存储类和分层

在 阿里云 ACK 上大规模部署 RustFS 的关键要求是跨存储类（NVMe、HDD、公有云）的能力层。这使企业能够同时管理成本和性能。

RustFS 支持将老化对象从快速 NVMe 层自动过渡到更具成本效益的 HDD 层，甚至是成本优化的冷公有云存储层。

分层时，RustFS 会跨层提供统一的命名空间。跨层的移动对应用程序是透明的，并由客户确定的策略触发。

RustFS 通过在源头加密对象，在 阿里云 ACK 混合云中提供安全存储，确保客户始终完全控制数据。当 阿里云 ACK 部署在公有云中时，分层功能可帮助 阿里云 ACK 跨持久块存储和更便宜的对象存储层有效地管理数据。

外部负载均衡

RustFS 的所有通信都基于HTTP、RESTful API，并将支持任何标准的Kubernetes兼容入口控制器。这包括基于硬件和软件定义的解决方案。最受欢迎的选择是NGINX。使用OperatorHub或OpenShift Marketplace进行安装，然后使用注释公开 RustFS 租户。

加密密钥管理

没有原生的OpenShift密钥管理功能。因此， RustFS 建议使用HashiCorp Vault在对象存储系统之外存储密钥。这是云原生应用程序的最佳实践。

对于所有生产环境，我们建议默认情况下在所有存储桶上启用加密。 RustFS 使用AES-256-GCM或ChaCha20-Poly1305加密来保护数据完整性和机密性，对性能的影响可以忽略不计。

RustFS 支持所有三种服务器端加密（SSE-KMS、SSE-S3和SSE-C）模式。SSE-S3和SSE-KMS与服务器端的KMS集成，而SSE-C使用客户端提供的密钥。

RustFS 将使用此KMS引导其内部密钥加密服务器（KES服务），以实现高性能的每对象加密。每个租户都在一个孤立的命名空间中运行自己的KES服务器。

身份管理

在OpenShift上运行 RustFS 时，客户可以通过第三方OpenID Connect/LDAP兼容身份提供商（如Keycloak、Okta/Auth0、Google、Facebook、ActiveDirectory和OpenLDAP）管理单点登录（SSO）。 RustFS 推荐OpenID Connect兼容的Keycloak IDP。

外部IDP允许管理员集中管理用户/应用程序身份。 RustFS 建立在IDP之上，提供AWS IAM风格的用户、组、角色、策略和令牌服务API。独立于基础设施的统一身份和访问管理（IAM）层的能力提供了显著的架构灵活性。

证书管理

从应用程序到 RustFS 的所有流量，包括节点间流量，都使用TLS加密。TLS证书用于保护网络通信和建立网络连接资源的身份，例如 RustFS 服务器域。

RustFS 与OpenShift证书管理器集成，因此您可以使用 RustFS 操作员为 RustFS 租户自动配置、配置、管理和更新证书。租户在自己的Kubernetes命名空间中完全相互隔离，拥有自己的证书，以提高安全性。

监控和警报

RustFS 建议使用Grafana，OpenShift-user-workload-monitoring项目中安装的平台监控组件，或任何其他OpenShift容器监控工具连接到 RustFS 。 RustFS 发布所有可想象的与存储相关的Prometheus指标，从存储桶容量到访问指标。这些指标可以在任何与Prometheus兼容的工具或 RustFS 控制台中收集和可视化。

外部监测解决方案定期刮取 RustFS Prometheus端点。 RustFS 建议使用Grafana或openshift-user-workload-monitoring项目中安装的平台监控组件连接到 RustFS 。这些相同的工具也可用于建立基线和设置通知警报阈值，然后可以路由到PagerDuty、Freshservice甚至SNMP等通知平台。