Huawei OBS zu STACKIT Object Storage am Beispiel

Drei Buckets und ein Schlüssel als Eingabe

Eine kleine Huawei-Cloud-Umgebung, für diese Seite geschrieben und am 4. November 2026 von StackToIT bewertet. Links der Media-Bucket mit Versionierung, CORS, Lifecycle-Regeln und serverseitiger Verschlüsselung. Rechts ein öffentlicher Website-Bucket und ein Log-Bucket.

resource "huaweicloud_obs_bucket" "media" {
  bucket        = "acme-media"
  storage_class = "STANDARD"
  acl           = "private"
  versioning    = true
  encryption    = true
  sse_algorithm = "kms"
  kms_key_id    = huaweicloud_kms_key.obs.id

  cors_rule {
    allowed_origins = ["https://www.acme.example"]
    allowed_methods = ["GET", "HEAD"]
    allowed_headers = ["*"]
    expose_headers  = ["ETag"]
    max_age_seconds = 3000
  }

  lifecycle_rule {
    name    = "archive-originals"
    prefix  = "originals/"
    enabled = true

    transition {
      days          = 60
      storage_class = "WARM"
    }
    transition {
      days          = 180
      storage_class = "COLD"
    }
    expiration {
      days = 1095
    }
  }

  lifecycle_rule {
    name    = "old-versions"
    enabled = true

    noncurrent_version_expiration {
      days = 90
    }
  }

  tags = {
    team = "web"
  }
}

resource "huaweicloud_obs_bucket" "site" {
  bucket = "acme-site"
  acl    = "public-read"

  website {
    index_document = "index.html"
    error_document = "error.html"
  }
}

resource "huaweicloud_obs_bucket" "logs" {
  bucket        = "acme-logs"
  storage_class = "WARM"
  acl           = "log-delivery-write"
}

Was der Lauf festgehalten hat

Auszüge aus assessment.json, die Werte genau so, wie der Lauf sie geschrieben hat. Links der Media-Bucket, rechts der Verschlüsselungsschlüssel, von dem er abhängt.

{
  "id": "huaweicloud_obs_bucket.media",
  "result": {
    "class": "RECONFIGURE",
    "confidence": "MEDIUM",
    "target": {
      "service": "STACKIT Object Storage",
      "resources": [
        "stackit_objectstorage_bucket",
        "stackit_objectstorage_credentials_group",
        "stackit_objectstorage_credential"
      ]
    },
    "reason": "An OBS bucket becomes a STACKIT Object Storage bucket with an S3 API. Clients change endpoint and credentials; lifecycle, replication and access settings need review."
  }
}

{
  "id": "huaweicloud_kms_key.obs",
  "result": {
    "class": "RECONFIGURE",
    "confidence": "MEDIUM",
    "target": {
      "service": "STACKIT KMS",
      "resources": [
        "stackit_kms_keyring",
        "stackit_kms_key"
      ]
    },
    "reason": "A KMS key becomes a STACKIT KMS key. Key material of the source does not move, so data encrypted with it is re-encrypted."
  }
}

• Gleiche Begründung für jeden Bucket

  Website- und Log-Bucket erhalten dieselbe Klasse, dasselbe Ziel und dieselbe Begründung wie der Media-Bucket. Der Lauf beurteilt einzelne Bucket-Einstellungen nicht; er benennt sie.

• Einstellungen benannt, nicht bewertet

  Beim Media-Bucket listet der Lauf 20 Einstellungen für Ihre Architekten, darunter acl, versioning, encryption, kms_key_id, cors_rule.allowed_origins, lifecycle_rule.transition.storage_class und tags. Der Website-Bucket hat 4, darunter website.index_document; der Log-Bucket 3.

• Drei STACKIT-Objekte je Bucket

  Das Ziel eines Buckets besteht aus Bucket, Credentials Group und Credential. Die Zugangsdaten sind neu: Von den OBS-Zugriffsschlüsseln wird nichts übernommen.

