diff --git a/pages/index.md b/pages/index.md index 2a901c9c757..e487ec81237 100644 --- a/pages/index.md +++ b/pages/index.md @@ -739,6 +739,7 @@ + [Object Storage - Setting up CORS on Object Storage](storage_and_backup/object_storage/s3_setting_up_cors) + [Object Storage - Master asynchronous replication across your buckets](storage_and_backup/object_storage/s3_asynchronous_replication) + [Object Storage - Getting Started with Versioning](storage_and_backup/object_storage/s3_versioning) + + [Object Storage - How to connect Object Storage buckets with other resources in a vRack](storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network) + [Configure Object Storage with your solutions](public-cloud-storage-object-storage-configure-object-storage-with-your-solutions) + [Object Storage - Third-party applications compatibility](storage_and_backup/object_storage/s3_ecosystem) + [Object Storage - Use Object Storage with Rclone](storage_and_backup/object_storage/s3_rclone) diff --git a/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/guide.en-gb.md b/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/guide.en-gb.md new file mode 100644 index 00000000000..4f4939e1dc8 --- /dev/null +++ b/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/guide.en-gb.md @@ -0,0 +1,83 @@ +--- +title: Object Storage - How to connect Object Storage buckets with other resources in a vRack +excerpt: Find out how to use Object Storage together with resources in a Private Network +updated: 2025-10-09 +--- + +## Objective + +This guide explains how to use Object Storage together with resources in a Private Network. + +## Requirements + +- An [Object Storage bucket](/pages/storage_and_backup/object_storage/s3_getting_started_with_object_storage) +- A [vRack Private Network service](/pages/public_cloud/public_cloud_network_services/getting-started-07-creating-vrack) +- A [Public Cloud Gateway](/pages/public_cloud/public_cloud_network_services/getting-started-02-create-private-network-gateway) +- Resources to connect (Public Cloud instances, Managed Kubernetes, Bare Metal servers, etc.) + +## Instructions + +### Context + +Your use case may require a secure connection between a private network and your Object Storage bucket. Our vRack Private Network & Public Cloud Gateway services will help meeting your specific requirements both in terms of security and performance. + +This also allows you to interconnect Object Storage buckets with your resources attached via a vRack Private Network (see the architecture diagram below). + +![vrack private network with buckets - diagram](images/object_storage_buckets_vrack_private.png){.thumbnail} + +### Creating a vRack Private Network and Public Cloud Gateway + +In order to create and configure both a Public Cloud Gateway and a vRack Private Network, please follow the instructions in our documentation: [Creating a private network with Gateway](/pages/public_cloud/public_cloud_network_services/getting-started-02-create-private-network-gateway). This guide explains how to: + +- Select and create the appropriate Gateway both in terms of performance and geo-availability. +- Attach an existing or newly created vRack Private Network to it. + +### Gateway IPs whitelisting + +Once the Gateway has been created and associated to a vRack Private Network, the next step is to whitelist a set of IPs from your Object Storage. To do so, there are multiple ways: + +- Using Object Storage Bucket Policies: The feature is not yet implemented but will be available soon. +- Using Object Storage User Policies where you can explicitly whitelist IP ranges that can work with Object Storage resources + +#### User Policies implementation + +First as a quick reminder, here is how today user permissions are evaluated: + +1. if exists, evaluate user policy, else fallback to ACLs + 1. check for an explicit deny: if there is an explicit deny, then deny permission, else, check for an explicit allow + 2. check for an explicit allow: if there is an explicit allow, then allow permission + 3. if there is no explicit deny nor explicit allow, then fallback to ACLs +2. fallback to ACLs + +This evaluation process will be subject to change with the upcoming implementation of bucket policies. + +Due to the current authorization process, OVHcloud Object Storage does **not** support **implicit deny** when the user is the bucket owner. As a result, the bucket owner's default FULL_CONTROL ACL takes precedence, allowing access even if no explicit permission is defined in the policy file. + +As a consequence, we recommend creating new users (not the bucket owner itself) to set this policy and avoid mismatch or confusion. Last but not least, the policy needs to be associated to each user accessing the resources. + +In our scenario, we will allow all operations to specific IPs by whitelisting them with the following policy statement: + +```json +{ + "Statement": [{ + "Sid": "ExampleStatement01", + "Effect": "Allow", + "Action": "s3:*", + "Resource": ["*"], + "Condition": { + "IpAddress": { + "aws:SourceIp": "10.0.0.5/16" + } + } + }] +} +``` + +To set this new policy to your S3 user, please follow the different steps shared in the [Object Storage - Identity and access management](/pages/storage_and_backup/object_storage/s3_identity_and_access_management) guide, and finalise the interconnection between your Object Storage resources and those within your vRack private network. + + +## Go further + +If you need training or technical assistance to implement our solutions, contact your sales representative or click on [this link](/links/professional-services) to get a quote and ask our Professional Services experts for assisting you on your specific use case of your project. + +Join our [community of users](/links/community). diff --git a/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/guide.fr-fr.md b/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/guide.fr-fr.md new file mode 100644 index 00000000000..cd0ed5b98d7 --- /dev/null +++ b/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/guide.fr-fr.md @@ -0,0 +1,85 @@ +--- +title: "Object Storage - Comment connecter mon bucket Object Storage avec d'autres ressources dans un réseau privé vRack" +excerpt: "Découvrez comment utiliser l'Object Storage avec des ressources dans un réseau privé" +updated: 2025-10-09 +--- + +## Objectif + +Ce guide explique comment utiliser l'Object Storage avec d'autres ressources dans un réseau privé. + +## Prérequis + +Vous devez disposer des éléments suivants : + +- Un [bucket Object Storage](/pages/storage_and_backup/object_storage/s3_getting_started_with_object_storage). +- Un [réseau privé vRack](/pages/public_cloud/public_cloud_network_services/getting-started-07-creating-vrack). +- Une [Gateway Public Cloud](/pages/public_cloud/public_cloud_network_services/getting-started-02-create-private-network-gateway). +- D'autres ressources (instances Public Cloud, Managed Kubernetes, Bare Metal servers, etc.). + +## En pratique + +### Contexte + +Selon vos besoins, une connexion sécurisée entre un réseau privé et votre bucket Object Storage peut s'avérer nécessaire. Nos services **réseau privé vRack** et **Gateway Public Cloud** sont conçus pour répondre à vos besoins spécifiques en matière de sécurité et de performance. + +Cela vous permet également d'interconnecter deux buckets Object Storage avec vos ressources rassemblées dans un réseau privé vRack (voir le diagramme d'architecture ci-dessous). + +![vrack private network with buckets - diagram](images/object_storage_buckets_vrack_private.png){.thumbnail} + +### Création d'un réseau privé vRack et d'une Gateway Public Cloud + +Afin de créer et de configurer à la fois une Gateway Public Cloud et un réseau privé vRack, veuillez suivre le guide « [Créer un réseau privé avec une Gateway](/pages/public_cloud/public_cloud_network_services/getting-started-02-create-private-network-gateway) ». Ce guide explique comment : + +- Sélectionner et créer la Gateway appropriée en termes de performance et de géo-disponibilité. +- Rattacher un réseau privé vRack existant ou nouvellement créé à la Gateway. + +### Whitelisting des IP + +Une fois la Gateway créée et associée à un réseau privé vRack, l'étape suivante consiste à mettre en place un whitelisting d'un ensemble d'adresses IP que vous souhaitez autoriser pour dialoguer avec vos ressources Object Storage. +Pour ce faire, plusieurs moyens existent : + +- Utilisation des Bucket Policies Object Storage : cette fonctionnalité n'est pas encore implémentée, elle sera bientôt disponible. +- Utilisation des User Policies où vous pouvez explicitement whitelister un ensemble d'adresses IP + +#### Implémentation de la politique utilisateur (User Policies) + +Tout d'abord, voici un rappel du processus actuel d'évaluation des autorisations utilisateur : + +1. si elle existe, évaluer la politique utilisateur sinon se référer aux ACLs + 1. vérifier s'il existe un *Deny* explicite : s'il existe un *Deny* explicite, refuser l'autorisation, sinon, vérifier s'il existe un *Allow* explicite + 2. vérifier s'il existe un *Allow* explicite : s'il existe un *Allow* explicite, accorder l'autorisation + 3. s'il n'existe ni *Deny* explicite ni *Allow* explicite, se référer aux ACL +2. se référer aux ACLs + +Ce processus d'évaluation sera susceptible d'être modifié avec la mise en œuvre prochaine des bucket policies. + +En raison du processus d'autorisation actuel, OVHcloud Object Storage ne prend pas en charge le ***deny* implicite** lorsque l'utilisateur est le propriétaire du bucket. En effet, les ACL sont évaluées par défaut et le propriétaire du bucket dispose d'une ACL FULL_CONTROL, ce qui signifie que l'utilisateur sera autorisé même en l'absence d'autorisation explicite dans le fichier de stratégie. + +Par conséquent, nous recommandons de créer de nouveaux utilisateurs (autres que le propriétaire du bucket aka *bucket_owner* lui-même) pour définir cette politique et éviter toute incompatibilité ou confusion. Enfin, il est important de noter que la politique doit être associée à chaque utilisateur accédant aux ressources. + +Dans notre scénario, nous allons autoriser toutes les opérations pour un ensemble d'IP spécifiquement whitelistées en utilisant la politique suivante : + +```json +{ + "Statement": [{ + "Sid": "ExampleStatement01", + "Effect": "Allow", + "Action": "s3:*", + "Resource": ["*"], + "Condition": { + "IpAddress": { + "aws:SourceIp": "10.0.0.5/16" + } + } + }] +} +``` + +Pour appliquer cette nouvelle politique à votre utilisateur S3, veuillez suivre lles étapes définies dans le guide « [Object Storage - Gestion des identités et des accès](/pages/storage_and_backup/object_storage/s3_identity_and_access_management) », et ainsi finaliser l'interconnexion entre vos ressources Object Storage et celles présentes au sein de votre réseau privé. + +## Aller plus loin + +Si vous avez besoin d'une formation ou d'une assistance technique pour la mise en oeuvre de nos solutions, contactez votre commercial ou cliquez sur [ce lien](/links/professional-services) pour obtenir un devis et demander une analyse personnalisée de votre projet à nos experts de l’équipe Professional Services. + +Échangez avec notre [communauté d'utilisateurs](/links/community). diff --git a/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/images/object_storage_buckets_vrack_private.png b/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/images/object_storage_buckets_vrack_private.png new file mode 100644 index 00000000000..c5165d775d6 Binary files /dev/null and b/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/images/object_storage_buckets_vrack_private.png differ diff --git a/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/meta.yaml b/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/meta.yaml new file mode 100644 index 00000000000..516d5b66f05 --- /dev/null +++ b/pages/storage_and_backup/object_storage/connect_other_ressources_in_vrack_private_network/meta.yaml @@ -0,0 +1,2 @@ +id: aa9e5bc0-73d7-4a4a-aff4-ee1a17262430 +full_slug: public-cloud-storage-s3-with-private-network