30 Authentification avec cephx #

Un utilisateur est un acteur individuel ou un acteur système, tel qu'une application. La création d'utilisateurs vous permet de contrôler qui (ou quoi) peut accéder à votre grappe de stockage Ceph, à ses réserves et aux données des réserves.

Ceph utilise des types d'utilisateurs. Pour les besoins de gestion des utilisateurs, le type est toujours client. Ceph identifie les utilisateurs dans le format point (.) délimité, constitué du type d'utilisateur et de l'ID utilisateur. Par exemple, TYPE.ID, client.admin ou client.user1. Le typage de l'utilisateur se justifie, car les moniteurs, les OSD et les serveurs de métadonnées Ceph emploient également le protocole cephx, mais ne sont pas clients. La distinction du type d'utilisateur permet de distinguer les utilisateurs clients des autres utilisateurs, en rationalisant le contrôle d'accès, la surveillance des utilisateurs et la traçabilité.

Parfois, le type d'utilisateur de Ceph peut sembler ambigu, car la ligne de commande Ceph vous permet de spécifier un utilisateur avec ou sans le type, en fonction de votre syntaxe de la ligne de commande. Si vous spécifiez --user ou --id, vous pouvez omettre le type. Ainsi, client.user1 peut être entré simplement en tant que user1. Si vous spécifiez --name ou ‑n, vous devez spécifier le type et le nom, tels que client.user1. Nous vous recommandons d'utiliser le type et le nom comme meilleure pratique à chaque fois que c'est possible.

Note

Un utilisateur de grappe de stockage Ceph n'est pas identique à un utilisateur de stockage d'objets Ceph ou à un utilisateur de système de fichiers Ceph. La passerelle Ceph Object Gateway s'appuie sur un utilisateur de grappe de stockage Ceph pour communiquer entre le daemon passerelle et la grappe de stockage, mais la passerelle dispose de sa propre fonctionnalité de gestion des utilisateurs pour les utilisateurs finaux. Le système de fichiers Ceph utilise la sémantique POSIX. L'espace utilisateur qui lui est associé est distinct d'un utilisateur de grappe de stockage Ceph.

Ceph utilise le terme « fonctions » (« capabilities » ou « caps » en anglais) pour décrire l'autorisation d'un utilisateur authentifié à exploiter les moniteurs, les OSD et les serveurs de métadonnées. Les fonctions peuvent aussi restreindre l'accès aux données au sein d'une réserve ou d'un espace de noms de réserve. Un administrateur Ceph définit les fonctions d'un utilisateur lors de la création ou de la mise à jour de celui-ci.

La syntaxe d'une fonction obéit au format suivant :

daemon-type 'allow capability' [...]

Voici une liste des fonctions pour chaque type de service :

Les entrées suivantes décrivent chaque fonction :

Une réserve est une partition logique dans laquelle les utilisateurs stockent des données. Dans les déploiements Ceph, il est courant de créer une réserve en tant que partition logique pour des types de données similaires. Par exemple, lors du déploiement de Ceph en tant que serveur dorsal pour OpenStack, un déploiement type comporterait des réserves pour les volumes, les images, les sauvegardes et les machines virtuelles, ainsi que des utilisateurs, tels que client.glance ou client.cinder.

Pour dresser la liste des utilisateurs de votre grappe, exécutez la commande suivante :

cephuser@adm > ceph auth list

Ceph dresse la liste de tous les utilisateurs de votre grappe. Par exemple, dans une grappe de deux noeuds, la commande ceph auth list produit une liste similaire à celle-ci :

installed auth entries:

osd.0
        key: AQCvCbtToC6MDhAATtuT70Sl+DymPCfDSsyV4w==
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.1
        key: AQC4CbtTCFJBChAAVq5spj0ff4eHZICxIOVZeA==
        caps: [mon] allow profile osd
        caps: [osd] allow *
client.admin
        key: AQBHCbtT6APDHhAA5W00cBchwkQjh3dkKsyPjw==
        caps: [mds] allow
        caps: [mon] allow *
        caps: [osd] allow *
client.bootstrap-mds
        key: AQBICbtTOK9uGBAAdbe5zcIGHZL3T/u2g6EBww==
        caps: [mon] allow profile bootstrap-mds
client.bootstrap-osd
        key: AQBHCbtT4GxqORAADE5u7RkpCN/oo4e5W0uBtw==
        caps: [mon] allow profile bootstrap-osd

Note : notation TYPE.ID

La notation TYPE.ID s'applique aux utilisateurs ; par exemple, osd.0 définit un utilisateur du type osd et avec l'ID 0. client.admin est un utilisateur du type client et avec l'ID admin. Notez également que chaque entrée possède une entrée key: valeur et une ou plusieurs entrées caps:.

L'option -o nom_fichier avec ceph auth list vous permet d'enregistrer la sortie dans un fichier.

