S3 erişim anahtarları ve kova bazında izinler: yalnız okuma, yalnız bir kova

1. Neden her iş için ayrı anahtar?

Erişim anahtarı, uygulamaların kovalarınıza bağlanmak için kullandığı kullanıcı adı (Erişim anahtarı (Access Key ID)) ve parola (Gizli anahtar (Secret Access Key)) çiftidir. Tek bir anahtarı her yerde kullanırsanız, o anahtarın bulunduğu tek bir sunucunun ele geçirilmesi tüm kovalarınızı açığa çıkarır.

Her sunucuya ve uygulamaya yalnız işine yarayan kovaya, yalnız gereken izinle erişen ayrı bir anahtar verin:

• Bir sunucu ele geçirilse bile diğer kovalarınıza ulaşılamaz.
• Bir anahtarı yenilediğinizde ya da sildiğinizde yalnız o uygulama etkilenir.
• Anahtarlar hiçbir izinle kova açamaz, silemez ya da ayar değiştiremez; bu işler yalnız müşteri panelinden yapılır.

Nesne Depolama'nın genel anlatımı: Nesne Depolama (S3) rehberi.

2. Üç izin türü

İzinler kova bazındadır: bir anahtar firma-yedek'te Okuma + yazma, firma-site'ta Erişim yok olabilir. Her hizmette en çok 5 erişim anahtarı oluşturabilirsiniz.

3. Adım adım: yeni anahtar

1. Nesne Depolama hizmetinizde Yönetim sekmesini açın ve Erişim anahtarları'na girin.
2. Yeni anahtar'a basın.
3. Ad kutusuna anahtarı tanıyacağınız bir ad yazın (ör. "sunucu yedeği").
4. Pencerenin altındaki Kova izinleri bölümünde her kova için izni seçin. Varsayılan her kovada Okuma + yazma'dır; yalnız gereken kovayı bırakıp diğerlerini Erişim yok yapın.
5. Oluştur'a basın.
6. Ekranda Erişim anahtarı (Access Key ID), Gizli anahtar (Secret Access Key), S3 adresi ve bölge görünür. Gizli anahtarı hemen bir parola yöneticisine kaydedin ve Kaydettim'e basın.

Bu anahtarla bağlanma: aws-cli ve rclone ile bağlanma.

4. Mevcut anahtarın izinlerini değiştirme

1. Erişim anahtarları listesinde anahtarın satırındaki kalkan simgeli İzinler düğmesine basın.
2. Her kova için izni seçin ve Kaydet'e basın.

Değişiklik hemen geçerli olur; anahtarı kullanan uygulamayı yeniden başlatmanız gerekmez. Sayfanın altındaki Kova izinleri tablosunda tüm anahtarların tüm kovalardaki iznini tek bakışta görürsünüz.

Yeni açılan kovalarda izin

Yeni bir kova açtığınızda mevcut anahtarlar bu kovada Yeni kovalarda mevcut anahtarlara varsayılan izin ayarındaki izinle başlar (ilk ayar Okuma + yazma). Çok sayıda kısıtlı anahtar kullanıyorsanız bu ayarı Erişim yok yapın ve Kaydet'e basın; yeni kovaya hangi anahtarın erişeceğini sonra tek tek seçersiniz.

5. Örnek senaryolar

5.1 Yedek sunucusu yalnız kendi kovasına yazsın

1. Yeni anahtar: ad "web1 yedek", firma-yedek → Okuma + yazma, diğer tüm kovalar → Erişim yok.
2. Anahtarı yalnız web1 sunucusundaki yedek aracına (restic, rclone, cPanel) girin.
3. Fidye yazılımına karşı ek önlem: yedekleri restic gibi şifreli ve geçmiş tutan bir araçla alın. Bu hizmette sürümleme ve nesne kilidi (Object Lock) yoktur; anahtarı ele geçiren biri kendi kovasındaki dosyaları silebilir. Restic deposunun parolasını sunucudan ayrı saklayın.

5.2 Web uygulaması yalnız okusun

1. Yeni anahtar: ad "site okuma", firma-medya → Yalnız okuma, diğerleri → Erişim yok.
2. Uygulama dosyaları okuyup gösterebilir ama yükleyemez ya da silemez.

5.3 Geri yükleme için ikinci sunucu

Yedeği başka bir sunucuya geri açacaksanız o sunucuya firma-yedek üzerinde Yalnız okuma anahtarı verin. Geri yükleme sırasında bir hata yedeği silemez.

6. Anahtarı yenileme ve silme

• Yenile: aynı adla ve aynı kova izinleriyle yeni bir anahtar oluşturulur, eskisi hemen silinir. Yeni gizli anahtar bir kez gösterilir. Eski anahtarı kullanan uygulamalar çalışmayı bırakır; yeni değerleri girin.
• Sil: anahtar hemen geçersiz olur.
• Ana anahtar: ödeme onaylandığında oluşan ilk anahtardır. Gizli değerini kurulumdan sonraki 7 gün içinde bir kez Gizli anahtarı bir kez göster ile görebilirsiniz. Düğme görünmüyorsa değer zaten gösterilmiş ya da süre dolmuştur; anahtarı Yenile'yle değiştirin.

Bir sunucunun ele geçirildiğinden şüpheleniyorsanız o sunucunun anahtarını hemen Sil'in ya da Yenile'yin.

7. Sık sorulan sorular

8. Komut satırından (gyro CLI)

Erişim anahtarlarını Gyro API ve gyro CLI ile de yönetebilirsiniz (komut grubu storage, kısa adı s3):

# anahtarları listeleyin
gyro storage key list <HIZMET_NO>

# yalnız firma-yedek kovasına okuma+yazma, firma-site'a erişim yok
gyro storage key create <HIZMET_NO> \
  --data '{"label":"web1 yedek","perms":"firma-yedek:rw,firma-site:none","confirm":true}'

İzin değerleri: rw (Okuma + yazma), r (Yalnız okuma), none (Erişim yok). Yanıttaki gizli anahtar yalnız bu bir kez döner; çıktıyı log dosyalarına yazmayın.