30 Autenticación con cephx #

Un usuario es una persona o un actor del sistema, como una aplicación. Crear usuarios permite controlar quién (o qué) puede acceder a su clúster de almacenamiento de Ceph, sus repositorios y los datos de los repositorios.

Ceph usa tipos de usuarios. Para la gestión de los usuarios, el tipo siempre será client. Ceph identifica a los usuarios con un formato delimitado por punto (.), formado por el tipo de usuario y el ID de usuario. Por ejemplo, TYPE.ID, client.admin o client.user1. Este formato se usa porque los monitores de Ceph, los OSD y los servidores de metadatos también utilizan el protocolo cephx, pero no son clientes. Distinguir el tipo de usuario ayuda a diferenciar entre los usuarios cliente y otros usuarios, además de optimizar el control de acceso, la supervisión del usuario y el seguimiento.

A veces, el tipo de usuario de Ceph puede parecer confuso, ya que la línea de comandos de Ceph permite especificar un usuario con o sin el tipo, dependiendo del uso que se haga de la línea de comandos. Si especifica ‑‑user o ‑‑id, puede omitir el tipo. Por lo tanto, client.user1 se puede introducir simplemente como user1. Si especifica ‑‑name o -no, debe especificar el tipo y el nombre, como client.user1. Se recomienda usar el tipo y el nombre como práctica recomendada siempre que sea posible.

Nota

Un usuario de clúster de almacenamiento de Ceph no es lo mismo que un usuario de almacenamiento de objetos de Ceph ni un usuario de sistema de archivos de Ceph. Ceph Object Gateway utiliza un usuario de clúster de almacenamiento de Ceph para la comunicación entre el daemon de pasarela y el clúster de almacenamiento, pero la pasarela tiene sus propias funciones de gestión de usuarios para los usuarios finales. El sistema de archivos de Ceph utiliza la semántica de POSIX. El espacio de usuarios asociado a ese sistema no es igual que un usuario de clúster de almacenamiento de Ceph.

Ceph usa el término permisos (caps, o "capabilities" en inglés) para describir la autorización de un usuario autenticado para que pueda trabajar con los monitores, los OSD y los servidores de metadatos. Los permisos también pueden restringir el acceso a los datos de un repositorio o a un espacio de nombres de repositorio. Un usuario administrativo de Ceph define los permisos del usuario cuando lo crea o lo actualiza.

La sintaxis de los permisos sigue este formato:

daemon-type 'allow capability' [...]

A continuación encontrará una lista de permisos para cada tipo de servicio:

Las siguientes entradas describen cada permiso:

Un repositorio es una partición lógica donde los usuarios almacenan los datos. En distribuciones de Ceph, es común crear un repositorio como una partición lógica para tipos similares de datos. Por ejemplo, al distribuir Ceph como procesador final para OpenStack, una distribución típica tendría repositorios para los volúmenes, las imágenes, las copias de seguridad, las máquinas virtuales y los usuarios como client.glance o client.cinder.

Para obtener una lista de los usuarios del clúster, ejecute lo siguiente:

cephuser@adm > ceph auth list

Ceph mostrará a todos los usuarios del clúster. Por ejemplo, en un clúster de dos nodos, ceph auth list da como resultado algo parecido a esto:

installed auth entries:

osd.0
        key: AQCvCbtToC6MDhAATtuT70Sl+DymPCfDSsyV4w==
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.1
        key: AQC4CbtTCFJBChAAVq5spj0ff4eHZICxIOVZeA==
        caps: [mon] allow profile osd
        caps: [osd] allow *
client.admin
        key: AQBHCbtT6APDHhAA5W00cBchwkQjh3dkKsyPjw==
        caps: [mds] allow
        caps: [mon] allow *
        caps: [osd] allow *
client.bootstrap-mds
        key: AQBICbtTOK9uGBAAdbe5zcIGHZL3T/u2g6EBww==
        caps: [mon] allow profile bootstrap-mds
client.bootstrap-osd
        key: AQBHCbtT4GxqORAADE5u7RkpCN/oo4e5W0uBtw==
        caps: [mon] allow profile bootstrap-osd

Nota: notación TYPE.ID

Tenga en cuenta que se aplica la notación TYPE.ID para los usuarios, de forma que osd.0 especifica un usuario de tipo osd cuyo ID es 0. client.admin es un usuario de tipo client cuyo ID es admin. Tenga en cuenta también que cada entrada tiene una entrada key: valor y una o más entradas caps:.

Puede utilizar la opción -o nombre de archivo con ceph auth list para guardar el resultado en un archivo.

