使用ZooKeeper ACL特性进行znode控制

Zookeeper作为配置管理服务，因为配置数据有很高的安全要求，需要有权限控制，客户端需要进行登录认证才操作（查看数据，修改数据，创建children znode等等）Zookeeper上面对应znode。

1. 简单的客户端认证zkCli.sh 命令如下：

1 2	`[zk: localhost:2181(CONNECTED) 23]` `ls` `/tom` `Authentication is not valid :` `/tom`

#添加认证之后，即可查看znode /tom

[zk: localhost:2181(CONNECTED) 27] addauth digest tom:tom

[zk: localhost:2181(CONNECTED) 28] ls /tom

[]

2. Zookeeper提供的认证方式

Zookeeper对权限的控制是znode级别的，不继承即对父节点设置权限，其子节点不继承父节点的权限。
world：有个单一的ID，anyone，表示任何人。
auth：不使用任何ID，表示任何通过验证的用户（验证是指创建该znode的权限）。
digest：使用用户名：密码字符串生成MD5哈希值作为ACL标识符ID。权限的验证通过直接发送用户名密码字符串的方式完成，
ip：使用客户端主机ip地址作为一个ACL标识符，ACL表达式是以 addr/bits 这种格式表示的。ZK服务器会将addr的前bits位与客户端地址的前bits位来进行匹配验证权限。

3. auth认证方式

Perm:ALL, Id:("auth","") 即创建者拥有访问权限。

/auth的数据是“auth”, auth认证方式，读写权限。

1 2	`[zk: localhost:2181(CONNECTED) 37] create` `/auth` `auth auth::rw` `Created` `/auth`

查看/auth的访问控制列表可以看出需要通过digest模式用户名密码是tom/tom认证才可以访问，不对id做限制。

[zk: localhost:2181(CONNECTED) 42] getAcl /auth

'digest,'tom:GcSMsIa2MmdW+zdSJKAv8gcnrpI=

: rw

成功的认证：

[zk: localhost:2181(CONNECTED) 0] ls /auth

Authentication is not valid : /auth

[zk: localhost:2181(CONNECTED) 1] addauth digest tom:tom

[zk: localhost:2181(CONNECTED) 2] ls /auth

[]

失败的认证：

[zk: localhost:2181(CONNECTED) 2] addauth digest supper:admin

[zk: localhost:2181(CONNECTED) 3] ls /auth

Authentication is not valid : /aut

4.通过zkCli.sh 创建znode,并设置ACL

4.1 创建设置ACL的znode

图1 - 用户/密码super/admin创建/supper：

图2-用户/密码tom/tom创建/tom：

图3-查看/supper和/tom的ACL：

4.2 使用如下代码来生成用户名和密码的摘要：

java -cp $ZK_CLASSPATH \

org.apache.zookeeper.server.auth.DigestAuthenticationProvider amy:secret

....

amy:secret->amy:Iq0onHjzb4KyxPAp8YWOIC8zzwY=

注：在启动Zookeeper服务是指定

1	`-Dzookeeper.DigestAuthenticationProvider.superDigest=super:<base64encoded(SHA1(password))`

将启用超级用户，通过该supper:密码认证的客户端访问将不受ACL列表限制。

5. 客户端验证

5.1验证supper/admin

ZooKeeper zooKeeper1 = new ZooKeeper("192.168.88.153:2181", 10000, new Watcher() {

@Override

public void process(WatchedEvent event) {

System.out.println(event);

}

});

//zooKeeper1.addAuthInfo("digest", "supper:admin".getBytes());

Stat stat = new Stat();

byte[] supperData = zooKeeper1.getData("/supper", true, stat);

System.out.println(new String(supperData) + "," + stat);

运行上面代码，读（r）znode "/supper" ：

去掉注释代码，为客户端添加认证信息之后：

1	`0,8589940093,8589940093,1439970090902,1439970090902,0,0,0,0,1,0,8589940093`

数据是0，符合4中图1设置的值。

5.2验证tom/tom

ZooKeeper zooKeeper2 = new ZooKeeper("192.168.88.153:2181", 10000, new Watcher() {

@Override

public void process(WatchedEvent event) {

System.out.println(event);

}

});

zooKeeper2.addAuthInfo("digest", "tom:tom".getBytes());

stat = new Stat();

byte[] tomData = zooKeeper2.getData("/tom", true, stat);

System.out.println(new String(tomData) + "," + stat);

结果似同5.1.

