Zookeeper使用ACL进行访问权限控制

Size: px

Start display at page:

Download "Zookeeper使用ACL进行访问权限控制"

吭麴
5 years ago
Views:

1 Zookeeper 使用 ACL 进行访问权限控制 ZooKeeper 使用 ACL 来控制访问其 znode(zookeeper 的数据树的数据节点 ) ACL 的实现方式非常类似于 UNIX 文件的访问权限 : 它采用访问权限位允许 / 禁止对节点的各种操作以及能进行操作的范围不同于 UNIX 权限的是,ZooKeeper 的节点不局限于用户 ( 文件的拥有者 ), 组和其他人 ( 其它 ) 这三个标准范围 ZooKeeper 不具有 znode 的拥有者的概念相反,ACL 指定 id 集以及与之对应的权限需要注意的是 : 一条 ACL 仅针对于一个特定的节点, 并不会把权限应用于子节点例如, 如果 /app 只对 IP: 可读而 /app/status 是对任何人可读的, 那么任何人都对 /app/status 拥有读权限,ACL 不是递归的 ZooKeeper 支持可插拔的身份验证方案 id 使用如下形式 scheme:id, 其中 scheme 是 id 所对应一个认证方案例如,IP: ,id 为主机的地址当客户端连接到 ZooKeeper 验证自己时,ZooKeeper 将有关该客户端的所有 Id 与客户连接关联客户端试图访问一个节点时, 这些 ID 与该 znodes 的 ACL 验证 ACL 是由 (scheme:expression, perms) 对构成其中 expression 的格式指定为 scheme 例如, (IP: /16,READ) 表示对所有起始 IP 为的客户端具有读权限 ACL 权限 ZooKeeper 支持以下权限 : CREATE: 能创建子节点 READ: 能获取节点数据和列出其子节点 WRITE: 能设置节点数据 DELETE: 能删除子节点 ADMIN: 能设置权限 CREATE 权限和 DELETE 权限从 WRITE 权限中分离出来, 是为了获得更好的访问控制使用 CRE ATE 和 DELETE 权限的场景是 : 你想让 A 用户能够设置节点数据, 但不允许创建或删除子节点有 CREATE 但无 DELETE 权限 : 客户端发出一个在父目录下创建节点的请求你想让所有客户端能够添加, 但是只有创建者能够删除 ( 这类似于文件的 APPEND 权限 ) 内置的 ACL schemes 1 / 5

2 ZooKeeper 有如下内置的 schemes world 有个唯一的 id, anyone, 代表所有人 auth 不使用任何 id, 代表任何已认证的用户 digest 用 username:password 字符串来产生一个 MD5 串, 然后该串被用来作为 ACL ID 认证是通过明文发送 username:password 来进行的, 当用在 ACL 时, 表达式为 username:base64,base 64 是 password 的 SHA1 摘要的编码 ip 使用客户端的主机 IP 作为 ACL ID 这个 ACL 表达式的格式为 addr/bits, 此时 addr 中的有效位与客户端 addr 中的有效位进行比对 ZooKeeper C 客户端 API 如下的常量是由 ZooKeeper C 语言库中提供的 : const int ZOO_PERM_READ; // 能读节点的值及列出其子节点 const int ZOO_PERM_WRITE; // 能设置节点的值 const int ZOO_PERM_CREATE; // 能创建子节点 const int ZOO_PERM_DELETE; // 能删除子节点 const int ZOO_PERM_ADMIN; // 能执行 set_acl() const int ZOO_PERM_ALL; // 上面所有值的 OR 下面是标准的 ACL IDs struct Id ZOO_ANYONE_ID_UNSAFE; //('world','anyone') struct Id ZOO_AUTH_IDS;// ('auth','') ZOO_AUTH_IDS 为空时, 应被理解成创建者的 Id ZooKeeper 客户端有三种标准的 ACL: struct ACL_vector ZOO_OPEN_ACL_UNSAFE; //(ZOO_PERM_ALL,ZOO_ANYONE_ID_UNSAFE) struct ACL_vector ZOO_READ_ACL_UNSAFE;// (ZOO_PERM_READ, ZOO_ANYONE_ID_UNSAFE) struct ACL_vector ZOO_CREATOR_ALL_ACL; //(ZOO_PERM_ALL,ZOO_AUTH_IDS) 2 / 5

