ZooKeeper节点权限控制详解

布满荆棘的人生 2022-11-11 14:50 277阅读 0赞

**目录**

目标

ACL机制

常用的权限命令

实战

演示world机制

演示auth机制

演示digest机制

产生密文

演示ip机制

--------------------

# 目标 #

了解ZooKeeper的几种ACL机制；

熟练使用命令为ZooKeeper的目录分配权限。

--------------------

# ACL机制 #

**格式**：**scheme:id:permissions**，其中scheme表示ACL方案；id表示验证模式；permissions表示权限类型。

**\[scheme\]**：有四种类型（world、auth、digest、ip），含义如下：

*  **world**：所有人都可以访问，且对应的id只有一个为anyone；
 *  **auth**：不需要id，只通过身份验证（authentication）来获得权限；
 *  **digest**：对应的id为username:BASE64(SHA1(password))，需要先通过username:password格式的身份验证（authentication）来获得权限；
 *  **ip**：ip白名单，设置的时候可以设置一个ip段，比如ip:192.168.1.0/16, 表示匹配前16个bit的IP段。

**\[id\]**：取值与scheme一一对应，如：

*  **与world对应**：anyone；
 *  **与auth对应**：username:password；
 *  **与digest对应**：username:BASE64(SHA1(password))；
 *  **与ip对应**：客户机的ip。

**\[permissions\]**：有五种类型（create、read、write、delete、admin），含义如下：

*  create：创建节点的权限，简写为c；
 *  read：读节点的权限，简写为r；
 *  write：写节点的权限，简写为w；
 *  delete：删除节点的权限，简写为d；
 *  admin：为节点分配权限的权限，简写为a。

--------------------

# 常用的权限命令 #

*  **getAcl**：获取指定节点的ACL信息；
 *  **setAcl**：设置指定节点的ACL信息；
 *  **addauth**：注册会话授权信息。

--------------------

# 实战 #

## 演示**world机制** ##

#创建/film节点。
    create /film
    #查看/film节点信息，发现默认权限是world:anyone:cdrwa，即对于/film节点，所有人拥有所有权限。
    getAcl /film
    #为/film赋权。
    setAcl /film world:anyone:cdrw
    #再次查看/film节点信息，发现此时/film节点的权限为world:anyone:crw。
    getAcl /film
    #在/film下创建/aaa节点。
    create /film/aaa iron_man
    #尝试删除/film/aaa操作，发现删除不了，说明没有删除的权限。
    delete /film/aaa

--------------------

## 演示**auth机制** ##

#新增一个用户名为zhangsan，密码为1234565的用户。
    addauth digest zhangsan:123456
    #创建/library节点。
    create /library
    #给/library创建/book01子节点并设置值为sanguo。
    create /library/book01 sanguo
    #设置权限为crwa且需要用户名和密码才可以操作该节点。
    setAcl /library/book01 auth:zhangsan:123456:crwa
    #登录zhangsan这个用户，查看/library/book01权限。此时看到的密码是被加密的。
    addauth digest zhangsan:123456
    getAcl /library/book01
    #设置/library/book01值为shuihu，发现可以设置成功。
    set /library/book01 shuihu

--------------------

## 演示**digest机制** ##

#新增一个用户名为lisi，密码为123456的用户。
    addauth digest lisi:123456
    #创建/department节点。
    create /department
    #给/department创建/team子节点，并设置值为wangwu。
    create /department/team wangwu
    #设置/department/team权限为crwa且需要用户名和加密后的密码才可以登录。
    setAcl /department/team digest:lisi:yoHDeYtQqNbfIsD6tuoYFXFB59g=:crwa
    #登录lisi这个用户，并查看权限。
    addauth digest lisi:123456
    getAcl /department/team

### 产生密文 ###

**第一步**：项目引入**zookeeper-版本号.jar**和**log4j-版本号.jar**包；

**第二步**：创建以下类，输入**账号:密码**，运行主方法得出密文。

import java.security.NoSuchAlgorithmException;
    import org.apache.zookeeper.server.auth.DigestAuthenticationProvider;
    public class DigestDemo extends DigestAuthenticationProvider{
    	public static void main(String[] args) throws NoSuchAlgorithmException {
            //账号是lisi，密码是123456。
            //结果是：lisi:yoHDeYtQqNbfIsD6tuoYFXFB59g=
    		 System.out.println(  generateDigest("lisi:123456"));
    	}
    }

--------------------

## 演示**ip机制** ##

#创建节点
    create /iptest
    #设置ip白名单，并设置相关权限。
    setAcl /iptest ip:192.168.x.x:crwa