[Zookeeper] ACL-保障数据的安全

悠悠 2022-12-17 07:27 180阅读 0赞

Zookeeper作为一个分布式协调框架，其内部存储的都是一些关于分布式系统**运行时状态的元数据**，尤其是一些涉及到分布式锁、Master选举和分布式协调等应用场景的数据。数据的安全性一定程度上影响着系统的运行时状态。Zookeeper提供了一套完善的ACL（Access Control List）权限控制来保障数据的安全性。Acl。即访问控制列表。

**ACL介绍**

权限模式（Scheme）、授权对象（ID）和权限（permission），通常使用“scheme:id:permission”来标识一个有效的ACL信息。

**权限模式（Scheme）**

用来确定权限验证过程中使用的**校验策略**，Zookeeper中使用最多的就是如下四种。同时用户可以自定义权限控制模式。通过实现接口AuthenticationProvider

IP（IPAuthenticationProvider实现类）

IP模式通过IP地址粒度来进行权限控制，如配置了“ip:192.168.1.1”，表示权限控制都是针对这个IP地址的。同时也支持按照网 段的方式，如“ip:192.168.0.1/24”。

Digest（DigestAuthenticationProvider实现类）

Digest是最常用的权限控制模式，类似于“username:password”形式的权限表示来进行权限配置，便于区分不同应用来进行权 限控制。核心方法就是generateDigest，方法定义如下：

static public String generateDigest(String idPassword)
                throws NoSuchAlgorithmException {
            String parts[] = idPassword.split(":", 2);
    
            //使用SHA1算法对消息进行摘要
            byte digest[] = MessageDigest.getInstance("SHA1").digest(idPassword.getBytes());
            
            //对摘要后的消息进行base64Encode编码
            return parts[0] + ":" + base64Encode(digest);
        }

World

World是一种最开放的权限控制模式，他只有一个权限标识“world:anyone”。使用这种模式，数据节点的访问权限对所有用户 开放。

Super

Super模式，超级用户，是一种特殊的Digest模式，在Super模式下，超级用户可以对任意的Zookeeper上的数据节点进行任何 操作。

**授权对象 ID**

*  不同的模式，授权对象是不同的。、
 *  IP模式：通常是一个Ip地址或者是IP段
 *  Digest模式：自定义
 *  World模式：只有一个ID，即anyone
 *  Super模式：自定义

**权限 Permission：**

*  CREATE（C）：数据节点的创建权限，允许授权对象在该数据节点下创建子节点。
 *  DELETE（D）：子节点的删除权限，允许授权对象删除该数据节点下的子节点。
 *  READ（R）：数据节点的读取权限，允许授权对象访问该数据节点并读取其内容或子节点列表等
 *  WRITE（W）：数据节点的更新权限，允许授权对象对该数据节点进行更新操作。
 *  ADMIN（A）：数据节点的管理权限，运行授权对象对该数据节点进行ACL相关的设置操作

**实现自定义的权限模式**

实现接口AuthenticationProvider

**注册自定义的权限模式**

系统属性-DZookeeper.authProvider.X

在Zookeeper启动参数中配置类似于如下的系统属性

\-DZookeeper.authProvider.1=com.xxx.xxx --com.xxx.xxx表示自定义属性的全限定名

配置文件方式

在zoo.cfg配置文件中配置

authProvider.1=com.xxx.xxx --com.xxx.xxx表示自定义属性的全限定名

**权限控制器的注册**

对于权限控制器的注册，Zookeeper采用了延迟加载的策略，即第一次处理包含权限控制的客户端请求时，才会进行权限控制器的初始化，同时Zookeeper会将所有的权限控制器注册到ProviderRegistry中。

具体的延迟加载入口见ZookeeperServer的processPacket方法

public void processPacket(ServerCnxn cnxn, ByteBuffer incomingBuffer) throws IOException {
            .....
            RequestHeader h = new RequestHeader();
            h.deserialize(bia, "header");
            
            .....
            //如果请求的类型是auth则进行权限相关的处理
            if (h.getType() == OpCode.auth) {
                .....
    
                //获取权限模式
                String scheme = authPacket.getScheme();
                
                //从ProviderRegistry中获取权限控制器
                AuthenticationProvider ap = ProviderRegistry.getProvider(scheme);
                Code authReturn = KeeperException.Code.AUTHFAILED;
                if(ap != null) {
                    try {
                        authReturn = ap.handleAuthentication(cnxn, authPacket.getAuth());
                    } catch(RuntimeException e) {
                        LOG.warn("Caught runtime exception from AuthenticationProvider: " + scheme + " due to " + e);
                        authReturn = KeeperException.Code.AUTHFAILED;                   
                    }
                }
    }

ProviderRegistry.getProvider 如下所示

public static AuthenticationProvider getProvider(String scheme) {
            //权限控制器没加载过，则加载权限控制器
            if(!initialized)
                initialize();
            return authenticationProviders.get(scheme);
        }
    
    public static void initialize() {
            synchronized (ProviderRegistry.class) {
                //双重检查，保证只会被初始化一次
                if (initialized)
                    return;
                
                //先加载两个系统预置的IPAuthenticationProvider 和DigestAuthenticationProvider 
                IPAuthenticationProvider ipp = new IPAuthenticationProvider();
                DigestAuthenticationProvider digp = new DigestAuthenticationProvider();
                authenticationProviders.put(ipp.getScheme(), ipp);
                authenticationProviders.put(digp.getScheme(), digp);
                
                //获取系统变量相关中注册的，对于在zoo.cfg中注册的是怎样加载的呢？
                Enumeration<Object> en = System.getProperties().keys();
                while (en.hasMoreElements()) {
                    String k = (String) en.nextElement();
                    if (k.startsWith("zookeeper.authProvider.")) {
                        String className = System.getProperty(k);
                        try {
                            Class<?> c = ZooKeeperServer.class.getClassLoader()
                                    .loadClass(className);
                            AuthenticationProvider ap = (AuthenticationProvider) c
                                    .newInstance();
                            authenticationProviders.put(ap.getScheme(), ap);
                        } catch (Exception e) {
                            LOG.warn("Problems loading " + className,e);
                        }
                    }
                }
                initialized = true;
            }
        }

从上的加载控制器的逻辑可知，先加载IPAuthenticationProvider 和DigestAuthenticationProvider，再加载 系统属性 设置的，那对于在zoo.cfg中配置的是怎么加载的呢？原理是Zookeeper服务端启动时会去解析配置文件（QuorumPeerConfig类的parseProperties方法）。代码如下：即System.setProperty("zookeeper."+key,value);

public void parseProperties(Properties zkProp)
        throws IOException, ConfigException {
            int clientPort = 0;
            String clientPortAddress = null;
            for (Entry<Object, Object> entry : zkProp.entrySet()) {
                String key = entry.getKey().toString().trim();
                String value = entry.getValue().toString().trim();
                if (key.equals("dataDir")) {
                    dataDir = value;
                } 
                ....此中间设置了众多的else if ....
                
                else {
                    //设置到系统属性中
                    System.setProperty("zookeeper." + key, value);
                }
            }

ACL的使用，参考[https://www.cnblogs.com/qlqwjy/p/10517231.html][https_www.cnblogs.com_qlqwjy_p_10517231.html]

仅供个人学习记录

[https_www.cnblogs.com_qlqwjy_p_10517231.html]: https://www.cnblogs.com/qlqwjy/p/10517231.html