Wasabi Cloud hỗ trợ mô hình IAM (Identity and Access Management) cho phép kiểm soát truy cập chi tiết đến tài nguyên lưu trữ như buckets, folders (prefix) và objects.
 Việc xây dựng các policy IAM sử dụng định dạng JSON giúp xác định chính xác:

• Ai được truy cập
• Truy cập ở đâu (bucket, folder)
• Có thể làm gì (đọc, ghi, xóa, liệt kê…)

Wasabi IAM Policy có thể gán cho:

• User (từng cá nhân, ứng dụng)
• Group (tập hợp users cùng vai trò)
• Tài nguyên cụ thể như bucket, folder, hoặc toàn hệ thống

Hướng dẫn cách viết policy bằng JSON để:

• Cấp quyền đọc/ghi/xoá dữ liệu cho người dùng
• Giới hạn quyền theo bucket, prefix (folder), hoặc hành động cụ thể
• Cấu hình chính sách phân quyền theo nhóm (group-based) cho doanh nghiệp SMB

Doanh nghiệp: VACIF
 Hệ thống lưu trữ:

• Truy cập: https://console.wasabisys.com
• Đăng nhập với quyền Admin
• Điều hướng: Policies → Create Policy

Mô tả: Toàn quyền thao tác với mọi bucket, bao gồm vacif-dulieu và vacif-luutru.

{

  “Version”: “2012-10-17”,

  “Statement”: [

    {

      “Sid”: “ITGroupFullAccess”,

      “Effect”: “Allow”,

      “Action”: [

        “s3:*”,

        “s3:ListAllMyBuckets”

      ],

      “Resource”: “*”

    }

  ]

}

Mô tả:

• Read/Write thư mục vacif-dulieu/HR/
• Read-only thư mục IT/ và MKT/
• Cấm hoàn toàn truy cập bucket vacif-luutru

{

  “Version”: “2012-10-17”,

  “Statement”: [

    {

      “Sid”: “HRGroupRW”,

      “Effect”: “Allow”,

      “Action”: [

        “s3:GetObject”,

        “s3:PutObject”,

        “s3:ListBucket”

      ],

      “Resource”: [

        “arn:aws:s3:::vacif-dulieu/HR/*”,

        “arn:aws:s3:::vacif-dulieu”

      ]

    },

    {

      “Sid”: “HRGroupROOthers”,

      “Effect”: “Allow”,

      “Action”: [

        “s3:GetObject”,

        “s3:ListBucket”

      ],

      “Resource”: [

        “arn:aws:s3:::vacif-dulieu/IT/*”,

        “arn:aws:s3:::vacif-dulieu/MKT/*”,

        “arn:aws:s3:::vacif-dulieu”

      ]

    },

    {

      “Sid”: “HRGroupDenyLuutru”,

      “Effect”: “Deny”,

      “Action”: “s3:*”,

      “Resource”: [

        “arn:aws:s3:::vacif-luutru”,

        “arn:aws:s3:::vacif-luutru/*”

      ]

    }

  ]

}

Mô tả:

• Read/Write thư mục vacif-dulieu/MKT/
• Read-only thư mục IT/ và HR/
• Cấm hoàn toàn bucket vacif-luutru

{

  “Version”: “2012-10-17”,

  “Statement”: [

    {

      “Sid”: “MKTGroupRW”,

      “Effect”: “Allow”,

      “Action”: [

        “s3:GetObject”,

        “s3:PutObject”,

        “s3:ListBucket”

      ],

      “Resource”: [

        “arn:aws:s3:::vacif-dulieu/MKT/*”,

        “arn:aws:s3:::vacif-dulieu”

      ]

    },

    {

      “Sid”: “MKTGroupROOthers”,

      “Effect”: “Allow”,

      “Action”: [

        “s3:GetObject”,

        “s3:ListBucket”

      ],

      “Resource”: [

        “arn:aws:s3:::vacif-dulieu/HR/*”,

        “arn:aws:s3:::vacif-dulieu/IT/*”,

        “arn:aws:s3:::vacif-dulieu”

      ]

    },

    {

      “Sid”: “MKTGroupDenyLuutru”,

      “Effect”: “Deny”,

      “Action”: “s3:*”,

      “Resource”: [

        “arn:aws:s3:::vacif-luutru”,

        “arn:aws:s3:::vacif-luutru/*”

      ]

    }

  ]

}

• Sau khi gán policy cho từng nhóm, kiểm tra lại quyền truy cập thực tế bằng:
• Đăng nhập bằng user tương ứng
• Sử dụng công cụ hỗ trợ như WinSCP, S3 Browser hoặc AWS CLI
• Thử các hành động: đọc, ghi, xóa, upload file, tạo folder…

Đảm bảo rằng:

