3.ZooKeeper的acl权限控制「第二章 ZooKeeper使用」「架构之路ZooKeeper理论和实战」

喜欢ヅ旅行 2023-01-16 11:18 131阅读 0赞

ZooKeeper的ACL权限控制， 可以控制节点的读写操作， 保证数据的安全性，ZookeeperACL权限设置分为3部分组成， 分别是：权限模式(Scheme ) 、授权对象I(ID) 、权限信息(Permission ) 。最终组成一条例如“scheme：id：permission"格式的ACL请求信息。

**一、ACL组成**

ZookeeperACL权限设置分为3部分组成， 分别是：权限模式(Scheme ) 、授权对象I(ID) 、权限信息(Permission ) 。最终组成一条例如“scheme：id：permission"格式的ACL请求信息。下面我们具体看一下这3部分代表什么意思：

（1）权限模式（scheme）：授权的策略。

（2）权限对象（id）：授权的对象。

（3）权限（permission）：授予的权限。

**1.1** **权限模式（Scheme）**

权限模式（scheme）：授权的策略

<table style="width:475.6pt;"> 
 <thead> 
 <tr> 
 <td style="border-color:#dddddd;"> 模式 </td> 
 <td style="border-color:#dddddd;"> 描述 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td style="border-color:#dddddd;"> world </td> 
 <td> 这种模式方法的授权对象只有一个anyone，代表登录到服务器的所有客户端都能对该节点执行某种权限 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> ip </td> 
 <td> 对连接的客户端使用IP地址认证方式进行认证 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> auth </td> 
 <td> 使用以添加认证的用户进行认证 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> digest </td> 
 <td> 使用 用户:密码方式验证 </td> 
 </tr> 
 </tbody> 
</table>

**1.2** **权限类型（permission）**

权限（permission）：授予的权限：

<table style="width:475pt;"> 
 <thead> 
 <tr> 
 <td style="border-color:#dddddd;"> 类型 </td> 
 <td style="border-color:#dddddd;"> ACL简写 </td> 
 <td style="border-color:#dddddd;"> 描述 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td style="border-color:#dddddd;"> read </td> 
 <td> r </td> 
 <td> 读取节点及显示子节点列表的权限 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> write </td> 
 <td> w </td> 
 <td> 设置节点数据的权限 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> create </td> 
 <td> c </td> 
 <td> 创建子节点的权限 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> delete </td> 
 <td> d </td> 
 <td> 删除子节点的权限 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> admin </td> 
 <td> a </td> 
 <td> 设置该节点ACL权限的权限 </td> 
 </tr> 
 </tbody> 
</table>

**1.3** **授权的命令**

授权的命令如下：

<table style="width:480.7pt;"> 
 <thead> 
 <tr> 
 <td style="border-color:#dddddd;"> 命令 </td> 
 <td style="border-color:#dddddd;"> 用法 </td> 
 <td style="border-color:#dddddd;"> 描述 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td style="border-color:#dddddd;"> getAcl </td> 
 <td> getAcl path </td> 
 <td> 读取节点的ACL </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> setAcl </td> 
 <td> setAcl path acl </td> 
 <td> 设置节点的ACL </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> create </td> 
 <td> create path data acl </td> 
 <td> 创建节点时设置acl </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dddddd;"> addAuth </td> 
 <td> addAuth scheme auth </td> 
 <td> 添加认证用户，类似于登录操作 </td> 
 </tr> 
 </tbody> 
</table>

**1.4 ZK ACL****的特性**

（1）ZooKeeper的权限控制是基于znode节点的，需要对每个节点设置权限。

（2）每个znode支持设置多种权限控制方案和多个权限。

（3）子节点不会继承父节点的权限。客户端无法访问某个节点，但是可以访问他的子节点。

**二、ACL实操**

接下来我们具体看看一些小栗子，以此来对于ACL有一个更深的理解。

**2.1** **生成授权ID**

生成授权ID（账号:密码）有两种方式，一种就是通过代码提供的生成类，一种就是通过Shell命令。

（1）代码生成ID：

public void generate() throws NoSuchAlgorithmException {    
    		String sId = DigestAuthenticationProvider.generateDigest("angel:123456");    
    		System.out.println(sId);
    	}

