ACL:Access Control List 访问控制列表
1 ACL构成
ACL 权限控制,使用:scheme : id : perm 来标识,主要涵盖 3 个方面:
- 权限模式(Scheme):授权的策略
- 授权对象(ID):授权的对象
- 权限(Permission):授予的权限
2 ACL 特性
- ZooKeeper的权限控制是基于每个znode节点的,需要对每个节点设置权限
- 每个znode支持设置多种权限控制方案和多个权限
- 子节点不会继承父节点的权限,客户端无权访问某节点,但可能可以访问它的子节点
3 schema 采用何种方式授权
world
:默认方式,相当于全部都能访问auth
:代表已经认证通过的用户(cli中可以通过addauth digest user:pwd 来添加当前上下文中的授权用户)digest
:即用户名:密码这种方式认证,这也是业务系统中最常用的
。用 username:password 字符串来产生一个MD5串,然后该串被用来作为ACL ID。认证是通过明文发送username:password 来进行的,当用在ACL时,表达式为username:base64 ,base64是password的SHA1摘要的编码。ip
:使用客户端的主机IP作为ACL ID 。这个ACL表达式的格式为addr/bits ,此时addr中的有效位与客户端addr中的有效位进行比对。
4 id 给谁授予权限
5 permission 授予什么权限
CREATE、READ、WRITE、DELETE、ADMIN
也就是 增、删、改、查、管理
权限,这5种权限简写为crwda
。
这5种权限中,delete
是指对子节点的删除权限,其它4种权限指对自身节点的操作权限。
更详细的如下:
权限 | 缩写 | 说明 |
---|---|---|
CREATE | c | 可以创建子节点 |
DELETE | d | 可以删除子节点(仅下一级节点) |
READ | r | 可以读取节点数据及显示子节点列表 |
WRITE | w | 可以设置节点数据 |
ADMIN | a | 可以设置节点访问控制列表权限 |
# CREATE
[zk: localhost:2181(CONNECTED) 45] getAcl /a
'world,'anyone
: cdrwa
[zk: localhost:2181(CONNECTED) 46] setAcl /a world:anyone:drwa
[zk: localhost:2181(CONNECTED) 47] create /a/ab ab
Authentication is not valid : /a/ab
# DELETE
[zk: localhost:2181(CONNECTED) 48] setAcl /a world:anyone:crwa
[zk: localhost:2181(CONNECTED) 49] ls /a
[aa]
[zk: localhost:2181(CONNECTED) 50] delete /a/aa
Authentication is not valid : /a/aa
# READ
[zk: localhost:2181(CONNECTED) 51] setAcl /a world:anyone:cdwa
[zk: localhost:2181(CONNECTED) 52] get /a
org.apache.zookeeper.KeeperException$NoAuthException: KeeperErrorCode = NoAuth for /a
[zk: localhost:2181(CONNECTED) 53] ls /a
Authentication is not valid : /a
[zk: localhost:2181(CONNECTED) 54]
# WRITE
[zk: localhost:2181(CONNECTED) 54] setAcl /a world:anyone:cdra
[zk: localhost:2181(CONNECTED) 55] set /a 1
Authentication is not valid : /a
# ADMIN
[zk: localhost:2181(CONNECTED) 56] setAcl /a world:anyone:cdrw
[zk: localhost:2181(CONNECTED) 57] setAcl /a world:anyone:cdrwa
Authentication is not valid : /a
6 测试
此处全部以r权限进行示例
6.1 schema为world
[zk: localhost:2181(CONNECTED) 10] setAcl /a world:anyone:ra
[zk: localhost:2181(CONNECTED) 11] get /a
a
[zk: localhost:2181(CONNECTED) 12] ls /a
[aa]
6.2 schema为ip
[zk: localhost:2181(CONNECTED) 13] setAcl /a ip:127.0.0.1:ra
[zk: localhost:2181(CONNECTED) 14] get /a # locahost也没有r权限,必须是127.0.0.1
org.apache.zookeeper.KeeperException$NoAuthException: KeeperErrorCode = NoAuth for /a
[zk: localhost:2181(CONNECTED) 15] close
...
...
... # 再按Enter键
[zk: localhost:2181(CLOSED) 16] connect 127.0.0.1:2181 # 使用127.0.0.1连接
...
...
