Apache ZooKeeper - ZK的ACL权限控制( Access Control List )

灰太狼 2022-12-22 06:10 220阅读 0赞

### 文章目录 ###

*  概述
 *  权限模式（Scheme）
 *   *  口令验证
     *  范围验证
     *  Super权限模式
 *  授权对象（ID）
 *  权限信息（Permission）
 *  ACL相关命令
 *  跳过ACL检测
 *  实操ACL
 *   *  生成授权ID
     *   *  方式一 Code
         *  方式二 shell命令
     *  方式一 digest 密文授权
     *  方式二 auth 明文授权
     *  方式三 IP授权模式
 *  Super 超级管理员模式
 *  特殊说明

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center]

--------------------

# 概述 #

ACL全称为Access Control List（访问控制列表），用于控制资源的访问权限,可以控制节点的读写操作,保证数据的安全性 。

ZooKeeper使用ACL来控制对其znode的防问。

Zookeeper ACL 权限设置分为 3 部分组成，分别是：权限模式（Scheme）、授权对象（ID）、权限信息（Permission）

基于`scheme:id:permission`的方式进行权限控制： scheme表示授权模式、id模式对应值、permission即具体的增删改权限位。

--------------------

# 权限模式（Scheme） #

用来设置 ZooKeeper 服务器进行权限验证的方式 。

<table> 
 <thead> 
  <tr> 
   <th align="center">方案</th> 
   <th align="right">描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="center">world</td> 
   <td align="right">开放模式，world表示全世界都可以访问（这是默认设置）</td> 
  </tr> 
  <tr> 
   <td align="center">ip</td> 
   <td align="right">ip模式，限定客户端IP防问</td> 
  </tr> 
  <tr> 
   <td align="center">auth</td> 
   <td align="right">用户密码认证模式，只有在会话中添加了认证才可以防问</td> 
  </tr> 
  <tr> 
   <td align="center">digest</td> 
   <td align="right">与auth类似，区别在于auth用明文密码，而digest 用sha-1+base64加密后的密码。在实际使用中digest 更常见。</td> 
  </tr> 
 </tbody> 
</table>

--------------------

## 口令验证 ##

用户名密码的方式

在 ZooKeeper 中这种验证方式是 Digest 认证，而 Digest 这种认证方式首先在客户端传送`“username:password”`这种形式的权限表示符后，ZooKeeper 服务端会对密码 部分使用 SHA-1 和 BASE64 算法进行加密，以保证安全性。

--------------------

## 范围验证 ##

范围验证就是说 ZooKeeper 可以针对一个 IP 或者一段 IP 地址授予某种权限。、

我们可以让一个 IP 地址为“ip：192.168.11.123”的机器对服务器上的某个数据节点具有写入的权限。或者也可以通过“ip:192.168.0.1/24”给一段 IP 地址的机器赋权。

--------------------

## Super权限模式 ##

Super可以认为是一种特殊的 Digest 认证。具有 Super 权限的客户端可以对 ZooKeeper 上的任意数据节点进行任意操作.

--------------------

# 授权对象（ID） #

授权对象就是说我们要把权限赋予谁，而对应于 4 种不同的权限模式来说，  
如果我们

*  选择采用 IP 方式，使用的授权对象可以是一个 IP 地址或 IP 地址段
 *  使用 Digest 或 Super 方式，则对应于一个用户名
 *  World 模式，是授权系统中所有的用户

--------------------

# 权限信息（Permission） #

权限就是指我们可以在数据节点上执行的操作种类，如下所示：在 ZooKeeper 中已经定义好的权限有 5 种：

*  数据节点（c: create）创建权限，授予权限的对象可以在数据节点下**创建子节点**；
 *  数据节点（w: wirte）更新权限，授予权限的对象可以更新该数据节点；
 *  数据节点（r: read）读取权限，授予权限的对象可以读取该节点的内容以及子节点的列表信息；
 *  数据节点（d: delete）删除权限，授予权限的对象可以删除该数据节点的**子节点**；
 *  数据节点（a: admin）管理者权限，授予权限的对象可以对该数据节点体进行 ACL 权限设置。

--------------------

# ACL相关命令 #

<table> 
 <thead> 
  <tr> 
   <th align="center">命令</th> 
   <th align="right">使用方式</th> 
   <th align="right">描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="center">getAcl</td> 
   <td align="right">getAcl path</td> 
   <td align="right">读取ACL权限</td> 
  </tr> 
  <tr> 
   <td align="center">setAcl</td> 
   <td align="right">setAcl path acl</td> 
   <td align="right">设置ACL权限</td> 
  </tr> 
  <tr> 
   <td align="center">addauth</td> 
   <td align="right">addauth scheme auth</td> 
   <td align="right">添加认证用户</td> 
  </tr> 
 </tbody> 
</table>

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 1]

--------------------

# 跳过ACL检测 #

可以通过系统参数zookeeper.skipACL=yes进行配置，默认是no,可以配置为true, 则配置过的ACL将不再进行权限检测

zkServer.sh  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 2]  
修改后重启zk .

