ZooKeeper(权限配置)

发表回复

ZooKeeper(权限配置)


最近使用Zookeeper作为配置管理服务，因为配置数据有很高的安全要求，需要有权限控制，也就是需要登录才能看到Zookeeper上面的数据。


Zookeeper对权限的控制是节点级别的，而且不继承，即对父节点设置权限，其子节点不继承父节点的权限。

Zookeeper提供了几种认证方式
* world：有个单一的ID，anyone，表示任何人。
* auth：不使用任何ID，表示任何通过验证的用户（是通过ZK验证的用户？连接到此ZK服务器的用户？）。
* digest：使用 用户名：密码 字符串生成MD5哈希值作为ACL标识符ID。权限的验证通过直接发送用户名密码字符串的方式完成，
* ip：使用客户端主机ip地址作为一个ACL标识符，ACL表达式是以 addr/bits 这种格式表示的。ZK服务器会将addr的前bits位与客户端地址的前bits位来进行匹配验证权限。

digest方式比较适合我们的业务，因此采用此种方式对Zookeeper进行权限控制。

注意：Zookeeper中权限需要注意的一点是child 目录不会继承parent目录权限。


创建节点数据时：
Java代码  收藏代码
  1. List<ACL> acls = new ArrayList<ACL>(2);     
  2.   
  3. Id id1 = new Id("digest", DigestAuthenticationProvider.generateDigest("admin:admin123"));  
  4. ACL acl1 = new ACL(ZooDefs.Perms.ALL, id1);  
  5.   
  6. Id id2 = new Id("digest", DigestAuthenticationProvider.generateDigest("guest:guest123"));  
  7. ACL acl2 = new ACL(ZooDefs.Perms.READ, id2);  
  8.   
  9. acls.add(acl1);  
  10. acls.add(acl2);  
  11.   
  12. ZooKeeper zk = new ZooKeeper("127.0.0.1:2181", 10000, new DefaultWatcher());  
  13. zk.create("/test", new byte[0], acls, CreateMode.PERSISTENT);  


登录Zookeeper读取节点数据时：
Java代码  收藏代码
  1. ZooKeeper zk = new ZooKeeper("127.0.0.1:2181", 10000, new DefaultWatcher());  
  2. zk.addAuthInfo("digest", "guest:guest123".getBytes());  
  3. byte[] value = zk.getData("/test", null, new Stat());  

这样对Zookeeper上的节点数据设置多个用户，用于不同的权限操作。

注意：


其中对于希望使用的用户名、密码分别为user,passwd时： 
ACL的id中保存的字符串为user:base64encode(sha1(user:passwd)) 
其中编码为：单字符8位，字符集为ASCII 
在java中有DigestAuthenticationProvider.java模块插件可以进行此加密

例如上面中DigestAuthenticationProvider.generateDigest("admin:admin123")通过该方法对密码加密.


在zkCli.sh命令行中：  

命令行中创建节点时候密码需要使用加密后的密码。
1. 在java中使用提供的java加密工具对密码做加密：
    String authStr = DigestAuthenticationProvider.generateDigest("admin:admin")
2.创建节点并加权限：
   create /testadmin "testdata" digest:admin:x1nq8J5GOJVPY6zgzhtTtA9izLc=:rwcda
   上面命令是创建了一个 /testadmin 的节点用户密码为 admin/admin
   此命令格式为 create /[node] [data] digest:user:password:rwcda  , 后面的rwcda 必须写成一致。
3 根据权限登陆并获得数据
   登陆：./zkCli.sh -server localhost:4181
   权限验证：addauth digest admin:admin
   获得数据： get /testadmin