cloudos5.0连接对象存储

一、核心原因分析

1. 1.

   ​​权限传递问题​​

   • •

     CloudOS使用的IAM账号未获得​​桶列表读取权限​​（即使桶策略已配置）

   • •

     跨服务认证时 ​​STS临时令牌​​ 权限范围不足

2. 2.

   ​​API通信异常​​

   • •

     Onestor的S3网关地址（如http://10.10.1.100:7480）无法被CloudOS访问

   • •

     对象存储服务使用的​​端口被防火墙拦截​​（默认7480/80）

3. 3.

   ​​版本兼容性故障​​

   • •

     CloudOS 5.0 与 Onestor版本存在​​S3 API协议差异​​（如v2与v4签名不兼容）

4. 4.

   ​​配置逻辑缺陷​​

   • •

     桶的​​命名不符合S3规范​​（如包含大写字母或下划线）

   • •

     桶策略中未显式添加 s3:ListAllMyBuckets权限

二、问题排查步骤

✅ ​​1. 权限验证（关键步骤）​​

• •

  ​​若返回桶列表​​ → CloudOS服务配置错误

• •

  ​​若报AccessDenied​​ → Onestr权限配置错误

✅ ​​2. 网络层诊断​​

✅ ​​3. 日志分析​​

关注关键词：ERR 403 Forbidden/ SignatureNotMatch/ NoSuchBucket

三、解决方案

⚠️ ​​场景1：权限配置错误​​

1. 1.

   ​​在Onestor添加最小权限策略​​

   { "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Action": [ "s3:ListAllMyBuckets", // 允许列出桶 "s3:GetBucketLocation" // 允许获取桶位置 ], "Resource": "*" }] }
2. 2.

   ​​授权给CloudOS服务账号​​

   # 在Onestor节点执行 radosgw-admin policy put --bucket={桶名} \ --uid={CloudOS使用的账号} --access=full

⚠️ ​​场景2：网络/通信故障​​

1. 1.

   ​​开放防火墙规则​​

   # 在Onestor宿主机执行 iptables -I INPUT -p tcp --dport 7480 -j ACCEPT service iptables save
2. 2.

   ​​配置域名解析（必须）​​

   • •

     在CloudOS节点的/etc/hosts添加：

     10.10.1.100 s3.onestor.local

   • •

     CloudOS配置页用域名访问：http://s3.onestor.local:7480

⚠️ ​​场景3：协议兼容性问题​​

1. 1.

   ​​强制使用S3v2签名（CloudOS侧）​​

   # 编辑CloudOS配置文件 vim /opt/cloudos/conf/storage.conf

   添加参数：

   [oss] signature_version = s3v2
2. 2.

   ​​升级组件补丁​​

   # 获取热补丁（需H3C技术支持） patch_cloudos.sh -u http://patch.h3c.com/cos5/oss_fix.bin

⚠️ ​​场景4：桶命名规范问题​​

• •

  ​​重建符合规范的桶​​：

  • •

    仅使用​​小写字母+数字+短横线​​（如 backup-01）

  • •

    长度3-63字符

• •

  在CloudOS配置页填写桶名时 ​​禁用自动大小写转换​​

四、配置自检清单

1. 1.

   [ ] Onestor用户已开通S3 API访问权限

2. 2.

   [ ] 桶策略包含 s3:ListAllMyBuckets权限项

3. 3.

   [ ] CloudOS→Onestor网络延迟＜50ms

4. 4.

   [ ] 所有节点时间同步（ntpdate误差＜3秒）

5. 5.

   [ ] 无安全软件拦截7480端口流量

五、应急措施

若需立即备份，​​临时改用SFTP存储​​：

⚠️ ​​最终建议​​：

收集以下数据提交H3C技术支持（400-810-0504）：

1. 1.

   CloudOS的/opt/cloudos/logs/service_mgr.log

2. 2.

   Onestor的/opt/onestor/logs/rgw/rgw.log

3. 3.

   执行s3cmd --debug ls的输出

4. 4.

   网络拓扑图（标注CloudOS与Onestor通信路径）

您好，参考

1. 先查 OneStor 用户的ListBuckets 权限（最常见原因）；
2. 再核 CloudOS 的Endpoint 与密钥（参数错误高频）；
3. 接着测网络与端口连通性（基础保障）；
4. 最后查服务状态与日志（兜底定位）。