E bem-vindo de volta a este vídeo que discutiremos sobre os ataques aéreos contracorrentes agora
em muitas organizações.
Existem requisitos para que certos blogs sejam centralizados.
E um dos serviços onde os blogs são geralmente centralizados é um livro de história.
Portanto, vamos supor que haja três segundas contas Atabay.
Vai ser em uma moeda agora, sendo a conta uma moeda.
Você tem várias instâncias de sua produção em execução agora.
Como parte da reclamação, você tem a exigência de que todos os registros que fazem parte do U. S. duas instâncias precisam
ser armazenadas pelos próximos sete anos.
Então, onde você vai armazenar isso agora?
Uma opção é criar um livro de história, ele pode ser armazenado.
Os logs nesse histórico registram-no novamente, criam um certificado em uma loja de moeda, todos os logs na conta
para ele e assim por diante.
Agora, isso vai funcionar, mas não é realmente escalonável.
Hoje em dia, as organizações têm centenas de contas e esta abordagem de criar um mercado livre em uma
conta local do Idalis não é a melhor abordagem.
Então, o que você vai fazer, o melhor arquitetado é você ter uma conta central, que é a área de contas.
Você cria um três bucket aqui e todos os logs de todas as outras contas podem ser armazenados neste
bucket S3 central.
Agora, não pense que esses logs também podem incluir logs de outros serviços, como trilha de nuvem, observação de nuvem, logs de
aplicativo, logs de sistema e assim por diante.
Agora, geralmente, o que acontece nas empresas é que quando você tem um S. UMA. M. soluções que detectam ataques de
segurança e assim por diante, esses S. UMA. M. sistemas não estão diretamente conectados a contas individuais.
Eles são conectados ao depósito S3 de uma conta central e de três depósitos diferentes, todos os
logs necessários de todas as outras contas que estão disponíveis como parte da organização.
Agora, para conseguir isso, você precisa criar um três bucket que permite o acesso de várias
contas diferentes.
E como fazer isso é algo que discutiremos hoje.
Você sabe, sempre que estiver projetando através do acesso ao bucket da conta S3, a abordagem recomendada é criar
uma política de bucket.
Então o que vai acontecer é que estamos levando em consideração a simplicidade.
Então você tem Al-Ghamdi, que é a conta central, e você tem a conta B, que tem as
duas instâncias fáceis do ambiente de produção em execução.
Então, o que você quer é que a conta B armazene os dados nos três baldes da contabilidade.
Portanto, a maneira recomendada é criar uma nova política de bucket e essa política de bucket, o que ela afirma,
permite que a conta B envie logs para descentralizar o bucket.
Assim, uma vez que você associe esta política de bucket ao bucket centralista, então este bucket irá em frente e
permitirá que os logs sejam enviados, considerando que eles vêm da conta B, então esta é uma visão geral de
alto nível.
Agora vamos ver a aparência exata dessa política de balde.
Portanto, esta é a captura de tela simples de uma política de balde.
Agora, se você verá nesta ação de política de intervalo, três ações são permitidas.
Você tem que objetar, colocar o objeto e colocar o objeto é.
Então, basicamente o que você quer é que a conta seja para enviar os dados, para centralizar o intervalo.
Você realmente não quer várias coisas, como a operação de exclusão.
Caso contrário, o que acontecerá é, digamos que uma das duas instâncias em ação com o invasor
comprometido possa essencialmente excluir todos os dados do mesmo depósito.
Então, especificamente, sempre que você estiver projetando uma conta cruzada, uma política de três intervalos, é
muito importante permitir apenas o mínimo de ações necessárias.
Isto é muito importante.
Tudo bem.
Portanto, a ação é um ótimo objeto, coloque o objeto e coloque os objetos aqui.
Isso é bom para o momento.
Estamos agora em princípios profundos.
Esta é uma parte muito importante.
Você está especificando a área da conta B, então você tem o número da conta seguido pela rota.
Então, nesses casos, qualquer usuário na conta B ou qualquer i. e. envolvidos com a Índia podem estar considerando a
política certa, dizendo a eles que eles serão capazes de realizar essas três operações no recurso, que é
a ordem Strathbogie central.
