06. Zookeeper shell客户端-权限操作ACL

素颜马尾好姑娘i 2022-03-18 02:26 207阅读 0赞

> 生产环境中, Zookeeper集群通常是部署在一组在一组公共的服务器上, 提供多个应用使用, 以充分利用服务器资源. 当多个应用共同使用一组Zookeeper集群时, 就需要对不同的应用进行资源隔离了. 对此, Zookeeper 提供了ACL 来进行权限控制.

## 1. ACL 权限 ##

传统的文件系统中, 文件默认继承父目录的ACL 权限, 但是在Zookeeper中, zNode 的ACL 权限是没有任何继承关系的, 都是需要独立进行设置的.

### 1.1 五种权限位 ###

*  Zookeeper中ACL 有五种权限位cdrwa, 用于控制zNode 节点数据的修改, 权限的修改, 但是不能控制节点的删除.
 *  zNode 节点的删除需要由父节点的权限控制.

<table> 
 <thead> 
  <tr> 
   <th align="left">权限标识</th> 
   <th align="left">含义</th> 
   <th align="left">描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">a</td> 
   <td align="left">Admin</td> 
   <td align="left">本节点权限: 允许修改本节点的ACL 权限</td> 
  </tr> 
  <tr> 
   <td align="left">r</td> 
   <td align="left">Read</td> 
   <td align="left">本节点权限: 允许获取本节点的数据和子节点列表</td> 
  </tr> 
  <tr> 
   <td align="left">w</td> 
   <td align="left">Write</td> 
   <td align="left">本节点权限: 拥有Read权限, 可修改本节点数据</td> 
  </tr> 
  <tr> 
   <td align="left">c</td> 
   <td align="left">Create</td> 
   <td align="left">子节点权限: 允许创建子节点</td> 
  </tr> 
  <tr> 
   <td align="left">d</td> 
   <td align="left">Delete</td> 
   <td align="left">子节点权限: 允许删除子节点</td> 
  </tr> 
 </tbody> 
</table>

### 1.2 ACL 模式 ###

*  Zookeeper 内置了四种ACL Schemes, 也可自行扩展. 不过, 通常使用auth 和 digest 模式就可以了, 因为zk 集群都是部署在内网中的, 为内网应用提供访问, 只是为了做资源隔离而已.
 *  四种ACL 模式是互斥的, 一个zNode 只能选择一种模式.

<table> 
 <thead> 
  <tr> 
   <th align="left">ACL 模式</th> 
   <th align="left">描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">world</td> 
   <td align="left">默认模式, 相当于匿名权限, 所有人都拥有的权限.</td> 
  </tr> 
  <tr> 
   <td align="left">auth</td> 
   <td align="left">只有已认证的用户, 才拥有设置的权限. 非已认证的用户, 不能操作. 可设置多个用户拥有相同的权限.</td> 
  </tr> 
  <tr> 
   <td align="left">digest</td> 
   <td align="left">直接使用用户名和密码设置权限; 一个节点只能设置一个用户操作</td> 
  </tr> 
  <tr> 
   <td align="left">ip</td> 
   <td align="left">客户端主机IP认证, 是客户端的主机IP做为ACL ID</td> 
  </tr> 
 </tbody> 
</table>

### 1.3 权限相关命令 ###

*  setAcl $path $acl: 为节点设置权限
 *  getAcl $path: 获取节点权限
 *  addauth $scheme $auth: 为session 添加用户认证信息, 可添加多个

## 2. ACL 模式测试 ##

### 2.1 word 模式 ###

*  word 模式设置的权限是所有人

#### 2.1.1 默认权限 ####

# 默认方式创建节点
    [zk: 127.0.0.1:2181(CONNECTED) 5] create /node-world ""
    Created /node-world
    
    # 查看默认ACL 权限
    [zk: 127.0.0.1:2181(CONNECTED) 6] getAcl /node-world   
    'world,'anyone
    : cdrwa

### 2.1.2 设置world 权限 ###

当需要实现这样一种场景时, 可以考虑使用world　权限: zNode 一旦创建, 任何人均可访问, 但却不能修改数据, 删除子节点. 需要注意的是, 当有这种需求时, 需要将管理员权限为a 移除了.

# 设置/node-world 不可再修改Acl 权限, 若想修改只能删除了重新创建节点
    [zk: 127.0.0.1:2181(CONNECTED) 9] setAcl /node-world world:anyone:cdrw
     
     # 查看节点权限
    [zk: 127.0.0.1:2181(CONNECTED) 10] getAcl /node-world
    'world,'anyone
    : cdrw
    
    # 尝试修改, 报错
    [zk: 127.0.0.1:2181(CONNECTED) 11] setAcl /node-world world:anyone:cdrwa
    Authentication is not valid : /node-world

## 2.2 auth 模式 ##

*  在设置auth 模式ACL 权限时, 需要先使用addauth 添加认证信息. 可以通过addauth 添加多组认证信息, 这样多个用户对此节点将拥有相同的权限.
 *  addauth 通过用户名和密码添加认证信息, 用户密码会被采用base64(sha1(pwd))加密
 *  zk 将用户名和密码组合作为一组认证信息
 *  zk 的addauth 和 redis 的auth 不同, zk 的addauth 并不会做用户名密码校验, 只是将用户名和密码组合作为唯一的标识, 校验当前认证是否拥有操作权限.
 *  使用auth 模式后, 只有已认证的用户才对此节点有操作权限, 其它所有用户对此节点没有任何权限.