+ son toàn quyền trên mọi thư mục

+ simpson chỉ ghi được ở HR, đọc được ở IT & MKT

+ simon chỉ ghi được ở MKT, đọc được ở IT & HR

Việc triển khai IAM Policy JSON trong Wasabi giúp:

• Phân quyền chi tiết và chính xác theo nhu cầu doanh nghiệp
• Tăng cường bảo mật, tránh rò rỉ dữ liệu giữa các phòng ban
• Tối ưu vận hành khi số lượng người dùng và dữ liệu tăng lên

• Duy trì một chính sách chung cho mỗi group để dễ quản lý.
• Thường xuyên audit log hoạt động truy cập (nếu sử dụng Wasabi Event Notifications).
• Cập nhật policy nếu có thay đổi về phân quyền hoặc tổ chức.

Wasabi Hot Cloud Storage là dịch vụ lưu trữ đám mây tương thích với giao thức S3, nổi bật nhờ chi phí thấp và hiệu suất cao. Trong Wasabi, Bucket là đơn vị lưu trữ chính, nơi chứa tất cả các objects (files, thư mục).

Việc tạo buckets đúng cách là bước đầu tiên trong việc tổ chức và quản lý dữ liệu doanh nghiệp trên môi trường Wasabi Cloud.

• Tạo mới một hoặc nhiều buckets trên nền tảng Wasabi.
• Áp dụng các cấu hình cơ bản như:

+ Khu vực (Region)

+ Versioning (Lưu phiên bản)

+ Object Lock (Khóa đối tượng)

+ Bucket Logging (Ghi nhật ký truy cập)

+ Tags (Gắn nhãn)

• Chuẩn bị bucket cho các chính sách phân quyền (IAM Policy, Bucket Policy).

• Công ty SMB “VACIF Co.” sử dụng Wasabi làm nơi lưu trữ dữ liệu các phòng ban: IT, HR, MKT.
• Cần tạo 2 bucket chính:

+ vacif-dulieu – lưu dữ liệu sản xuất

+ vacif-luutru – dùng làm bản sao dự phòng (replication)

• Bật Versioning để lưu các phiên bản cũ.
• Gắn tags để phục vụ truy xuất và báo cáo chi phí.
• Không bật Object Lock (do chưa cần Compliance Storage).
• Chưa áp dụng Public Access.

• Để bắt đầu, bạn cần có quyền truy cập vào tài khoản quản trị chính (Account Control Managed) – đây là tài khoản cấp cao cho phép bạn tạo và quản lý các sub-account cho người dùng trong doanh nghiệp.
• Truy cập địa chỉ: https://wacm.wasabisys.com
• Điền các thông tin cần thiết:

+ Account Name: Tên người dùng

+ Email Address: Email đăng nhập của người dùng
+ Password: Mật khẩu đăng nhập ban đầu

+ Storage Quota: Chỉ định dung lượng lưu trữ theo nhu cầu thực tế (ví dụ: 50 GB, 200 GB…)

** Lưu ý: Người dùng có thể đăng nhập vào Wasabi Console thông qua email và mật khẩu bạn vừa tạo để quản lý dữ liệu theo phân quyền được cấp.

Sau khi nhấn create sẽ hiện download key, bạn nhớ giữ key này để có thể đăng nhập vào winscp truy cập dữ liệu.

https://console.wasabisys.com/

• Tại giao diện quản trị Wasabi, truy cập vào mục “Buckets”, sau đó chọn “Create Bucket” để bắt đầu tạo mới.
• Bucket là vùng lưu trữ chính trong hệ thống Wasabi, nơi chứa toàn bộ dữ liệu (object) của bạn. Mỗi bucket nên được đặt tên rõ ràng và phản ánh đúng mục đích sử dụng (ví dụ: vacif-dulieu, ke-toan-backup).

• Bucket Name:
   Nhập tên bucket theo quy chuẩn đơn giản, dễ quản lý (viết thường, không dấu, không khoảng trắng).
   Ví dụ: vacif-dulieu, luutru-ke-toan, mkt-uploads

• Region:

Chọn khu vực lưu trữ gần bạn nhất để tối ưu tốc độ truy cập và giảm độ trễ.

• Bucket Versioning: Tích chọn “Enable Versioning” nếu bạn muốn lưu nhiều phiên bản của cùng một object (file) trong bucket.

+ Lợi ích: Cho phép khôi phục phiên bản cũ nếu file bị chỉnh sửa hoặc xóa nhầm.
+  Lưu ý: Tính phí theo tổng dung lượng của tất cả phiên bản. Ví dụ: Một file 100MB được cập nhật 3 lần sẽ tính 4 phiên bản × 100MB = 400MB dung lượng lưu trữ.

• Object Lock: Là tính năng giúp ngăn object bị xóa hoặc ghi đè trong một khoảng thời gian cố định (compliance hoặc governance mode).