Para recuperar información de un usuario, una clave y permisos concretos, ejecute lo siguiente:

cephuser@adm > ceph auth get TYPE.ID

Por ejemplo:

cephuser@adm > ceph auth get client.admin
exported keyring for client.admin
[client.admin]
	key = AQA19uZUqIwkHxAAFuUwvq0eJD4S173oFRxe0g==
	caps mds = "allow"
	caps mon = "allow *"
 caps osd = "allow *"

Los desarrolladores también pueden ejecutar lo siguiente:

cephuser@adm > ceph auth export TYPE.ID

El comando auth export es idéntico al comando auth get, pero también imprime el ID de autenticación interno.

Al añadir un usuario, se crea un nombre de usuario (TYPE.ID), una clave de secreto y cualquier permiso incluido en el comando que se utiliza para crear el usuario.

La clave del usuario permite a este autenticarse con el clúster de almacenamiento de Ceph. Los permisos del usuario autorizan a este a leer, escribir o ejecutar en los monitores de Ceph (mon), los OSD de Ceph (osd) o los servidores de metadatos de Ceph (mds).

Hay varios comandos disponibles para añadir un usuario:

Cuando se crean usuarios de cliente, puede crear un usuario sin permisos. Un usuario sin permisos puede autenticarse, pero nada más. Un cliente de este tipo no puede recuperar el mapa del clúster del monitor. Sin embargo, puede crear un usuario sin permisos si desea añadir los permisos más tarde con el comando ceph auth caps.

Un usuario típico tiene al menos el permiso de lectura en el monitor de Ceph y de lectura y escritura en los OSD de Ceph. Además, los permisos de OSD de un usuario a menudo están restringidos al acceso a un repositorio concreto.

cephuser@adm > ceph auth add client.john mon 'allow r' osd \
 'allow rw pool=liverpool'
cephuser@adm > ceph auth get-or-create client.paul mon 'allow r' osd \
 'allow rw pool=liverpool'
cephuser@adm > ceph auth get-or-create client.george mon 'allow r' osd \
 'allow rw pool=liverpool' -o george.keyring
cephuser@adm > ceph auth get-or-create-key client.ringo mon 'allow r' osd \
 'allow rw pool=liverpool' -o ringo.key

Importante

Si proporciona a un usuario permisos para los OSD, pero no restringe el acceso a repositorios concretos, el usuario tendrá acceso a todos los repositorios del clúster.

El comando ceph auth caps permite especificar un usuario y cambiar sus permisos. Al definir nuevos permisos, se sobrescribirán los existentes. Para ver los permisos actuales, ejecute ceph auth get USERTYPE.USERID. Para añadir permisos, también debe especificar los permisos existentes con el formato siguiente:

cephuser@adm > ceph auth caps USERTYPE.USERID daemon 'allow [r|w|x|*|...] \
     [pool=pool-name] [namespace=namespace-name]' [daemon 'allow [r|w|x|*|...] \
     [pool=pool-name] [namespace=namespace-name]']

Por ejemplo:

cephuser@adm > ceph auth get client.john
cephuser@adm > ceph auth caps client.john mon 'allow r' osd 'allow rw pool=prague'
cephuser@adm > ceph auth caps client.paul mon 'allow rw' osd 'allow r pool=prague'
cephuser@adm > ceph auth caps client.brian-manager mon 'allow *' osd 'allow *'

Para eliminar un permiso, puede restablecerlo. Si desea que el usuario no tenga acceso a un daemon concreto que se ha definido previamente, especifique una cadena vacía:

cephuser@adm > ceph auth caps client.ringo mon ' ' osd ' '

Para suprimir un usuario, utilice ceph auth del:

cephuser@adm > ceph auth del TYPE.ID

donde TYPE es client, osd, mon o mds, e ID es el nombre del usuario o el ID del daemon.

Si ha creado usuarios con permisos estrictamente para un repositorio que ya no existe, plantéese también la posibilidad de suprimir dichos usuarios.

Para imprimir la clave de autenticación de un usuario con una salida estándar, ejecute lo siguiente:

cephuser@adm > ceph auth print-key TYPE.ID

donde TYPE es client, osd, mon o mds, e ID es el nombre del usuario o el ID del daemon.

