Skip to main content
Le stockage de production CaseBender appartient au client et est provisionné en externe. L’application n’effectue que des opérations de plan de données objet. Elle ne crée, ne supprime ni ne configure jamais un bucket ou un conteneur à l’exécution.

​
État de la version actuelle

L’autorité lisible par machine est scripts/storage/certification-matrix.json :
Le dépôt contient des résultats d’émulateur, mais la compatibilité d’émulateur n’est pas une certification en direct. La certification en direct actuelle d’ODF/Ceph RGW est en attente d’identifiants fournis par le client et de preuves de version exacte. Le profil est configuré et prêt pour la qualification, non certifié.
« Implémenté » signifie qu’un adaptateur existe pour les opérations objet. « Support déclaré » signifie que la matrice de version sélectionne un profil produit pour une porte de support. « Certifié » exige en plus des preuves en direct complètes et signées pour le produit et la version exacts. Ne jamais inférer une certification à partir d’un nom d’adaptateur, d’une exécution d’émulateur, d’un rendu Kubernetes ou du résultat d’un autre client.

​
Contrat de configuration

Utilisez un STORAGE_CONFIG_FILE monté (préféré) ou STORAGE_CONFIG_JSON avec trois profils : quarantine, records et ephemeral. Le pont héritage à profil unique n’utilise que ces identifiants de fournisseur canoniques et ces variables :
  • s3 : S3_BUCKET, AWS_REGION, S3_ENDPOINT HTTPS optionnel
  • gcs : GCS_BUCKET, GCS_PROJECT_ID optionnel
  • azure : AZURE_STORAGE_ACCOUNT, AZURE_CONTAINER
  • local : STORAGE_PATH, hors production uniquement
azure-blob, AWS_S3_BUCKET et AZURE_STORAGE_CONTAINER ne sont pas des noms d’exécution valides. La production refuse une configuration de stockage explicite manquante, les profils locaux et les points de terminaison HTTP personnalisés. Utilisez l’identité de charge de travail ou la chaîne d’identifiants par défaut du fournisseur. Les clés S3 statiques, les fichiers de clés GCS, les clés partagées Azure et les chaînes de connexion Azure sont des modes de compatibilité uniquement. Stockez tout identifiant dans le gestionnaire de secrets de la plateforme ; ne les placez jamais dans le code source, les ConfigMaps, les images, l’historique de shell, les journaux, les preuves ou les lots de support.

​
Frontière de production obligatoire

  • Utilisez des buckets ou conteneurs externes précréés, sans accès public.
  • Séparez la quarantaine, les enregistrements durables et les objets éphémères afin que les politiques de rétention, de scanner et d’expiration puissent différer.
  • Conservez la vérification TLS activée ; montez les lots CA privés lorsque cela est requis.
  • Exigez le chiffrement au repos et en transit, le versioning, les sauvegardes et la vérification SHA-256 applicative.
  • Activez et qualifiez les contrôles de rétention/conservation légale lorsque le déploiement exige le WORM. Les versions exactes des objets sont obligatoires pour les opérations de rétention et de conservation.
  • N’activez pas la génération d’URL signées, d’URL pré-signées ou de SAS. Les téléchargements passent par l’autorisation authentifiée CaseBender.
  • Configurez un clamd externe ; les téléversements utilisateur restent en quarantaine et indisponibles lorsque l’analyse ne peut pas produire un verdict propre terminal.
  • Surveillez la readiness, l’âge du canary profond, les lettres mortes de mutation, l’âge de quarantaine, les objets manquants, les orphelins confirmés, les échecs de somme de contrôle, la latence et la capacité.
Voir Référentiel de sécurité du stockage et Santé et dépannage du stockage.

​
Qualification et contrôle des changements

Validez depuis le même réseau, la même identité, le même point de terminaison et le même contexte CA que les charges de travail web et worker. Relancez la qualification après une mise à niveau CaseBender, une mise à niveau du fournisseur, un changement de politique de bucket, une rotation d’identifiants, une rotation de CA, un changement de politique réseau ou un changement WORM.
La validation en direct spécifique au fournisseur et des preuves signées sont requises en plus des tests du dépôt. Voir Sélection et certification des fournisseurs et Certification compatible S3.

​
Références de cycle de vie