Object Storage - Premiers pas avec Private Endpoint (Beta)

Objectif

Un Private Endpoint permet aux ressources d'un sous-réseau d'un réseau privé Public Cloud d'accéder à votre Object Storage compatible S3¹ via le réseau OVHcloud, sans Gateway. Votre trafic reste privé, sans nécessiter de connectivité publique.

Ce guide vous explique comment créer un Private Endpoint, y connecter votre client S3 et faire en sorte que vos buckets ne soient accessibles que par ce chemin privé.

Prérequis

• Un projet Public Cloud dans votre compte OVHcloud
• Un réseau privé Public Cloud et un sous-réseau, actifs dans la région où vous souhaitez créer le Private Endpoint, avec une adresse IP libre
• Un utilisateur et un bucket Object Storage
• Un accès à l'API OVHcloud, à la console OVHcloud ou à Terraform

Les clients qui utilisent le Private Endpoint sont les ressources de ce sous-réseau, comme des instances ou des serveurs Bare Metal connectés via le vRack.

Accès à la console OVHcloud

• Lien direct : Projets Public Cloud
• Chemin d'accès : Public Cloud > Sélectionnez votre projet > Réseau > Private Endpoint

En pratique

Fonctionnement

Lorsque vous créez un Private Endpoint, OVHcloud le place dans le sous-réseau de votre choix et lui attribue :

• une adresse IP privée (VIP) dans ce sous-réseau ;
• un nom d'hôte, de la forme pe-<pe_id>.s3.{region}.endpoint.cloud.ovh.net.

Vos instances envoient alors leurs requêtes S3 à ce nom d'hôte, au lieu du point de terminaison public d'Object Storage. Vos identifiants (clé d'accès et clé secrète) ne changent pas.

Le trafic est chiffré en TLS de bout en bout, de votre client S3 jusqu'à Object Storage. Le Private Endpoint le transmet sans le déchiffrer.

Un Private Endpoint possède deux identifiants. Veillez à utiliser le bon :

Étape 1 - Choisir un niveau de connectivité

Chaque Private Endpoint dispose d'un niveau de connectivité, qui détermine sa bande passante :

Les valeurs de bande passante s'appliquent à la Beta et peuvent évoluer.

[
  {
    "name": "s3",
    "description": "OVHcloud Object Storage",
    "tiers": [
      { "name": "S", "bandwidth": 500, "location": { "region": "GRA11" }, "port": 443, "transport": "TCP" }
    ]
  }
]

Étape 2 - Créer le Private Endpoint

Avant de commencer, décidez comment le nom d'hôte du Private Endpoint sera résolu. Vous faites ce choix lors de la création du Private Endpoint, avec l'option DNS public (publicDnsEnabled dans l'API) :

Le détail de chaque option est donné à l'étape 3.

{
  "targetSpec": {
    "name": "my-s3-endpoint",
    "description": "Private S3 access for the backup subnet",
    "location": { "region": "GRA11" },
    "service": {
      "name": "s3",
      "tier": "S"
    },
    "network": { "id": "<network_id>" },
    "subnet": { "id": "<subnet_id>" },
    "publicDnsEnabled": false
  }
}

Étape 3 - Configurer la résolution de noms

Le point de terminaison public standard d'Object Storage (s3.{region}.io.cloud.ovh.net) n'est pas redirigé automatiquement vers votre Private Endpoint. Vos applications doivent utiliser explicitement le nom d'hôte du Private Endpoint, par exemple pe-a1b2c3d4.s3.gra.endpoint.cloud.ovh.net.

La marche à suivre dépend du choix DNS public effectué à l'étape 2 :

• DNS public activé : vous n'avez rien à configurer. Passez à l'étape 4.
• DNS public désactivé : dans votre service DNS, par exemple une zone DNS privée, faites pointer les noms suivants vers l'adresse IP du Private Endpoint (Endpoint VIP dans la console, currentState.vipAddress dans l'API) :
  • pe-<pe_id>.s3.{region}.endpoint.cloud.ovh.net ;
  • *.pe-<pe_id>.s3.{region}.endpoint.cloud.ovh.net, qui couvre les URL incluant le nom du bucket.

