CentOS 7 下 zookeeper ACL 超级管理员使用

• 背景

使用 zookeeper 添加普通账户，并给某节点进行赋权，忘记密码后，无法对该节点进行操作，通过开启 ACL super 账户进行操作。

• zkCli 连接

$ zkCli.sh

• 添加 ACL 测试账户

# addauth digest 用户名：密码
[zk: localhost:2181(CONNECTED) 4] addauth digest test:test123

• 新建测试节点

# create 测试节点 测试节点值
[zk: localhost:2181(CONNECTED) 3] create /test_acl value_of_test_acl

• 对新建节点进行赋权

# setAcl 测试节点 auth:用户名:crawd （权限）
[zk: localhost:2181(CONNECTED) 5] setAcl /test_acl auth:test:crawd

# crawd 权限
- c：create 可以创建子节点
- r：read 可以读取节点数据及显示子节点列表
- a：admin 可以设置节点访问控制列表权限
- w：write 可以设置节点数据
- d：delete 可以删除子节点（仅下一级节点）

# 配置 acl 权限模式
- world：只有一个 id "anyone"，代表任何人
- ip：通常是一个 ip 地址或者 ip 段
- auth：授权用户，用户名:密码
- digest：自定义，通常是username:BASE64(密码)

• 查看节点信息

[zk: localhost:2181(CONNECTED) 7] get /test_acl 		# 获取节点值
value_of_test_acl

[zk: localhost:2181(CONNECTED) 8] stat /test_acl 		# 获取节点状态
cZxid = 0x100003cf0
ctime = Sat May 02 20:59:14 CST 2020
mZxid = 0x100003cf0
mtime = Sat May 02 20:59:14 CST 2020
pZxid = 0x100003cf0
cversion = 0
dataVersion = 0
aclVersion = 1
ephemeralOwner = 0x0
dataLength = 17
numChildren = 0

• 开启 super 账户

$ vim zookeeper/bin/zkServer.sh

# 修改前
	nohup "$JAVA" $ZOO_DATADIR_AUTOCREATE "-Dzookeeper.log.dir=${ZOO_LOG_DIR}" \
	"-Dzookeeper.log.file=${ZOO_LOG_FILE}" "-Dzookeeper.root.logger=${ZOO_LOG4J_PROP}" \
	-XX:+HeapDumpOnOutOfMemoryError -XX:OnOutOfMemoryError='kill -9 %p' \
	-cp "$CLASSPATH" $JVMFLAGS $ZOOMAIN "$ZOOCFG" > "$_ZOO_DAEMON_OUT" 2>&1 < /dev/null &

# 增加
	"-Dzookeeper.DigestAuthenticationProvider.superDigest=super:xQJmxLMiHGwaqBvst5y6rkB6HQs="

# 修改后
	nohup "$JAVA" $ZOO_DATADIR_AUTOCREATE "-Dzookeeper.log.dir=${ZOO_LOG_DIR}" \
	"-Dzookeeper.log.file=${ZOO_LOG_FILE}" "-Dzookeeper.root.logger=${ZOO_LOG4J_PROP}" \
	# 增加
	"-Dzookeeper.DigestAuthenticationProvider.superDigest=super:xQJmxLMiHGwaqBvst5y6rkB6HQs=" \
	-XX:+HeapDumpOnOutOfMemoryError -XX:OnOutOfMemoryError='kill -9 %p' \
	-cp "$CLASSPATH" $JVMFLAGS $ZOOMAIN "$ZOOCFG" > "$_ZOO_DAEMON_OUT" 2>&1 < /dev/null &

• 重启 zookeeper 服务

$ zookeeper/bin/zkServer.sh restart

• 通过 super 查看测试节点信息

[zk: localhost:2181(CONNECTED) 0] addauth digest super:admin 		# 登录
[zk: localhost:2181(CONNECTED) 1] getAcl /test_acl 					# 获取节点权限
'digest,'test:4kLbCbLRytYsfNQkaDbMuExRDDs=
: cdrwa
'digest,'dev:F68DtlM8o9v9xs9S6LL7P4VQJIM=
: cdrwa
[zk: localhost:2181(CONNECTED) 2] get /test_acl 					# 获取节点值
value_of_test_acl

• 使用 super 删除测试节点

[zk: localhost:2181(CONNECTED) 3] delete /test_acl

• 关闭 super 权限 && 重启 zookeeper 服务

# 删除之前增加行
"-Dzookeeper.DigestAuthenticationProvider.superDigest=super:xQJmxLMiHGwaqBvst5y6rkB6HQs=" \
# 重启 zookeeper 服务
$ zookeeper/bin/zkServer.sh restart

参考

• zookeeper 数据节点的增删改查
• zookeeper 安全认证机制 – ssl
• 【详细查看】 分布式协调服务Zookeeper集群之ACL篇
• 【zookeeper】ACL super 超级管理员
• 【详细查看】zookeeper 的 ACL 权限控制
• 【详细查看】Zookeeper 配置超级用户（Windows && Linux）