+ Chỉ có thể bật khi tạo bucket và không thể tắt về sau. Do đó, chỉ nên bật nếu bạn cần lưu trữ dữ liệu tuân thủ pháp lý, chống ghi đè nghiêm ngặt (ví dụ: dữ liệu tài chính, log hệ thống).

Bucket Logging – Ghi nhật ký truy cập: Đây là tính năng sẽ ghi lại tất cả các lần truy cập (GET,PUT,DELETE, v.v..) Khi bật Bucket Logging, Wasabi sẽ tạo các file log chứa thông tin chi tiết như: địa chỉ IP, thời gian truy cập, người dùng thực hiện thao tác, loại thao tác thực hiện trên object,…

Object Replication – Sao chép đối tượng tự động: Đây là tính năng mỗi khi bạn tải lên hoặc cập nhật file trong bucket nguồn, wasabi sẽ tự động nhận bản sang bucket đích để bảo vệ dữ liệu khỏi mất mát, tạo bản sao dự phòng và đảm bảo tính liên tục hệ thống. Nhược điểm là việc sao chép sẽ tốn thêm dung lượng lưu trữ, chỉ các object mới tạo hoặc cập nhật sau khi cấu hình replication mới được sao chép.

Bucket Tags – Gắn nhãn quản lý: Tính năng cho phép gắn các cặp khóa/giá trị (key/value) để phân loại, quản lý hoặc theo dõi chi phí của bucket. Tags không ảnh hưởng đến quyền truy cập hay dữ liệu, mà chủ yếu dùng để đánh dấu, lọc báo cáo, hoặc phục vụ tự động hóa trong hệ thống quản lý.

Nhấn Next để hoàn tất.

Tương tự, tạo 1 bucket dùng để backup.

Để cho phép bucket vacif-dulieu tự động tạo bản sao dữ liệu sang vacif-luutru, thực hiện như sau:

• Truy cập mục Buckets, chọn bucket vacif-dulieu
• Nhấn vào biểu tượng bánh răng ở góc trên bên phải
• Trong phần Replication, chọn “Create Replication Job” để bắt đầu cấu hình

Ở mục Object Replication -> Create Replication Job.

• Replicate to a bucket within this account → Sao chép đến bucket khác trong cùng tài khoản Wasabi
• Replicate to a bucket in another account → Dùng khi bạn cần sao lưu đến tài khoản Wasabi khác (phải thiết lập trust + policy chia sẻ trước)
• Name → Tên của job (ví dụ: vacif-rep1)
• Destination Bucket → Bucket đích, ví dụ: vacif-luutru.Bucket này phải bật versioning trước
• Replicate only new objects → Chỉ sao chép các object được tạo hoặc cập nhật sau khi cấu hình job
   (Nên bật để tránh sao toàn bộ dữ liệu cũ không cần thiết)
• Sync deleted objects → Nếu bật: khi object bị xóa ở bucket nguồn, nó cũng bị xóa ở bucket đích. Cẩn thận: nếu dùng tính năng này, nên kết hợp với Versioning

Sau khi nhấn Create, hệ thống sẽ hiển thị thông tin chi tiết của Replication Job vừa thiết lập, bao gồm:

• Tên Job: ví dụ vacif-rep1
• Nguồn: vacif-dulieu
• Đích: vacif-luutru
• Trạng thái: Active (hoặc Enabled)
• Kiểu đồng bộ: chỉ các object mới hoặc có cập nhật
• Tùy chọn xóa đồng bộ: bật/tắt (tùy bạn đã chọn)

Từ thời điểm này, mọi file mới được tải lên hoặc chỉnh sửa trong vacif-dulieu sẽ tự động được sao chép sang vacif-luutru theo cấu hình đã đặt.

Việc cấu hình đúng các buckets, bật versioning, và thiết lập replication trong Wasabi không chỉ giúp doanh nghiệp bảo vệ dữ liệu hiệu quả mà còn đảm bảo tính liên tục hệ thống, phục vụ khôi phục sau sự cố, và nâng cao năng lực giám sát truy cập.

Khi thực hiện đúng quy trình, dữ liệu của bạn sẽ luôn có bản sao an toàn, có thể truy vết mọi thay đổi và đảm bảo tính toàn vẹn trong môi trường lưu trữ đám mây.

Trong phần tiếp theo, chúng ta sẽ tập trung vào:

• Cấu hình người dùng và nhóm (IAM Users & Groups)
• Xây dựng chính sách phân quyền chi tiết (IAM Policies)
• Gán quyền truy cập theo từng phòng ban và nhu cầu thực tế

Từ đó, hệ thống Wasabi không chỉ an toàn mà còn phù hợp với mô hình tổ chức doanh nghiệp, đảm bảo mỗi người dùng chỉ được truy cập đúng phạm vi dữ liệu của họ.