Come usare il tuo storage Scaleway per i documenti in SimplePDF

Come alternativa ad AWS S3, Azure Blob Storage o SharePoint, puoi usare il tuo bucket Scaleway Object Storage per archiviare documenti e invii.

Scaleway è un provider cloud europeo con data center a Parigi, Amsterdam, Varsavia e Milano. In genere i team scelgono Scaleway per la residenza dei dati nell'UE, la conformità al GDPR o perché hanno già la loro infrastruttura su Scaleway e vogliono tenere i documenti presso lo stesso provider.

Cosa finisce nel tuo bucket Scaleway

Una volta collegato Scaleway, nel bucket arrivano automaticamente due cose:

• Documenti di origine: ogni PDF che un utente (o tu) carica nell'editor viene caricato direttamente nel tuo bucket. SimplePDF non ne conserva alcuna copia.
• Invii compilati: quando un utente firma, modifica o invia un documento, anche il PDF risultante viene scritto nel tuo bucket.

Il caricamento avviene lato client: il browser carica direttamente su Scaleway tramite URL pre-firmati di breve durata. I server di SimplePDF si limitano a scambiare quegli URL, quindi i tuoi documenti non transitano mai attraverso l'infrastruttura SimplePDF. Il flusso è identico a quello della configurazione AWS S3; se vuoi il diagramma di sequenza completo e il modello di sicurezza, vai qui.

Come configurare il tuo Scaleway Object Storage

La configurazione del proprio bucket Scaleway Object Storage è disponibile con il piano PRO

In Scaleway

Per archiviare documenti su Scaleway Object Storage ti servono un bucket e una chiave API con permessi di lettura, scrittura ed eliminazione su quel bucket.

1. Crea (o scegli) un bucket nella regione che preferisci (fr-par, nl-ams, pl-waw o it-mil). Lascia la visibilità del bucket su Private (il valore predefinito). Non passarla mai a pubblica. Un bucket Scaleway pubblico espone completamente ogni documento e ogni invio che vi archivi a chiunque su internet, crawler dei motori di ricerca inclusi. SimplePDF carica tramite URL pre-firmati, autenticati e di breve durata: l'accesso pubblico non aggiunge alcuna funzionalità e apre solo la porta a una fuga di dati.

2. Apri IAM & API keys dal menu utente in alto a destra nella console Scaleway.

3. Crea un'applicazione IAM dedicata a SimplePDF. Passare da un'applicazione (anziché dal tuo utente) è l'impostazione sicura di default: concede solo ciò di cui SimplePDF ha bisogno, sopravvive ai cambi nel team e può essere revocata senza conseguenze per nessun altro.

• Apri la scheda Applications e clicca su + Create application.
• Chiamala simplepdf-byos (o come preferisci, purché tu la riconosca). Per ora lascia vuoto il campo della policy (Scaleway lo indica come facoltativo in questo passaggio, ma un'applicazione senza policy non ha alcun permesso; ne assoceremo una al passaggio successivo).
• Clicca su Create application.

4. Crea una policy che conceda all'applicazione permessi Object Storage limitati:

• Apri la scheda Policies e clicca su + Create policy. Chiamala simplepdf-byos-policy e aggiungi una descrizione del tipo Concede a SimplePDF BYOS l'accesso al bucket Object Storage.

• In Principals, seleziona l'applicazione simplepdf-byos appena creata.

• La policy deve avere due regole, una per il bucket (limitata al progetto) e una per IAM (limitata all'organizzazione).

  Regola n. 1 (accesso al bucket):

  • Scope: Access to resources → scegli il progetto a cui appartiene il tuo bucket.

  • Permission sets (nella sezione Storage): la scelta dipende dal fatto che tu voglia o meno consentire a SimplePDF di leggere il tuo bucket:

    • Predefinito (lettura + scrittura): seleziona ObjectStorageFullAccess. SimplePDF può elencare, leggere, caricare, eliminare e configurare il CORS sul bucket.
    • Sola scrittura (consigliato se non vuoi che SimplePDF legga i tuoi documenti in alcun momento, la configurazione più restrittiva): seleziona ObjectStorageObjectsWrite, ObjectStorageObjectsDelete e ObjectStorageBucketsWrite. SimplePDF può caricare, eliminare e configurare il CORS, ma non può elencare né leggere gli oggetti. Scaleway non offre un preset per questa combinazione, quindi devi selezionare i tre permission set singolarmente.

    Se scegli la sola scrittura, ricordati di selezionare anche Write permissions only nel modulo di configurazione dello storage SimplePDF descritto più avanti, così SimplePDF non tenterà mai un'operazione di lettura.

  Regola n. 2 (lettura IAM):

  • Clicca su + Add a rule.
  • Scope: Access to Organization features.
  • Permission sets (nella sezione Security & Identity): seleziona IAMReadOnly. In questo modo SimplePDF può leggere la data di scadenza della tua chiave API e inviarti email di promemoria 7 giorni e 1 giorno prima che scada.