通过zkCli.sh客户端连接,认证和读取

6.使用zkCli.sh 验证acl(点击查看大图)

Zookeeper提供的权限信息表：

权限	描述	setAcl中的简写
write	能够设置znode的值	w
read	能够读取znode的值和列出它的children znode	r
create	能够创建children znode	c
delete	能够删除children znode	d
admin	能够执行setAcl即设置访问控制列表	a
all	所有权限	wrcda

7：注意问题：

7.1 通过zkCli.sh设置acl的格式是scheme:id:perm，perm的写法是简写字母连接，如读写权限rw和Linux的文件系统的权限相似。有些版本可能是：READ|WRITE, 所以需要注意命令行提示信息。

7.2 通过zkCli.sh设置acl时，scheme是digest的时候,id需要密文，具体生成参见文4.2

7.3 通过Zookeeper的客户端编码方式添加认证，digest对应的auth数据是明文，参见文5.1

8.Zookeeper认证的扩展

实现AuthenticationProvider接口提供自定义的认证方式。

1	`org.apache.zookeeper.server.auth.AuthenticationProvider`

比如自定义实现AuthenticationProvider类是secondriver.MyProvier，可以通过两种方式注册Zookeeper认证体系中去。

第一种：启动Zookeeper服务是通过-Dzookeeper.authPorivder.X=secondriver.MyProvider

第二种：添加到配置文件（zoo.conf）中如：

1	`zookeeper.authProvider.1=secondriver.MyProvider`

注:上面X是对authProvider实现提供编号用来区别不同的authProvider。

本文转自 secondriver 51CTO博客，原文链接：http://blog.51cto.com/aiilive/1686132，如需转载请自行联系原作者

使用ZooKeeper ACL特性进行znode控制相关推荐

ZooKeeper ACL权限控制
1.1.ACL权限控制: 使用scheme.id.permission 来标识,主要涵盖 3 个方面: 权限模式(scheme):授权的策略授权对象(id):授权的对象权限(permission) ...
ZooKeeper ： Curator框架Znode、ACL API介绍
ZooKeeper : Curator框架Znode.ACL API介绍在之前的博客中,博主介绍了Curator框架的重试策略和Session API,并且对namespace进行了原理分析: Zo ...
sql 树状结构中知道父节点与孙节点_集群环境中使用Zookeeper实现分布式幂等控制...
一.什么是Zookeeper? Zookeeper(业界简称zk)是一种提供配置管理.分布式协同以及命名的中心化服务,这些提供的功能都是分布式系统中非常底层且必不可少的基本功能,但是如果自己实现这些功 ...
linux怎么看zk的版本号,zookeeper基本特性与基于Linux的ZK客户端命令行学习
zookeeper常用命令行操作通过 zkCli.sh 来打开zk客户端: [root@study-01 ~]# zkCli.sh [zk: localhost:2181(CONNECTED) 0] ...
ZooKeeper系列(3)：znode说明和znode状态
ZooKeeper系列文章:https://www.cnblogs.com/f-ck-need-u/p/7576137.html#zk 1.znode znode的官方说明:http://zookee ...
Zookeeper ACL机制
权限介绍 Zookeeper权限管理(ACL)支持5种权限 CREATE:创建子节点 READ:获取本节点数据.节点信息及子节点列表 DELETE:删除子节点 WRITE:设置本节点数据 ADMIN: ...
CentOS 7 下 zookeeper ACL 超级管理员使用
背景使用 zookeeper 添加普通账户,并给某节点进行赋权,忘记密码后,无法对该节点进行操作,通过开启 ACL super 账户进行操作. zkCli 连接 $ zkCli.sh 添加 ACL ...
三层交换机的配置和ACL访问控制（标准控制和扩展控制）策略的应用
三层交换机的配置和ACL访问控制策略的应用文章目录三层交换机的配置和ACL访问控制策略的应用一.三层交换机的配置 [1]拓扑图示 [2]在二层交换机上 [3]在三层交换机上面配置二.ACL访问 ...
Solr Zookeeper ACL权限配置
首先注意:在配置ACL的时候,请关闭solr运行实例!!否则可能对集群造成不可恢复的损坏开始: 1.修改solr.xml,在solrCloud节点添加,告诉solr要使用的provider: < ...

使用ZooKeeper ACL特性进行znode控制

使用ZooKeeper ACL特性进行znode控制相关推荐

最新文章

热门文章