Imprimir la clave de un usuario resulta útil si necesita completar el software de cliente con la clave de un usuario (por ejemplo, libvirt), tal y como se muestra en el siguiente ejemplo:

# mount -t ceph host:/ mount_point \
-o name=client.user,secret=`ceph auth print-key client.user`

Para importar uno o varios usuarios, utilice ceph auth import y especifique un anillo de claves:

cephuser@adm > ceph auth import -i /etc/ceph/ceph.keyring

Nota

El clúster de almacenamiento de Ceph añadirá los nuevos usuarios, sus claves y sus permisos, además de actualizar los usuarios existentes, sus claves y sus permisos.

Cuando se utilizan los procedimientos de la Sección 30.2, “Áreas clave de gestión” para crear usuarios, debe proporcionar las claves de usuario a los clientes de Ceph para que puedan recuperar la clave para el usuario especificado y autenticarse con el clúster de almacenamiento de Ceph. Los clientes de Ceph acceden a los anillos de claves para buscar un nombre de usuario y recuperar la clave del usuario:

cephuser@adm > ceph-authtool --create-keyring /path/to/keyring

Cuando se crea un anillo de claves con varios usuarios, es recomendable utilizar el nombre del clúster (por ejemplo cluster.keyring) para el nombre de archivo del anillo de claves y guardarlo en el directorio /etc/ceph. De esta forma, la configuración por defecto del anillo de claves tomará el nombre de archivo sin que sea necesario especificarlo en la copia local del archivo de configuración de Ceph. Por ejemplo, para crear ceph.keyring, ejecute lo siguiente:

cephuser@adm > ceph-authtool -C /etc/ceph/ceph.keyring

Cuando se crea un anillo de claves con un solo usuario, se recomienda usar el nombre del clúster, el tipo de usuario y el nombre de usuario y guardarlo en el directorio /etc/ceph. Por ejemplo, ceph.client.admin.keyring para el usuario client.admin.

Cuando se añade un usuario al clúster de almacenamiento de Ceph (consulte la Sección 30.2.2.3, “Adición de usuarios”), puede recuperar el usuario, la clave y los permisos, y guardar el usuario en un anillo de claves.

Si solo desea utilizar un usuario por anillo de claves, el comando ceph auth get con la opción -o guardará el resultado en el formato de archivo del anillo de claves. Por ejemplo, para crear un anillo de claves para el usuario client.admin, ejecute lo siguiente:

cephuser@adm > ceph auth get client.admin -o /etc/ceph/ceph.client.admin.keyring

Si desea importar usuarios en un anillo de claves, puede utilizar ceph-authtool para especificar el anillo de claves de destino y el anillo de claves de origen:

cephuser@adm > ceph-authtool /etc/ceph/ceph.keyring \
  --import-keyring /etc/ceph/ceph.client.admin.keyring

Importante

Si el anillo de claves está en peligro, suprima la clave del directorio /etc/ceph y vuelva a crear una clave nueva siguiendo las mismas instrucciones de la Sección 30.2.3.1, “Creación de un anillo de claves”.

Ceph proporciona el comando ceph auth add para crear un usuario directamente en el clúster de almacenamiento de Ceph. Sin embargo, también puede crear un usuario, las claves y los permisos directamente en un anillo de claves del cliente de Ceph. A continuación, puede importar el usuario en el clúster de almacenamiento de Ceph:

cephuser@adm > ceph-authtool -n client.ringo --cap osd 'allow rwx' \
  --cap mon 'allow rwx' /etc/ceph/ceph.keyring

También puede crear un anillo de claves y añadirle simultáneamente un usuario nuevo:

cephuser@adm > ceph-authtool -C /etc/ceph/ceph.keyring -n client.ringo \
  --cap osd 'allow rwx' --cap mon 'allow rwx' --gen-key

En las situaciones anteriores, el nuevo usuario client.ringo está solo en el anillo de claves. Para añadir el nuevo usuario al clúster de almacenamiento de Ceph, sigue siendo necesario añadir el nuevo usuario al clúster:

cephuser@adm > ceph auth add client.ringo -i /etc/ceph/ceph.keyring

Para modificar los permisos de un registro de usuario en un anillo de claves, especifique el anillo de claves y el usuario seguidos de los permisos:

cephuser@adm > ceph-authtool /etc/ceph/ceph.keyring -n client.ringo \
  --cap osd 'allow rwx' --cap mon 'allow rwx'

Para actualizar el usuario modificado en el entorno de clúster de Ceph, debe importar los cambios desde el anillo de claves en la entrada de usuario del clúster de Ceph:

cephuser@adm > ceph auth import -i /etc/ceph/ceph.keyring

Consulte la Sección 30.2.2.7, “Importación de usuarios” para obtener información sobre cómo actualizar el clúster de almacenamiento de Ceph desde un anillo de claves.