任意节点均可访问  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 3]

--------------------

# 实操ACL #

## 生成授权ID ##

### 方式一 Code ###

public void generateSuperDigest() throws NoSuchAlgorithmException { 
        String sId = DigestAuthenticationProvider.generateDigest("artisan:xgj");
        System.out.println(sId); 
    }

--------------------

### 方式二 shell命令 ###

echo -n <user>:<password> | openssl dgst -binary -sha1 | openssl base64

举例

[root@localhost bin]# echo -n artisan:xgj | openssl dgst -binary -sha1 | openssl base64
    Xe7+HMYId2eNV48821ZrcFwIqIE=
    [root@localhost bin]#

--------------------

## 方式一 digest 密文授权 ##

创建Node的时候 设置acl

[zk: localhost:2181(CONNECTED) 10] create /artisan_node artisan_value digest:artisan:Xe7+HMYId2eNV48821ZrcFwIqIE=:cdrwa
    Created /artisan_node
    [zk: localhost:2181(CONNECTED) 11] get /artisan_node  # 直接查看没有访问权限的 
    org.apache.zookeeper.KeeperException$NoAuthException: KeeperErrorCode = NoAuth for /artisan_node
    [zk: localhost:2181(CONNECTED) 12]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 4]

或者创建node的时候不指定acl ,然后用setAcl 设置

setAcl /artisan_node digest:artisan:Xe7+HMYId2eNV48821ZrcFwIqIE=:cdrwa

如何才能有访问权限呢？ 因为是给artisan这个用户赋权的

【访问前需要添加授权信息】addauth

[zk: localhost:2181(CONNECTED) 12] addauth digest artisan:xgj
    [zk: localhost:2181(CONNECTED) 13] get /artisan_node
    artisan_value
    [zk: localhost:2181(CONNECTED) 14]

--------------------

## 方式二 auth 明文授权 ##

[zk: localhost:2181(CONNECTED) 14] addauth digest aaa:passwddd
    [zk: localhost:2181(CONNECTED) 15] create /artisanNNN  nodeValue auth:aaa:passwddd:cdwra   # 这是aaa用户授权信息会被zk保存，可以认为当前的授权用户为aaa
    Created /artisanNNN
    [zk: localhost:2181(CONNECTED) 16] get /artisanNNN
    nodeValue
    [zk: localhost:2181(CONNECTED) 17]

--------------------

## 方式三 IP授权模式 ##

创建时设置ip的权限

create /node-ip  data  ip:192.168.11.123:cdwra

或者创建完成以后 手工调用setAcl

setAcl /node-ip ip:192.168.11.123:cdwra

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 5]

多个指定IP可以通过逗号分隔， 如 `setAcl /node-ip ip:IP1:rw,ip:IP2:a`

--------------------

# Super 超级管理员模式 #

是一种特殊的Digest模式， 在Super模式下超级管理员用户可以对Zookeeper上的节点进行任何的操作.

-Dzookeeper.DigestAuthenticationProvider.superDigest=super:<base64encoded(SHA1(password))

在DigestAuthenticationProvider类中定义的

参考如下

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 6]

重启zk , 就进入了超级管理员模式

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 7]

任意操作咯  
![在这里插入图片描述][20201118200559328.png_pic_center]

--------------------

# 特殊说明 #

权限仅对当前节点有效，不会让子节点继承。如限制了IP防问A节点，但不妨碍该IP防问A的子节点 /A/B

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 8]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/dfe129149b5a4dc0aff80cc30b2ecec1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221120/dae537fb8a2940cd87f91bd3c6a06b5d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221120/db7e96d473a54b9bbbbbccff9aae9d8b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221120/58411e9b61ea4197873feb6ce18fd9cf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221120/57fb2fe13f1d495db758c20c2a59a248.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221120/77c25b003ae54ad8b828cc4a9f062e01.png
[20201118195429767.png_pic_center]: /images/20221120/e8c60c1675c44f44a9d21dcdd48cb003.png
[20201118195511899.png_pic_center]: /images/20221120/ea94905679474888a7ccd97a3b56cf55.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221120/72997ba4c6904d6192d9e7e0573b59d0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20221120/eaf2dd8d63fd4a7db35fc901e7cd0d6d.png
[20201118200559328.png_pic_center]: /images/20221120/db6905dea03c4231b9bee6bfc1e8eae6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70_pic_center 8]: https://img-blog.csdnimg.cn/20201118010749856.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ==,size_16,color_FFFFFF,t_70#pic_center