... # 再按Enter键
[zk: 127.0.0.1:2181(CONNECTED) 17] getAcl /a
'ip,'127.0.0.1
: ra
[zk: 127.0.0.1:2181(CONNECTED) 18] get /a
a
[zk: 127.0.0.1:2181(CONNECTED) 19] ls /a
[aa]
6.3 schema为auth
[zk: localhost:2181(CONNECTED) 13] addauth digest zhangsan:123456 # 增加授权用户,明文用户名和密码
[zk: localhost:2181(CONNECTED) 14] setAcl /a auth:zhangsan:ra
[zk: localhost:2181(CONNECTED) 15] get /a
a
[zk: localhost:2181(CONNECTED) 16] close
...
...
... # 再按Enter键
[zk: localhost:2181(CLOSED) 17] connect localhost:2181
...
...
... # 再按Enter键
[zk: localhost:2181(CONNECTED) 18] get /a
org.apache.zookeeper.KeeperException$NoAuthException: KeeperErrorCode = NoAuth for /a
[zk: localhost:2181(CONNECTED) 19] ls /a
Authentication is not valid : /a
[zk: localhost:2181(CONNECTED) 20] addauth digest zhangsan:123456
[zk: localhost:2181(CONNECTED) 21] get /a
a
[zk: localhost:2181(CONNECTED) 22] ls /a
[aa]
在auth认证模式中addauth的作用:
- [1] 增加授权用户,明文用户名和密码
- [2] 进行auth认证模式进行认证
6.4 schema为digest
# 该命令功能也可以使用其他语言实现
[root@lighthouse ~]# echo -n lisi:123456 | openssl dgst -binary -sha1 | openssl base64
yoHDeYtQqNbfIsD6tuoYFXFB59g= # 得到密文
[zk: localhost:2181(CONNECTED) 1] setAcl /a digest:lisi:yoHDeYtQqNbfIsD6tuoYFXFB59g=:ra
[zk: localhost:2181(CONNECTED) 2] ls /a
Authentication is not valid : /a
[zk: localhost:2181(CONNECTED) 3] get /a
org.apache.zookeeper.KeeperException$NoAuthException: KeeperErrorCode = NoAuth for /a
[zk: localhost:2181(CONNECTED) 4] addauth digest lisi:123456
[zk: localhost:2181(CONNECTED) 5] ls /a
[aa]
[zk: localhost:2181(CONNECTED) 6] get /a
a
在digest认证模式中addauth的作用:只进行认证。
本人猜测auth与digest认证方式本质都是相同的,都是对password进行SHA-1运算然后进行base64编码,然后将得到的值进行存储。最后在某次会话中认证时通过程序员提供password,然后进行相同运算,将得到的值与存储的值进行比对。比对相同就通过认证,否则不通过。auth与digest认证方式不同之处仅在于为某个结点添加认证时的方式不同。在开发过程中经常使用的是digest认证。
6.5 schema为SuperDigest 超级管理员
6.5.1 添加super权限
步骤1:
[root@lighthouse ~]# echo -n super:123456 | openssl dgst -binary -sha1 | openssl base64
BBO7K8dPkoek/JxIHqXxM75QRpI=
步骤2:
在zkServer.sh中添加一行内容:
"-Dzookeeper.DigestAuthenticationProvider.superDigest=super:BBO7K8dPkoek/JxIHqXxM75QRpI=" \
添加完成后如下图所示:
步骤3:
启动zkServer.sh,前提已配置环境变量,否则需进入到/opt/apache-zookeeper-3.6.2-bin/bin
下再执行以下命令。
# 启动命令
[root@lighthouse ~]# zkServer.sh start
# 重启命令
[root@lighthouse ~]# zkServer.sh restart
6.5.2 使用场景
6.5.2.1场景1
遇到以下问题:
当使用auth或digest认证模式为某个znode设置了acl权限后,但是密码忘记了。
解决办法:
步骤1:
添加super权限,按6.5.1进行操作。
步骤2:
进行认证,重启zookeeper之后,执行: addauth digest super:123456
步骤3:
将zookeeper下面的所有节点: 设置为
'world,'anyone : cdrwa 命令如下 : setAcl /testAcl world:anyone:cdrwa //将该节点设置为最高权限!
6.5.2.2场景2
遇到以下问题:
zookeeper下面有zookeeper,hadoop-ha,spark结点等等,并对集群下面所有节点 都设置了ACL权限认证之后,集群的启动直接报错!集群彻底爆炸!
解决办法:
步骤1:
添加super权限,按6.5.1进行操作。
步骤2:
进行认证,重启zookeeper之后,执行: addauth digest super:123456
步骤3:
将zookeeper下面的所有节点: 设置为
'world,'anyone : cdrwa 命令如下 : setAcl /testAcl world:anyone:cdrwa //将该节点设置为最高权限!
[参考博客]
Zookeeper的ACL权限
zookeeper的ACL权限控制