• Der Schlüssel zieht nicht um

  Schlüsselmaterial der Quelle wird nicht übertragen, daher werden damit verschlüsselte Daten im Ziel neu verschlüsselt. Der Schlüssel ist eine eigene Einheit mit STACKIT KMS als Ziel.

Reihenfolge und offene Datenentscheidung

Aus technical-sequencing.md und data-movement.md desselben Laufs. Der Media-Bucket wartet auf den Schlüssel; die beiden anderen Buckets hängen von nichts ab.

## Wave 1 — 3 unit(s)

| Unit | Class | Target |
|---|---|---|
| `huaweicloud_kms_key.obs` | RECONFIGURE / MEDIUM | STACKIT KMS |
| `huaweicloud_obs_bucket.logs` | RECONFIGURE / MEDIUM | STACKIT Object Storage |
| `huaweicloud_obs_bucket.site` | RECONFIGURE / MEDIUM | STACKIT Object Storage |

## Wave 2 — 1 unit(s)

| Unit | Class | Target |
|---|---|---|
| `huaweicloud_obs_bucket.media` | RECONFIGURE / MEDIUM | STACKIT Object Storage |

| Unit | Source service | Target service | Application | Mechanism | State | Data class | RPO | Downtime tolerance |
|---|---|---|---|---|---|---|---|---|
| huaweicloud_obs_bucket.logs | huaweicloud_obs_bucket | STACKIT Object Storage |  | UNKNOWN | DECISION_REQUIRED | NOT_PROVIDED | NOT_PROVIDED | NOT_PROVIDED |
| huaweicloud_obs_bucket.media | huaweicloud_obs_bucket | STACKIT Object Storage |  | UNKNOWN | DECISION_REQUIRED | NOT_PROVIDED | NOT_PROVIDED | NOT_PROVIDED |
| huaweicloud_obs_bucket.site | huaweicloud_obs_bucket | STACKIT Object Storage |  | UNKNOWN | DECISION_REQUIRED | NOT_PROVIDED | NOT_PROVIDED | NOT_PROVIDED |

• Verfahren bewusst offen

  Der Lauf führt die drei Buckets als zustandsbehaftete Einheiten und hält das Verfahren als UNKNOWN mit dem Stand DECISION REQUIRED fest. Größe, Änderungsrate, tolerierte Ausfallzeit und Wiederanlaufpunkt stehen nicht im Terraform und sind daher als unbekannt vermerkt.

• Der Schlüssel ist keine Dateneinheit

  Der Verschlüsselungsschlüssel ist nicht als zustandsbehaftet gelistet. Die damit geschützten Daten werden beim Kopieren des Media-Buckets neu verschlüsselt; planen Sie diesen Schritt zusammen mit dem Media-Bucket.

• Verantwortliche

  Die drei Buckets bilden ein Arbeitspaket beim Storage Architect; der Schlüssel ist ein eigenes Paket, dessen Verantwortlichen der Lauf offen lässt.

So wird die Umgebung zugeordnet

Klassen, wie der Lauf sie entschieden hat, jeweils mit Konfidenz MEDIUM. Der KMS-Schlüssel und zwei der Buckets ziehen in Welle 1 um, der Media-Bucket in Welle 2.

Was jede OBS-Einstellung bei STACKIT braucht

Der Lauf benennt diese Einstellungen; die Tabelle gleicht sie mit den STACKIT-Seiten aus der Quellenliste ab. „Aufgeführt“ heißt, die Seite führt die Operation auf. Eine nicht aufgeführte Operation ist eine Frage an STACKIT, keine Antwort.

Quellseite: die Terraform-Provider-Dokumentation zu huaweicloud_obs_bucket (Speicherklassen, ACL-Werte, Website, Logging, Lifecycle). Zielseite: die STACKIT-Seiten der Quellenliste.

