t{created}".format(
                       name = bucket['Name'],
                       created = bucket['CreationDate'],
       )

6. 新しい S3Access ロールを作成し、ポリシーを設定します。

   1. 管理 CAPS でユーザーを割り当てます。

      radosgw-admin caps add --uid="$USER" --caps="roles=*"

      例

      [user@client]$ radosgw-admin caps add --uid="gwadmin" --caps="roles=*"

   2. S3Access ロールを作成します。

      radosgw-admin role create --role-name=$ROLE_NAME --path=$PATH --assume-role-policy-doc=$TRUST_POLICY_DOC

      例

      [user@client]$ radosgw-admin role create --role-name=S3Access --path=/application_abc/component_xyz/ --assume-role-policy-doc=\{\"Version\":\"2012-10-17\",\"Statement\":\[\{\"Effect\":\"Allow\",\"Principal\":\{\"AWS\":\[\"arn:aws:iam:::user/TESTER\"\]\},\"Action\":\[\"sts:AssumeRole\"\]\}\]\}

   3. S3Access ロールにパーミッションポリシーを割り当てます。

      radosgw-admin role-policy put --role-name=$ROLE_NAME --policy-name=$POLICY_NAME --policy-doc=$PERMISSION_POLICY_DOC

      例

      [user@client]$ radosgw-admin role-policy put --role-name=S3Access --policy-name=Policy --policy-doc=\{\"Version\":\"2012-10-17\",\"Statement\":\[\{\"Effect\":\"Allow\",\"Action\":\[\"s3:*\"\],\"Resource\":\"arn:aws:s3:::example_bucket\"\}\]\}

   4. 別のユーザーが gwadmin ユーザーのロールを想定できるようになりました。たとえば、gwuser ユーザーは、gwadmin ユーザーのパーミッションを想定できます。

   5. 仮定ユーザーの access_key および secret_key の値を書き留めておきます。

      例

      [user@client]$ radosgw-admin user info --uid=gwuser | grep -A1 access_key

7. AssumeRole API 呼び出しを使用し、仮定のユーザーから access_key および secret_key の値を提供します。

   例

   import boto3
   
   access_key = 11BS02LGFB6AL6H1ADMW
   secret_key = vzCEkuryfn060dfee4fgQPqFrncKEIkh3ZcdOANY
   
   client = boto3.client('sts',
   aws_access_key_id=access_key,
   aws_secret_access_key=secret_key,
   endpoint_url=https://www.example.com/rgw,
   region_name='',
   )
   
   response = client.assume_role(
   RoleArn='arn:aws:iam:::role/application_abc/component_xyz/S3Access',
   RoleSessionName='Bob',
   DurationSeconds=3600
   )

   重要

   AssumeRole API には S3Access ロールが必要です。

手順

1. Boto の auth.py ファイルを開いて編集します。

   1. 以下の 4 つの行をコードブロックに追加します。

      class SigV4Auth(BaseSigner):
        """
        Sign a request with Signature V4.
        """
        REQUIRES_REGION = True
      
        def __init__(self, credentials, service_name, region_name):
            self.credentials = credentials
            # We initialize these value here so the unit tests can have
            # valid values.  But these will get overriden in ``add_auth``
            # later for real requests.
            self._region_name = region_name
            if service_name == 'sts': 1
                self._service_name = 's3' 2
            else: 3
                self._service_name = service_name 4

   2. 以下の 2 つの行をコードブロックに追加します。

      def _modify_request_before_signing(self, request):
              if 'Authorization' in request.headers:
                  del request.headers['Authorization']
              self._set_necessary_date_headers(request)
              if self.credentials.token:
                  if 'X-Amz-Security-Token' in request.headers:
                      del request.headers['X-Amz-Security-Token']
                  request.headers['X-Amz-Security-Token'] = self.credentials.token
      
              if not request.context.get('payload_signing_enabled', True):
                  if 'X-Amz-Content-SHA256' in request.headers:
                      del request.headers['X-Amz-Content-SHA256']
                  request.headers['X-Amz-Content-SHA256'] = UNSIGNED_PAYLOAD 1
              else: 2
                  request.headers['X-Amz-Content-SHA256'] = self.payload(request)