（2）在xshell中生成：

echo -n <user>:<password> | openssl dgst -binary -sha1 | openssl base64

示例：

echo -n angel:123456 | openssl dgst -binary -sha1 | openssl base64

返回的结果是：

5qPtfHTjrZrZ4DGSxBY8+G6AhiM=

**2.2****设置ACL的两种方式**

（1）节点创建的同时设置ACL：

create [-s] [-e] [-c]   path [data] [acl]

例子：

create /test1 'hello'  digest:angel:5qPtfHTjrZrZ4DGSxBY8+G6AhiM=:cdrwa

（2）用setAcl 设置：

setAcl /test1 digest:angel:5qPtfHTjrZrZ4DGSxBY8+G6AhiM=:cdrwa

**2.2** **授权访问**

添加授权信息后，不能直接访问，直接访问将报如下异常：

![20210425175319851.png][]

访问前需要添加授权信息：

$ addauth digest angel:123456

![20210425175334972.png][]

**2.3 auth****明文授权**

另一种授权模式： auth 明文授权。

使用之前需要先：

addauth  digest username:password

注册用户信息，后续可以直接用明文授权。举例说明：

addauth digest wuqian:123456
    create /test2 'hello2' auth:wuqian:123456:cdwra
    get /test2

![20210425175407641.png][]

**2.4 IP****授权模式**

方式1：setAcl /test3 ip:192.168.0.106:cdwra
    
    方式2：create /test data ip:192.168.0.106:cdwra

多个指定IP可以通过逗号分隔，如 setAcl /test ip:IP1:rw,ip:IP2:a

**2.5** **关闭ACL**

可以通过系统参数zookeeper.skipACL=yes进行配置，默认是no,可以配置为true, 则配置过的ACL将不再进行权限检测。

编辑配置启动文件 vim bin/zkServer.sh，然后添加启动参数-D：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpbnhpbmdsaWFuZw_size_16_color_FFFFFF_t_70][]

重启zkServer，然后在使用zkCli进行访问get /test1这时候就可以进行访问了。

**2.6 super****超级管理员模式**

这是一种特殊的Digest模式， 在Super模式下超级管理员用户可以对Zookeeper上的节点进行任何的操作，需要在启动了上通过JVM 系统参数开启：

格式如下：

-Dzookeeper.DigestAuthenticationProvider.superDigest=super:<base64encoded(SHA1(password))

具体操作：

（1）生成base64加密的SHA1加密的密码：

echo -n admin:123456 | openssl dgst -binary -sha1 | openssl base64

输出结果是：0uek/hZ/V9fgiM35b0Z2226acMQ=

（2）修改vim bin/zkServer.sh文件，添加JVM的系统参数：

-Dzookeeper.DigestAuthenticationProvider.superDigest=admin:0uek/hZ/V9fgiM35b0Z2226acMQ=

![2021042517552184.png][]

重启zkServer，然后zkCli重新进入：

![20210425175528657.png][]

[20210425175319851.png]: /images/20221022/86b06b8a47e2425792b4fff5fdec4b8b.png
[20210425175334972.png]: /images/20221022/a8bfe594d2b34c8fac05841972d3e55a.png
[20210425175407641.png]: /images/20221022/1415be9e95c84eeca8feb50ad61b5d6e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpbnhpbmdsaWFuZw_size_16_color_FFFFFF_t_70]: /images/20221022/fa441982262e4679ae899b359eb83b08.png
[2021042517552184.png]: /images/20221022/55a0365e986844c9ae73e0fe407edce5.png
[20210425175528657.png]: /images/20221022/c0a6dc4fa3904cafbadaa01126ccf694.png