Google Cloud Storage 存储库

Google Cloud Storage 服务使用 存储桶 的概念作为所有数据的容器。存储桶通常使用 Google Cloud Platform 控制台 创建。此存储库类型不会自动创建存储桶。

要创建新的存储桶

有关更详细的说明，请参阅 Google Cloud 文档。

存储库必须对它向 Google Cloud Storage 服务发出的请求进行身份验证。Google 客户端库通常采用名为 应用程序默认凭据 的策略。但是，Elasticsearch 仅 部分支持 该策略。存储库在启用了安全管理器的 Elasticsearch 进程下运行。安全管理器在使用环境变量 GOOGLE_APPLICATION_CREDENTIALS 指向磁盘上的本地文件时，会阻止“自动”凭据发现。但是，它可以检索附加到运行 Elasticsearch 的资源的服务帐户，或回退到 Compute Engine、Kubernetes Engine 或 App Engine 提供的默认服务帐户。或者，如果您使用的环境不支持自动凭据发现，则必须配置 服务帐户 凭据。

您必须手动获取并提供 服务帐户凭据。

有关生成 JSON 服务帐户文件的详细信息，请参阅 Google Cloud 文档。请注意，此存储库类型不支持 PKCS12 格式。

以下是步骤摘要

JSON 服务帐户文件如下所示

{
  "type": "service_account",
  "project_id": "your-project-id",
  "private_key_id": "...",
  "private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----\n",
  "client_email": "service-account-for-your-repository@your-project-id.iam.gserviceaccount.com",
  "client_id": "...",
  "auth_uri": "https://accounts.google.com/o/oauth2/auth",
  "token_uri": "https://accounts.google.com/o/oauth2/token",
  "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
  "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/[email protected]"
}

要将此文件提供给存储库，它必须存储在 Elasticsearch 密钥存储 中。您必须使用 add-file 子命令添加名为 gcs.client.NAME.credentials_file 的 file 设置。 NAME 是存储库的客户端配置的名称。隐式客户端名称为 default，但在存储库设置中可以使用 client 密钥指定不同的客户端名称。

例如，如果您在密钥存储中添加了 gcs.client.my_alternate_client.credentials_file 设置，则可以像这样配置存储库以使用这些凭据

resp = client.snapshot.create_repository(
    name="my_gcs_repository",
    repository={
        "type": "gcs",
        "settings": {
            "bucket": "my_bucket",
            "client": "my_alternate_client"
        }
    },
)
print(resp)

const response = await client.snapshot.createRepository({
  name: "my_gcs_repository",
  repository: {
    type: "gcs",
    settings: {
      bucket: "my_bucket",
      client: "my_alternate_client",
    },
  },
});
console.log(response);

PUT _snapshot/my_gcs_repository
{
  "type": "gcs",
  "settings": {
    "bucket": "my_bucket",
    "client": "my_alternate_client"
  }
}

credentials_file 设置是 可重新加载的。您可以在节点启动之前定义这些设置，或者在定义设置后调用 节点重新加载安全设置 API 以将其应用于正在运行的节点。

重新加载设置后，用于传输快照内容的内部 gcs 客户端将利用密钥存储中的最新设置。

用于访问存储桶的服务帐户必须对存储桶具有“写入者”权限。