Pour récupérer un utilisateur, une clé et des fonctions spécifiques, exécutez la commande suivante :

cephuser@adm > ceph auth get TYPE.ID

Par exemple :

cephuser@adm > ceph auth get client.admin
exported keyring for client.admin
[client.admin]
	key = AQA19uZUqIwkHxAAFuUwvq0eJD4S173oFRxe0g==
	caps mds = "allow"
	caps mon = "allow *"
 caps osd = "allow *"

Les développeurs peuvent également exécuter la commande suivante :

cephuser@adm > ceph auth export TYPE.ID

La commande auth export ressemble beaucoup à la commande auth get, mais permet également d'afficher l'ID d'authentification interne.

L'ajout d'un utilisateur crée un nom d'utilisateur (TYPE.ID), une clé secrète et toutes les fonctionnalités incluses dans la commande destinée à créer l'utilisateur.

La clé d'un utilisateur permet à l'utilisateur de s'authentifier auprès de la grappe de stockage Ceph. Les fonctions de l'utilisateur autorisent celui-ci à lire, écrire ou exécuter sur les moniteurs Ceph (mon), les OSD Ceph (osd) ou les serveurs de métadonnées Ceph (mds).

Quelques commandes permettent d'ajouter un utilisateur :

Lors de la création d'utilisateurs clients, vous pouvez définir un utilisateur sans fonction. Un utilisateur sans fonction peut s'authentifier, mais rien de plus. Un tel client ne peut pas extraire une assignation de grappe depuis le moniteur. Cependant, vous pouvez créer un utilisateur sans fonctions si vous souhaitez différer l'ajout de fonctions à une date ultérieure en utilisant la commande ceph auth caps.

Un utilisateur normal possède au moins des autorisations de lecture sur le moniteur Ceph et des autorisations de lecture et écriture sur les OSD Ceph. De plus, les autorisations OSD d'un utilisateur sont souvent limitées à l'accès à une réserve particulière.

cephuser@adm > ceph auth add client.john mon 'allow r' osd \
 'allow rw pool=liverpool'
cephuser@adm > ceph auth get-or-create client.paul mon 'allow r' osd \
 'allow rw pool=liverpool'
cephuser@adm > ceph auth get-or-create client.george mon 'allow r' osd \
 'allow rw pool=liverpool' -o george.keyring
cephuser@adm > ceph auth get-or-create-key client.ringo mon 'allow r' osd \
 'allow rw pool=liverpool' -o ringo.key

Important

Si vous fournissez à un utilisateur des autorisations d'accès OSD sans limiter l'accès à des réserves en particulier, l'utilisateur aura accès à toutes les réserves de la grappe.

La commande ceph auth caps vous permet d'indiquer un utilisateur et de modifier ses fonctions. La définition de nouvelles fonctionnalités écrase les fonctions en cours. Pour afficher les fonctions actuelles, exécutez ceph auth get TYPE D'UTILISATEUR.USERID. Pour ajouter des fonctions, vous devez également indiquer les fonctions existants lors de l'utilisation du formulaire suivant :

cephuser@adm > ceph auth caps USERTYPE.USERID daemon 'allow [r|w|x|*|...] \
     [pool=pool-name] [namespace=namespace-name]' [daemon 'allow [r|w|x|*|...] \
     [pool=pool-name] [namespace=namespace-name]']

Par exemple :

cephuser@adm > ceph auth get client.john
cephuser@adm > ceph auth caps client.john mon 'allow r' osd 'allow rw pool=prague'
cephuser@adm > ceph auth caps client.paul mon 'allow rw' osd 'allow r pool=prague'
cephuser@adm > ceph auth caps client.brian-manager mon 'allow *' osd 'allow *'

Pour supprimer une fonction, vous avez la possibilité de la réinitialiser. Si vous souhaitez que l'utilisateur n'ait pas accès à un daemon particulier précédemment défini, indiquez une chaîne vide :

cephuser@adm > ceph auth caps client.ringo mon ' ' osd ' '

Pour supprimer un utilisateur, exécutez auth ceph del :

cephuser@adm > ceph auth del TYPE.ID

où TYPE correspond à client, osd, LUN ou mds, et ID correspond au nom d'utilisateur ou à l'ID du daemon.

Si vous avez créé des utilisateurs avec des autorisations strictement pour une réserve qui n'existe plus, vous devez également envisager de supprimer ces utilisateurs.

Pour imprimer la clé d'authentification de l'utilisateur vers la sortie standard, exécutez la commande suivante :

cephuser@adm > ceph auth print-key TYPE.ID

où TYPE correspond à client, osd, LUN ou mds, et ID correspond au nom d'utilisateur ou à l'ID du daemon.