Portanto, esta é a política básica de balde.
Então, vamos fazer uma coisa.
Vamos prosseguir e tentar ambos, que discutirão as coisas com mais detalhes.
Tão semelhante à arquitetura que discutimos para a demonstração de hoje, teremos duas contas.
Você tem contas e a conta B agora em meu navegador Chrome, eu tenho um condado, então vamos considerá-lo como
nosso condado.
E eu tenho mais uma conta, que faz parte do meu navegador Firefox, e vamos considerá-la como vai
ser.
Portanto, no final do vídeo, devemos ser capazes de enviar os registros da conta B para a caixa torácica centralizada da conta
A.
Então, primeiro, vamos em frente e criar o orçamento centralista.
Portanto, no meu navegador Chrome, vamos em frente e criar um novo.
Vamos chamá-lo de meu hífen Central do Gabey Labs uma vez, então vamos em frente e criar um terceiro
balde Solares perfeito.
Agora, se você olhar as permissões aqui, vamos voltar.
Portanto, dentro da política de bucket, a partir de agora, você verá que realmente não tem nenhuma política de bucket.
Isso significa que as outras contas não poderão enviar seus dados para a reserva central.
Então, o que precisamos é que uma política de bucket seja habilitada aqui.
Então, vamos fazer uma coisa.
Vamos adicionar uma política de balde.
Portanto, não importamos o quão central é a política de três baldes que temos disponível e já discutimos sobre
isso.
Portanto, você tem três ações e dentro do recurso você tem o nome dos três intervalos.
Agora, uma parte importante que estamos discutindo é que você precisa adicionar o número da conta que
enviará os bloqueios para este depósito extra ao qual esta política está associada.
Então, do meu Firefox, vou copiar o número da conta do futuro e serei auditor estatal
uma vez.
Então, vamos copiar a política de balde e ser franco com você.
Então é assim que parece.
Vamos salvar as alterações.
Perfeito.
Então, uma política de três baldes foi adicionada com sucesso?
Excelente.
Portanto, nossa primeira parte está concluída.
Agora a segunda parte está relacionada à configuração responsável.
Agora, para este exemplo, usamos duas instâncias, mas também pode ser um Amusa.
Digamos que eu seja um usuário da conta B e queira fazer upload de alguma lista crítica do data center para que o usuário final
também possa fazer isso.
Então, para o vídeo de hoje, iremos em frente e criaremos um novo usuário AYAM para fins de teste.
Portanto, vamos rapidamente para o serviço final da conta B e
dentro.
Vamos continuar e criar um novo usuário apenas para simplificar.
Vamos apenas chamar isso.
Os usuários darão ao usuário permissões de acesso programático.
Vamos evitar a partir de agora e seguiremos em frente e criaremos o usuário.
Perfeito.
Agora, apenas para simplificar nosso propósito de teste, também tenho uma postura fácil de fazer com o Amazon Linux.
E dentro dessa facilidade, já que eu crio um novo usuário e um nome de usuário, as
qualidades lezzies serão Orleck e iremos em frente e mudaremos o usuário para a conta B e dentro deste usuário associaremos
o Access Kadian Secret Access.
Então, vamos ver a configuração dos experientes.
Vou adicionar a chave de acesso.
Vamos mantê-lo como uma chave de acesso secreta e o nome da região.
Vamos apenas usar a região padrão de US $ 2 e até mesmo nosso intervalo é criado quase perfeito.
Portanto, nossa conta está associada às credenciais estabelecidas.
Nesse estágio, quando você faz um estriol, deve ver o acesso de que eles precisam, principalmente porque você
realmente não tem nenhuma política IAM associada a essa conta.
Agora, a segunda parte importante dessa arquitetura é que a entidade IBM, talvez eu seja um usuário ou Ambro, também deve ter
uma permissão para enviar os dados para centralizar o reordenamento.
Não é como se você tivesse permitido a política de bucket no Rivergate centralizado e todas as entidades IAM na
conta.
Nós seremos capazes de fazer isso.
A política também precisa ser associada à conta corrigida.