3 ZOO_OPEN_ACL_UNSAFE 使所有 ACL 都开放了 : 任何应用程序在节点上可进行任何操作, 能创建列出和删除它的子节点对任何应用程序,ZOO_READ_ACL_UNSAFE 是只读的 CREATE _ALL_ACL 赋予了节点的创建者所有的权限, 在创建者采用此 ACL 创建节点之前, 已经被服务器所认证 ( 例如, 采用 digest 方案 ) 以下 ZooKeeper 方法处理 ACL: // 应用程序使用 zoo_add_auth 方法来向服务器认证自己, 如果想用 // 不同的方案来认证, 这个方法可以被调用多次 int zoo_add_auth (zhandle_t *zh,const char* scheme,const char* cert, int certlen, void_completion_t completion, const void *data); //zoo_create( ) 方法创建一个新节点 acl 参数是一个与这个节点关联的 ACL // 列表, 父节点权限项的 CREATE 位已被设 (set, 即由权限 ) int zoo_create (zhandle_t *zh, const char *path, const char *value, int valuelen, const struct ACL_vector *acl, int flags, char *realpath, int max_realpath_len); // 这个方法返回这个节点的 ACL 信息 int zoo_get_acl (zhandle_t *zh, const char *path, struct ACL_vector *acl, struct Stat *stat); // 这个方法用新的节点的 ACL 列表替换老的, // 这个节点的 ADMIN 位必须被设置 (set, 即具有 ADMIN 权限 ) int zoo_set_acl (zhandle_t *zh, const char *path, int version,const struct ACL_vector *acl); 这有一个使用上面 API 的例子, 采用 foo 方案认证, 创建一个 /xyz 的暂态节点, 设置其为只创建权限这是一个非常简单的例子, 它的目的是展示如何与 ZooKeeper ACL 交换 C 客户端的实现, 参考.../trunk/src/c/src/cli.c: #include <string.h> #include <errno.h> #include "zookeeper.h" static zhandle_t *zh; /** * In this example this method gets the cert for your 3 / 5

4 * environment -- you must provide */ char *foo_get_cert_once(char* id) { return 0; /** Watcher function -- empty for this example, not something you should * do in real code */ void watcher(zhandle_t *zzh, int type, int state, const char *path, void *watcherctx) { int main(int argc, char argv) { char buffer[512]; char p[2048]; char *cert=0; char appid[64]; strcpy(appid, "example.foo_test"); cert = foo_get_cert_once(appid); if(cert!=0) { fprintf(stderr, "Certificate for appid [%s] is [%s]\n",appid,cert); strncpy(p,cert, sizeof(p)-1); free(cert); else { fprintf(stderr, "Certificate for appid [%s] not found\n",appid); strcpy(p, "dummy"); zoo_set_debug_level(zoo_log_level_debug); zh = zookeeper_init("localhost:3181", watcher, 10000, 0, 0, 0); if (!zh) { return errno; if(zoo_add_auth(zh,"foo",p,strlen(p),0,0)!=zok) return 2; struct ACL CREATE_ONLY_ACL[] = {{ZOO_PERM_CREATE, ZOO_AUTH_IDS; struct ACL_vector CREATE_ONLY = {1, CREATE_ONLY_ACL; int rc = zoo_create(zh,"/xyz","value", 5, &CREATE_ONLY, ZOO_EPHEMERAL, buffer, sizeof(buffer)-1); /** this operation will fail with a ZNOAUTH error */ int buflen= sizeof(buffer); struct Stat stat; rc = zoo_get(zh, "/xyz", 0, buffer, &buflen, &stat); if (rc) { 4 / 5

5 Powered by TCPDF ( Zookeeper 使用 ACL 进行访问权限控制 fprintf(stderr, "Error %d for %s\n", rc, LINE ); zookeeper_close(zh); return 0; 本文的翻译自 : eeperaccesscontrol 本博客文章除特别声明, 全部都是原创! 禁止个人和公司转载本文谢谢理解 : 过往记忆 ( 本文链接 : () 5 / 5

Microsoft Word - 把时间当作朋友（2011第3版）3.0.b.06.doc

Microsoft Word - 把时间当作朋友（2011第3版）3.0.b.06.doc 2 5 8 11 0 13 1. 13 2. 15 3. 18 1 23 1. 23 2. 26 3. 28 2 36 1. 36 2. 39 3. 42 4. 44 5. 49 6. 51 3 57 1. 57 2. 60 3. 64 4. 66 5. 70 6. 75 7. 83 8. 85 9. 88 10. 98 11. 103 12. 108 13. 112 4 115 1. 115 2.