StorageGRIDをサードパーティのレイヤー7ロードバランサーのIPベースで動作するように設定する方法

この記事は、NGINX や HAProxy などの外部レイヤー 7 ロードバランサーを 1 つ以上使用し、S3 バケットまたはグループポリシーがIP ベース の場合、StorageGRID 11.4.0 以降に適用されます。StorageGRID は実際の送信者の IP アドレスを特定する必要があります。

S3バケットまたはグループポリシーでは、ポリシー条件キーaws:SourceIpとポリシー変数${aws:SourceIp}は、S3リクエストの送信者のIPアドレスと比較されます。

外部（サードパーティ）レイヤー7ロードバランサーを使用してストレージノードにリクエストをルーティングする場合、StorageGRIDは実際の送信者のIPアドレスを特定する必要があります。これは、ロードバランサーによってリクエストに挿入されるX-Forwarded-For（XFF）ヘッダーを確認することで行われます。
X-Forwarded-Forヘッダーは、ストレージノードに直接送信されるリクエストでは簡単に偽装できるため、StorageGRIDは各リクエストが信頼できるレイヤー7ロードバランサーによってルーティングされていることを確認する必要があります。StorageGRIDがリクエストの送信元を信頼できない場合、X-Forwarded-Forヘッダーは無視されます。
StorageGRID 11.4以降では、信頼できる外部レイヤー7ロードバランサーのリストを設定できる新しいグリッド管理APIが追加されました。この新しいAPIは非公開であり、将来のStorageGRIDリリースで変更される可能性があります。