Einen Bucket umziehen, der Reihe nach

Die Reihenfolge zwischen den Einheiten legt der Lauf fest; dies ist die Reihenfolge innerhalb eines Buckets. Schritte 1 bis 4 bereiten vor, 5 und 6 übertragen Daten, 7 schließt den Umzug ab.

1. 01

   Object Storage im Zielprojekt aktivieren

   Hier entstehen die vom Lauf benannte Credentials Group und das Credential. Als allgemeine Praxis: eine Credentials Group je Anwendung, damit ein Schlüssel zurückgezogen werden kann, ohne andere zu berühren.

2. 02

   Buckets anlegen

   Verwenden Sie die geprüften Namen. Ein Projekt erlaubt bis zu 1.000 Buckets.

3. 03

   Versionierung, Lifecycle, CORS, Policy und Verschlüsselung neu anlegen

   Die Tabelle oben dient als Checkliste. Tun Sie das vor dem ersten Kopieren, damit die Objekte unter den endgültigen Regeln ankommen.

4. 04

   Übertragungsfenster vereinbaren

   Quota und Rate gelten je Projekt: Die dokumentierte Obergrenze liegt bei 500 MB/s für Up- und Download. Rechnerisch brauchen 10 TB bei dieser Rate mindestens etwa 5,6 Stunden; verstehen Sie das als Untergrenze.

5. 05

   Erste Kopie bei laufender Quelle

   Das rclone-Tutorial von STACKIT kopiert mit rclone copy zwischen zwei S3-Remotes und dem STACKIT-Endpunkt für eu01. rclone hat außerdem einen Huawei-OBS-Provider, dessen Endpunkte dem Muster obs.<Region>.myhuaweicloud.com folgen. Das sind Beispiele verbreiteter Werkzeuge; die Engine führt sie nicht aus.

6. 06

   Kopie wiederholen, dann umstellen

   Kopieren Sie erneut, um Änderungen aufzunehmen, stoppen Sie alle schreibenden Clients, kopieren Sie ein letztes Mal und stellen Sie die Clients auf den neuen Endpunkt und die neuen Zugangsdaten um. Diese Abfolge ist allgemeine Praxis, nichts, was der Lauf für Sie plant.

7. 07

   Prüfen und stilllegen

   Vergleichen Sie Objektzahl und Größe, halten Sie die Quelle schreibgeschützt, bis der Anwendungsverantwortliche abnimmt, und legen Sie dann Quell-Bucket und OBS-Schlüssel still.

Entscheidungen, die Ihre Architekten treffen

• Öffentliche Website

  Ob der Website-Bucket eine Object-Storage-Seite bleibt oder hinter ein anderes Frontend zieht.

• Günstigere Klassen

  Was WARM und COLD ersetzt und was das für die Kosten des Media-Archivs bedeutet.

• Verschlüsselungsmodell

  Sich auf die Verschlüsselung im Ruhezustand verlassen, zusätzlich serverseitige Verschlüsselung mit vom Backend verwalteten Schlüsseln nutzen oder SSE-C mit einem Schlüssel verwenden, den Sie selbst halten, etwa im Secrets Manager. Die für diese Seite gelesene Anleitung beschreibt keine STACKIT-KMS-Schlüssel für Buckets; klären Sie das mit STACKIT, bevor Sie damit planen.

• Cutover-Verfahren

  Alles auf einmal oder nach Präfix; was die Clients aushalten, während sich der Endpunkt ändert.

Fragen von Storage-Teams

Quellen

• Terraform Registry: huaweicloud_obs_bucket (Provider 1.100.0)
• STACKIT-Dokumentation: Verschlüsselung verwalten
• STACKIT-Dokumentation: Limits von Object Storage
• STACKIT-Dokumentation: Unterstützte Operationen auf Buckets und Objekten
• STACKIT-Dokumentation: Lifecycle-Konfiguration
• STACKIT-Dokumentation: Daten mit rclone migrieren