• Clicca su Create policy.

5. Genera la chiave API:

• Apri la scheda API keys e clicca su + Generate API key.
• Come bearer, seleziona l'applicazione simplepdf-byos appena creata.
• Aggiungi una descrizione del tipo Chiave API SimplePDF BYOS.
• Alla domanda "Will this API key be used for Object Storage?", rispondi Yes e seleziona come progetto preferito quello a cui appartiene il tuo bucket.
• Scegli una scadenza coerente con la tua policy di sicurezza. SimplePDF invia email di promemoria 7 giorni e 1 giorno prima della scadenza della chiave API, così puoi ruotarla senza interruzioni di servizio.
• Copia subito la Access Key e la Secret Key: la Secret Key non verrà più mostrata.

Della configurazione CORS ci occupiamo noi. Scaleway non espone il CORS nella console, ma SimplePDF riconosce gli endpoint Scaleway e applica automaticamente le regole CORS necessarie al tuo bucket quando salvi la configurazione dello storage. Le regole seguono il campo Write permissions only configurato più avanti: GET, PUT e DELETE sono consentiti quando SimplePDF ha accesso in lettura, mentre GET viene rimosso se imposti il bucket in sola scrittura. Non servono né CLI né AWS SDK.

Se la tua chiave API non riesce a configurare il CORS (di solito perché nella policy manca ObjectStorageBucketsWrite, incluso sia nei permessi predefiniti sia in quelli di sola scrittura descritti al passaggio 4) oppure il bucket non è raggiungibile, SimplePDF rifiuta il salvataggio e mostra l'errore, così puoi correggerlo prima che venga caricato qualsiasi invio.

In SimplePDF

1. Accedi al tuo account
2. Vai alla schermata delle impostazioni dell'account

3. Clicca su Update configuration

4. Seleziona Scaleway come tipo di storage e inserisci i tuoi dati:

Region: scegli la regione del tuo bucket: fr-par (Parigi), nl-ams (Amsterdam), pl-waw (Varsavia) o it-mil (Milano). SimplePDF ricava da questa scelta l'URL dell'endpoint Object Storage, quindi non c'è un campo endpoint separato da compilare.

Bucket: nome del tuo bucket Scaleway

Access Key: la Access Key della chiave API generata al passaggio 5

Secret Key: la Secret Key della chiave API generata al passaggio 5

Write permissions only: seleziona questa casella se non vuoi che SimplePDF possa leggere i documenti dal tuo bucket. Quando è selezionata, le regole CORS applicate automaticamente consentono solo PUT e DELETE (nessun GET), cioè esattamente ciò che serve all'editor per caricare ed eliminare i file senza leggerli.

5. Clicca su Update

Permessi richiesti sul tuo bucket Scaleway

La policy IAM che associ al passaggio 4 determina cosa SimplePDF può fare sul tuo bucket. Scegli la modalità che corrisponde alle tue esigenze.

Ogni policy che associ deve avere due regole:

• Regola limitata al progetto (riguarda il bucket): scegli il progetto a cui appartiene il tuo bucket e seleziona nella sezione Storage una delle combinazioni di permission set descritte qui sotto.
• Regola limitata all'organizzazione (riguarda la lettura IAM): imposta lo scope su Access to Organization features e seleziona IAMReadOnly nella sezione Security & Identity. È necessaria perché SimplePDF possa leggere la data di scadenza della tua chiave API e inviare le email di promemoria prima che scada.

Predefinito (lettura + scrittura)

Nella regola limitata al progetto, in Storage, seleziona ObjectStorageFullAccess. SimplePDF può elencare, leggere, caricare ed eliminare gli oggetti e configurare il CORS sul bucket.

Sola scrittura

Nella regola limitata al progetto, in Storage, seleziona ObjectStorageObjectsWrite, ObjectStorageObjectsDelete e ObjectStorageBucketsWrite. SimplePDF può caricare ed eliminare gli oggetti e configurare il CORS, ma non può elencarli né leggerli. Scaleway non offre un preset per questa combinazione, quindi devi selezionare i tre permission set singolarmente.

Azioni sottostanti dell'API S3

Per riferimento, le azioni S3 sottostanti che SimplePDF esegue sul bucket sono:

• s3:GetObject: per mostrare i documenti e gli invii nell'interfaccia e durante l'invio dei webhook (solo in modalità predefinita)
• s3:PutObject: per caricare i documenti e gli invii
• s3:DeleteObject: per eliminare i documenti e gli invii caricati
• s3:PutBucketCORS: concessa una sola volta, quando SimplePDF configura automaticamente il CORS sul tuo bucket al momento del salvataggio

È tutto! I tuoi documenti e i tuoi invii vengono ora archiviati automaticamente nel tuo bucket Scaleway Object Storage!

Se hai domande, non esitare a contattare support@simplepdf.com