Étape 4 - Connecter votre client S3 au Private Endpoint

Une fois le Private Endpoint à l'état READY, remplacez le point de terminaison Object Storage de votre client S3 par le nom d'hôte du Private Endpoint. Dans les exemples ci-dessous, remplacez pe-a1b2c3d4.s3.gra.endpoint.cloud.ovh.net par votre propre nom d'hôte.

aws --endpoint-url https://pe-a1b2c3d4.s3.gra.endpoint.cloud.ovh.net s3 ls
aws --endpoint-url https://pe-a1b2c3d4.s3.gra.endpoint.cloud.ovh.net s3 cp /data/myfile.txt s3://<bucket_name>

[profile private-endpoint]
region = gra
endpoint_url = https://pe-a1b2c3d4.s3.gra.endpoint.cloud.ovh.net

import boto3

s3 = boto3.client(
    "s3",
    endpoint_url="https://pe-a1b2c3d4.s3.gra.endpoint.cloud.ovh.net",
    aws_access_key_id="<access_key>",
    aws_secret_access_key="<secret_key>",
    region_name="gra",
)
s3.list_buckets()

host_base = pe-a1b2c3d4.s3.gra.endpoint.cloud.ovh.net
host_bucket = pe-a1b2c3d4.s3.gra.endpoint.cloud.ovh.net

Vous pouvez continuer à utiliser la clé d'accès et la clé secrète de votre utilisateur Object Storage existant.

Étape 5 - Restreindre l'accès à vos buckets au Private Endpoint

Créer un Private Endpoint offre à vos instances un chemin privé vers Object Storage, mais ne bloque pas l'accès depuis le point de terminaison public. Pour que le Private Endpoint soit le seul moyen d'accéder à vos données, ajoutez une restriction à la politique de votre utilisateur Object Storage.

L'instruction suivante refuse toute requête qui ne passe pas par votre Private Endpoint. Remplacez pe-<pe_id> par l'identifiant de votre Private Endpoint, affiché dans le champ ID de sa page de détails dans la console, ou dans le champ currentState.endpointId de l'API :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyUnlessViaPrivateEndpoint",
      "Effect": "Deny",
      "Action": "s3:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpce": "pe-<pe_id>"
        }
      }
    }
  ]
}

Si votre utilisateur possède déjà une politique, ajoutez cette instruction à sa liste Statement existante plutôt que de la remplacer.

Pour appliquer la politique, utilisez l'une des méthodes suivantes.

aws iam put-user-policy \
  --endpoint-url https://s3.<region>.io.cloud.ovh.net \
  --user-name <user_name> \
  --policy-name private-endpoint-only \
  --policy-document file://policy.json

Étape 6 (facultative) - Accéder au Private Endpoint depuis plusieurs sous-réseaux

Un Private Endpoint est placé dans un seul sous-réseau. Si des instances situées dans d'autres sous-réseaux du même réseau privé ont également besoin d'un accès privé à Object Storage, vous avez deux options :

• Créer un Private Endpoint par sous-réseau. C'est l'option la plus simple, sans routage à configurer. Pendant la Beta, les Private Endpoints sont gratuits, mais chacun compte dans la limite de 2 Private Endpoints par projet.
• Utiliser un seul Private Endpoint et une instance routeur. Placez le Private Endpoint dans un sous-réseau, puis faites transiter le trafic des autres sous-réseaux par une instance dédiée faisant office de routeur, connectée à ces sous-réseaux. Un seul Private Endpoint dessert alors tous vos sous-réseaux, mais vous devez gérer cette instance vous-même.

Les instances du sous-réseau A accèdent directement au Private Endpoint. Les instances du sous-réseau B y accèdent via l'instance routeur qui relie les deux sous-réseaux.

Gérer vos Private Endpoints

L'IAM OVHcloud gère les droits de consultation, de création, de modification et de suppression des Private Endpoints. Les actions s'appliquent au projet Public Cloud (type de ressource publicCloudProject) :

• publicCloudProject:apiovh:privateEndpoint/get
• publicCloudProject:apiovh:privateEndpoint/create
• publicCloudProject:apiovh:privateEndpoint/edit
• publicCloudProject:apiovh:privateEndpoint/delete
• publicCloudProject:apiovh:reference/privateEndpoint/serviceAvailability/get

Seuls le nom et la description sont modifiables. Le niveau, le réseau privé et le sous-réseau ne peuvent pas être modifiés après la création : pour les changer, créez un nouveau Private Endpoint, puis supprimez l'ancien.

{
  "checksum": "<checksum>",
  "targetSpec": {
    "name": "my-s3-endpoint-renamed",
    "description": "Updated description"
  }
}

Prochainement

Les fonctionnalités suivantes sont prévues après la Beta :

• la restriction de l'accès à vos buckets via des politiques de bucket ;
• la restriction de l'accès à vos buckets via des politiques IAM OVHcloud, une fois Object Storage intégré à l'IAM OVHcloud.

Aller plus loin

Object Storage - Gestion des identités et des accès

Object Storage - Comment connecter mon bucket Object Storage avec d'autres ressources dans un réseau privé vRack

Pour une formation ou une assistance technique sur la mise en œuvre de nos solutions, contactez votre commercial ou consultez la page Professional Services pour obtenir un devis et faire analyser votre projet par nos experts.

Échangez avec notre communauté d'utilisateurs.

¹ : S3 est une marque déposée appartenant à Amazon Technologies, Inc. Les services OVHcloud ne sont pas sponsorisés, approuvés, ou affiliés de quelque manière que ce soit.