Portanto, o que precisamos fazer é criar uma nova política IAM para o usuário IAM que criamos e que
será.
E o que essa política nos permite fazer.
Novamente, as reações get object, put object e put object está aqui e aqui estamos especificando, descentralizado,
trabalhando nisso.
Espero que você tenha entendido a importância da política de acrônimos.
Então, iremos copiar esta política e associaremos esta política IAM à conta para
ser Amusa.
Então, vamos abrir o usuário aqui.
Vamos adicionar uma nova política embutida que irá para Jason.
Eu baseei a política aqui.
Vamos fazer uma revisão da política e o nome da conta cruzada da escada rolante de Liz é três irá prosseguir e criar uma
política.
Perfeito.
Portanto, agora toda a configuração necessária para conta e achonwa está concluída.
Então, vamos testar as coisas.
Então, o que eu faço, primeiro carregarei alguns dados de amostra para o balde de atributos de contabilidade.
Portanto, isso é algo que podemos fazer diretamente do próprio console.
Vamos fazer isso.
Eu defino o arquivo.
Você pode simplesmente adicionar qualquer arquivo temporário que tenha em seu sistema.
Perfeito.
Portanto, o arquivo é adicionado ao intervalo central.
Agora, como dentro da política de bucket permitimos o objeto gate, isso basicamente significa a imensidão
da conta.
Devemos ser capazes de buscar os dados do histórico.
Então, a partir da conta, vamos experimentar.
Vou dizer que o lugar é três.
Tente copiar os dados, que é para pagar pelo DataDot, e o orçamento provavelmente será menos central e será
o conteúdo aqui.
E você vê que a operação de download está funcionando perfeitamente bem.
Então, se eu fizer uma pequena área, teremos que pagar pelo DataDot.
Assim, as coisas estão funcionando conforme o esperado.
Da mesma forma, também vamos tentar enviar alguns dados seus.
Então, vamos criar um novo arquivo, vou chamá-lo de texto de ponto da conta B e tentar copiar esse
arquivo como três contas B estritas, e queremos colocá-lo no centro do hífen esquerdo.
E você vê que o upload também está funcionando perfeitamente bem.
Então, agora, se eu atualizar a página aqui, você verá que contabilizou um ponto também disponível.
Excelente.
Então, espero que com isso você tenha entendido em uma visão geral de alto nível sobre o fluxo de trabalho por trás do sucesso do conteúdo
do Corozal.
Mas, nesta fase, ainda não terminamos.
Essa é uma parte muito importante que também precisa ser analisada.
Estaremos discutindo sobre isso em grandes detalhes no próximo vídeo.
Mas vou apenas dar uma explicação sobre o problema que você enfrentará nesta arquitetura.
Agora, o que aconteceu é que esses dois arquivos fazem parte desse intervalo, mas as permissões
associadas a esses dois arquivos são completamente diferentes.
Vamos examiná-lo rapidamente agora para a conta.
Esteja sujo sempre que vou em frente e tento baixar esse arquivo.
Veja, estou recebendo mensagem de acesso negado.
Muito interessante de uma forma semelhante, os arquivos que foram enviados da própria conta.
Quando tento baixar esse arquivo, vamos tentar fazer isso.
Veja, o download do arquivo está funcionando perfeitamente.
Portanto, o principal motivo pelo qual isso não está funcionando é que esta conta de arquivo financiada ou B está
associada à conta B e o próximo arquivo a pagar por DataDot está associado à conta A agora, embora
eu tenha um acesso administrativo na conta E, não significa que eu tenha permissões ou
arquivos carregados da conta, então discutirei sobre isso em detalhes.
Mas é muito importante saber que, se você estiver implementando isso no ambiente de produção, vi
esse problema em que há várias equipes colaborando em um bucket S3 central e a outra equipe está
carregando todos os seus dados em centenas de gigabytes.
E mais tarde eles percebem que todos os dados que foram carregados para o balde S3 central, nenhum dos usuários
de nosso condado foi capaz de acessá-los.
Então, isso foi um pouco chato e irei discutir por que isso acontece e a melhor maneira de resolver isso.
Então com isso vamos concluir o vídeo de hoje.