# 新增两个认证信息,
    [zk: 127.0.0.1:2181(CONNECTED) 0] addauth digest admin:admin
    [zk: 127.0.0.1:2181(CONNECTED) 1] addauth digest admin:123456 
    
    [zk: 127.0.0.1:2181(CONNECTED) 5] create /node-auth "" auth::cdrwa
    Created /node-auth
    
    # 重新连接
    [zk: 127.0.0.1:2181(CONNECTED) 6] close
    [zk: 127.0.0.1:2181(CONNECTED) 6] connect
    
    # 不认证直接操作
    [zk: 127.0.0.1:2181(CONNECTED) 8] get /node-auth
    Authentication is not valid : /node-auth
    
    # 添加认证后, 可以进行操作
    [zk: 127.0.0.1:2181(CONNECTED) 13] addauth digest admin:admin
    [zk: 127.0.0.1:2181(CONNECTED) 16] getAcl /node-auth
    'digest,'admin:x1nq8J5GOJVPY6zgzhtTtA9izLc=
    : cdrwa
    'digest,'admin:0uek/hZ/V9fgiM35b0Z2226acMQ=
    : cdrwa

### 2.3 digest 模式 ###

*  digest 模式和auth 模式很相似, 只是digest 无须事先通过addauth 添加认证用户信息, 而是在设置Acl 权限时直接指定用户认证信息
 *  digest 与auth不同的是, 可以为不同的用户设置不同的ACL 权限. 而auth 用户只能为已认证的所有用户设置相同的权限
 *  digest 指定用户认证信息时, 密码需要使用密文, 加密方式为base64(sha1(pwd)), 可以通过zk api 生产, 或先使用addauth 生产认证信息, 赋予一个测试节点, 然后查看此节点ACL 信息, 就能看到加密后的密码了.
 *  digest 模式设置的节点, 只能被一个用户访问

# 创建节点
    [zk: 127.0.0.1:2181(CONNECTED) 18] create /node-digest "node-digest"
    
    # 为admin:admin 设置全部权限
    [zk: 127.0.0.1:2181(CONNECTED) 19] setAcl /node-digest digest:admin:x1nq8J5GOJVPY6zgzhtTtA9izLc=:cdrwa
    
    # 重新连接
    [zk: 127.0.0.1:2181(CLOSED) 4] close
    [zk: 127.0.0.1:2181(CLOSED) 4] connect
    
    # 不认证不能访问数据
    [zk: 127.0.0.1:2181(CONNECTED) 5] get /node-digest
    Authentication is not valid : /node-digest
    
    # 使用addauth 添加认证
    [zk: 127.0.0.1:2181(CONNECTED) 6] addauth digest admin:admin
    
    # 重新访问数据
    [zk: 127.0.0.1:2181(CONNECTED) 7] get /node-digest          
    node-digest

## 2.4 ip模式 ##

zk ACL 支持IP 认证方式, 但这种方式笔者并不常用, 就不做过多介绍了

## 3. 最佳实践 ##

笔者任务, 在zk 集群之后, 首先应该将根节点权限修改了, 不允许随意修改根节点, 且不能直接在根节点下创建删除节点. 而应该由管理员为每一个应用在根节点中创建一个子节点, 并存储此应用的相关信息. 此外, 每个应用的节点的完全权限也应该只给一个用户, 类似于超级管理员形式. 当应用内部需要做更细致的划分时, 自行创建自己的节点树.

### 3.1 设置根节点权限 ###

#　添加认证管理员
    [zk: 127.0.0.1:2181(CONNECTED) 0] addauth digest admin:admin
    
    # 设置根节点权限: 确保只有admin 可以对根节点进行操作
    [zk: 127.0.0.1:2181(CONNECTED) 1] setAcl / auth::cdrwa
    cZxid = 0x0
    ctime = Thu Jan 01 08:00:00 CST 1970
    mZxid = 0x0
    mtime = Thu Jan 01 08:00:00 CST 1970
    pZxid = 0x300000031
    cversion = 18
    dataVersion = 0
    aclVersion = 1
    ephemeralOwner = 0x0
    dataLength = 0
    numChildren = 2

### 3.2 设置应用根节点权限 ###

创建应用节点/web, 并设置用户zong:zong 拥有权限: 创建子节点, 删除子节点, 获取子节点列表, 不拥有权限: 修改应用节点ACL 权限, 修改应用节点数据.

[zk: 127.0.0.1:2181(CONNECTED) 2] create /web "This is web application" digest:zong:rJQhMsjxDyaqJWO4eOO1lOGKNxc=:cdr
    Created /web

### 3.3 测试应用权限 ###

重新登录

# 未进行用户认证, 查看应用根节点下子节点
    [zk: 127.0.0.1:2181(CONNECTED) 0] ls /web
    Authentication is not valid : /web
    
    # 添加用户认证
    [zk: 127.0.0.1:2181(CONNECTED) 1] addauth digest zong:zong /web
    
    # 尝试修改应用根节点数据, 无权限
    [zk: 127.0.0.1:2181(CONNECTED) 2] set /web "test"
    Authentication is not valid : /web
    
    # 创建子节点, 拥有权限
    [zk: 127.0.0.1:2181(CONNECTED) 3] create /web/app1 "app1"
    Created /web/app1
    
    # 查看子节点列表, 拥有权限
    [zk: 127.0.0.1:2181(CONNECTED) 6] ls /web
    [app1]
    
    # 删除子节点, 
    [zk: 127.0.0.1:2181(CONNECTED) 4] delete /web/app1