Google Cloud Storage 存储库

Google Cloud Storage 服务使用 存储桶 的概念作为所有数据的容器。存储桶通常使用 Google Cloud Platform Console 创建。此存储库类型不会自动创建存储桶。

要创建新的存储桶：

有关更详细的说明，请参阅 Google Cloud 文档。

存储库必须对其向 Google Cloud Storage 服务发出的请求进行身份验证。Google 客户端库通常采用一种名为应用程序默认凭据的策略。但是，Elasticsearch 仅部分支持该策略。存储库在启用了安全管理器的 Elasticsearch 进程下运行。当环境变量 GOOGLE_APPLICATION_CREDENTIALS 用于指向磁盘上的本地文件时，安全管理器会阻止“自动”凭据发现。但是，它可以检索附加到正在运行 Elasticsearch 的资源的服务帐户，或者回退到 Compute Engine、Kubernetes Engine 或 App Engine 提供的默认服务帐户。或者，如果你使用的环境不支持自动凭据发现，则必须配置 服务帐户凭据。

你必须手动获取并提供 服务帐户凭据。

有关生成 JSON 服务帐户文件的详细信息，请参阅 Google Cloud 文档。请注意，此存储库类型不支持 PKCS12 格式。

以下是步骤摘要：

JSON 服务帐户文件如下所示：

{
  "type": "service_account",
  "project_id": "your-project-id",
  "private_key_id": "...",
  "private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----\n",
  "client_email": "service-account-for-your-repository@your-project-id.iam.gserviceaccount.com",
  "client_id": "...",
  "auth_uri": "https://127.0.0.1/o/oauth2/auth",
  "token_uri": "https://127.0.0.1/o/oauth2/token",
  "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
  "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/[email protected]"
}

要将此文件提供给存储库，必须将其存储在 Elasticsearch 密钥库中。你必须使用 add-file 子命令添加一个名为 gcs.client.NAME.credentials_file 的 file 设置。NAME 是存储库的客户端配置的名称。隐式客户端名称为 default，但可以使用 client 键在存储库设置中指定不同的客户端名称。

例如，如果你在密钥库中添加了 gcs.client.my_alternate_client.credentials_file 设置，则可以像这样配置存储库以使用这些凭据：

resp = client.snapshot.create_repository(
    name="my_gcs_repository",
    repository={
        "type": "gcs",
        "settings": {
            "bucket": "my_bucket",
            "client": "my_alternate_client"
        }
    },
)
print(resp)

const response = await client.snapshot.createRepository({
  name: "my_gcs_repository",
  repository: {
    type: "gcs",
    settings: {
      bucket: "my_bucket",
      client: "my_alternate_client",
    },
  },
});
console.log(response);

PUT _snapshot/my_gcs_repository
{
  "type": "gcs",
  "settings": {
    "bucket": "my_bucket",
    "client": "my_alternate_client"
  }
}

credentials_file 设置是可重新加载的。你可以在节点启动前定义这些设置，或者在定义设置后调用 节点重新加载安全设置 API 以将它们应用到正在运行的节点。

重新加载设置后，用于传输快照内容的内部 gcs 客户端将使用密钥库中的最新设置。

用于访问存储桶的服务帐户必须具有对该存储桶的“写入者”访问权限