L'impression de la clé d'un utilisateur est utile lorsque vous devez renseigner le logiciel client avec la clé d'un utilisateur (telle que libvirt), comme dans l'exemple suivant :

root # mount -t ceph host:/ mount_point \
-o name=client.user,secret=`ceph auth print-key client.user`

Pour importer un ou plusieurs utilisateurs, exécutez ceph auth import et indiquez un trousseau de clés :

cephuser@adm > ceph auth import -i /etc/ceph/ceph.keyring

Note

La grappe de stockage Ceph ajoute de nouveaux utilisateurs, leurs clés et leurs fonctions, puis les met à jour.

Les procédures de la Section 30.2, « Les zones de gestion principales » qui permettent de créer des utilisateurs vous obligent à fournir des clés d'utilisateur aux clients Ceph afin qu'ils puissent récupérer la clé de l'utilisateur indiqué et s'authentifier avec la grappe de stockage Ceph. Les clients Ceph accèdent aux trousseaux de clés pour rechercher un nom d'utilisateur et récupérer la clé correspondante :

cephuser@adm > ceph-authtool --create-keyring /path/to/keyring

Lorsque vous créez un trousseau de clés avec plusieurs utilisateurs, nous vous recommandons de reprendre le nom de la grappe (par exemple, grappe.keyring) pour le nom de fichier du trousseau de clés et l'enregistrer dans le répertoire /etc/ceph de sorte que le paramètre par défaut de la configuration du trousseau de clés récupère le nom du fichier sans que vous ayez à l'indiquer dans la copie locale de votre fichier de configuration Ceph. Par exemple, créez ceph.keyring en exécutant la commande suivante :

cephuser@adm > ceph-authtool -C /etc/ceph/ceph.keyring

Lorsque vous créez un trousseau de clés avec un seul utilisateur, nous vous recommandons de sélectionner le nom de la grappe, le type d'utilisateur et le nom d'utilisateur afin de l'enregistrer dans l'annuaire /etc/ceph. Par exemple, ceph.client.admin.keyring pour l'utilisateur client.admin.

Lorsque vous ajoutez un utilisateur à la grappe de stockage Ceph (voir Section 30.2.2.3, « Ajout d'utilisateurs »), vous pouvez récupérer l'utilisateur, la clé et les fonctions, et enregistrer l'utilisateur dans un trousseau de clés.

Si vous souhaitez associer un utilisateur par trousseau de clés, la commande ceph auth get suivie de l'option -o enregistrera la sortie dans le format du fichier de trousseau de clés. Par exemple, pour créer un trousseau de clés pour l'utilisateur client.admin, exécutez la commande suivante :

cephuser@adm > ceph auth get client.admin -o /etc/ceph/ceph.client.admin.keyring

Lorsque vous souhaitez importer des utilisateurs vers un trousseau de clés, vous pouvez utiliser ceph-authtool afin d'indiquer le trousseau de destination et le trousseau source :

cephuser@adm > ceph-authtool /etc/ceph/ceph.keyring \
  --import-keyring /etc/ceph/ceph.client.admin.keyring

Important

Si votre trousseau de clés est compromis, supprimez votre clé du répertoire /etc/ceph et recréez une nouvelle clé en suivant les instructions de la Section 30.2.3.1, « Création d'un trousseau de clés ».

La commande ceph auth add de Ceph permet de créer un utilisateur directement dans la grappe de stockage Ceph. Cependant, vous pouvez également créer un utilisateur, des clés et des fonctionnalités directement dans un trousseau de clés du client Ceph. Vous pouvez ensuite importer l'utilisateur vers la grappe de stockage Ceph :

cephuser@adm > ceph-authtool -n client.ringo --cap osd 'allow rwx' \
  --cap mon 'allow rwx' /etc/ceph/ceph.keyring

Vous pouvez également créer un trousseau de clés et lui ajouter un nouvel utilisateur simultanément :

cephuser@adm > ceph-authtool -C /etc/ceph/ceph.keyring -n client.ringo \
  --cap osd 'allow rwx' --cap mon 'allow rwx' --gen-key

Dans les scénarios précédents, le nouvel utilisateur client.ringo réside uniquement dans le trousseau de clés. Pour ajouter le nouvel utilisateur à la grappe de stockage Ceph, vous devez encore ajouter celui-ci à la grappe :

cephuser@adm > ceph auth add client.ringo -i /etc/ceph/ceph.keyring

Pour modifier les fonctionnalités d'un enregistrement utilisateur dans un trousseau de clés, indiquez le trousseau de clés et l'utilisateur suivis des fonctionnalités :

cephuser@adm > ceph-authtool /etc/ceph/ceph.keyring -n client.ringo \
  --cap osd 'allow rwx' --cap mon 'allow rwx'

Pour mettre à jour l'utilisateur modifié dans l'environnement de grappe Ceph, vous devez importer les modifications du trousseau de clés dans l'entrée utilisateur de la grappe Ceph :

cephuser@adm > ceph auth import -i /etc/ceph/ceph.keyring

Reportez-vous à la Section 30.2.2.7, « Importation d'utilisateurs » pour plus d'informations sur la mise à jour d'un utilisateur de grappe de stockage Ceph à partir d'un trousseau de clés.