30 使用 cephx 进行身份验证 #

用户是指个人或系统参与者（例如应用）。通过创建用户，可以控制谁（或哪个参与者）能够访问您的 Ceph 存储集群、其存储池及存储池中的数据。

Ceph 使用多种类型的用户。进行用户管理时，将始终使用 client 类型。Ceph 通过句点 (.)分隔格式来标识用户，该格式由用户类型和用户 ID 组成。例如，TYPE.ID、client.admin 或 client.user1。区分用户类型的原因在于，Ceph Monitor、OSD 和元数据服务器也使用 cephx 协议，但它们并非客户端。区分用户类型有助于将客户端用户与其他用户区分开来，从而简化访问控制、用户监视和可追溯性。

有时，Ceph 的用户类型可能会令人混淆，因为根据命令行用法的不同，Ceph 命令行允许您指定具有类型的用户或不具有类型的用户。如果您指定 --user 或 --id，则可以省略类型。因此，可将 client.user1 简单地输入为 user1。如果您指定的是 --name 或 -n，则必须指定类型和名称，例如 client.user1。作为最佳实践，我们建议尽可能使用类型和名称。

注意

Ceph 存储集群用户与 Ceph 对象存储用户或 Ceph 文件系统用户均不同。Ceph 对象网关使用 Ceph 存储集群用户在网关守护进程与存储集群之间通讯，但网关有自己的用户管理功能来管理最终用户。Ceph 文件系统使用 POSIX 语义。与它关联的用户空间与 Ceph 存储集群用户不同。

Ceph 使用“用户权限”(caps) 术语来描述对已经过身份验证的用户授权，允许其运用 Monitor、OSD 和元数据服务器的功能。用户权限还可限制对存储池或存储池名称空间内的数据的访问。Ceph 管理用户可在创建或更新用户时设置用户的权限。

用户权限语法的格式如下：

daemon-type 'allow capability' [...]

下面是每个服务类型的用户权限列表：

以下各项描述了每项用户权限：

存储池是指用户在其中存储数据的逻辑分区。在 Ceph 部署中，常见的做法是为相似类型的数据创建一个存储池作为逻辑分区。例如，将 Ceph 部署为 OpenStack 的后端时，典型的部署方式是为卷、映像、备份和虚拟机以及用户（如 client.glance 或 client.cinder）创建相应的存储池。

要列出集群中的用户，请执行以下命令：

cephuser@adm > ceph auth list

Ceph 将列出您集群中的所有用户。例如，在包含两个节点的集群中，ceph auth list 输出类似下方所示：

installed auth entries:

osd.0
        key: AQCvCbtToC6MDhAATtuT70Sl+DymPCfDSsyV4w==
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.1
        key: AQC4CbtTCFJBChAAVq5spj0ff4eHZICxIOVZeA==
        caps: [mon] allow profile osd
        caps: [osd] allow *
client.admin
        key: AQBHCbtT6APDHhAA5W00cBchwkQjh3dkKsyPjw==
        caps: [mds] allow
        caps: [mon] allow *
        caps: [osd] allow *
client.bootstrap-mds
        key: AQBICbtTOK9uGBAAdbe5zcIGHZL3T/u2g6EBww==
        caps: [mon] allow profile bootstrap-mds
client.bootstrap-osd
        key: AQBHCbtT4GxqORAADE5u7RkpCN/oo4e5W0uBtw==
        caps: [mon] allow profile bootstrap-osd

注意：TYPE.ID 表示法

请注意，针对用户采用 TYPE.ID 表示法，例如，osd.0 指定 osd 类型的用户，其 ID 为 0。client.admin 是 client 类型的用户，其 ID 为 admin。另请注意，每个项包含一个 key: value 项，以及一个或多个 caps: 项。

可以结合使用 -o 文件名选项和 ceph auth list 将输出保存到某个文件。

要检索特定的用户、密钥和用户权限，请执行以下命令：

cephuser@adm > ceph auth get TYPE.ID

例如：

cephuser@adm > ceph auth get client.admin
exported keyring for client.admin
[client.admin]
	key = AQA19uZUqIwkHxAAFuUwvq0eJD4S173oFRxe0g==
	caps mds = "allow"
	caps mon = "allow *"
 caps osd = "allow *"

开发人员也可以执行以下命令：

cephuser@adm > ceph auth export TYPE.ID

auth export 命令与 auth get 相同，不过它还会列显内部身份验证 ID。

添加一个用户会创建用户名 (TYPE.ID)、秘密密钥，以及包含在命令中用于创建该用户的所有用户权限。

用户可使用其密钥向 Ceph 存储集群进行身份验证。用户的用户权限授予该用户在 Ceph Monitor (mon)、Ceph OSD (osd) 或 Ceph 元数据服务器 (mds) 上进行读取、写入或执行的能力。

可以使用以下几个命令来添加用户：

创建客户端用户时，可以创建不具有用户权限的用户。不具有用户权限的用户可以进行身份验证，但不能执行其他操作。此类客户端无法从 Monitor 检索集群索引。但是，如果您希望稍后再添加用户权限，可以使用 ceph auth caps 命令创建一个不具有用户权限的用户。

典型的用户至少对 Ceph Monitor 具有读取功能，并对 Ceph OSD 具有读取和写入功能。此外，用户的 OSD 权限通常限制为只能访问特定的存储池。

cephuser@adm > ceph auth add client.john mon 'allow r' osd \
 'allow rw pool=liverpool'
cephuser@adm > ceph auth get-or-create client.paul mon 'allow r' osd \
 'allow rw pool=liverpool'
cephuser@adm > ceph auth get-or-create client.george mon 'allow r' osd \
 'allow rw pool=liverpool' -o george.keyring
cephuser@adm > ceph auth get-or-create-key client.ringo mon 'allow r' osd \
 'allow rw pool=liverpool' -o ringo.key

重要

如果您为某个用户提供了对 OSD 的用户权限，但未限制只能访问特定存储池，则该用户将有权访问集群中的所有存储池。

使用 ceph auth caps 命令可以指定用户以及更改该用户的权限。设置新用户权限会重写当前的用户权限。要查看当前用户权限，请运行 ceph auth get USERTYPE.USERID。要添加用户权限，使用以下格式时还需要指定现有用户权限：

cephuser@adm > ceph auth caps USERTYPE.USERID daemon 'allow [r|w|x|*|...] \
     [pool=pool-name] [namespace=namespace-name]' [daemon 'allow [r|w|x|*|...] \
     [pool=pool-name] [namespace=namespace-name]']

例如：

cephuser@adm > ceph auth get client.john
cephuser@adm > ceph auth caps client.john mon 'allow r' osd 'allow rw pool=prague'
cephuser@adm > ceph auth caps client.paul mon 'allow rw' osd 'allow r pool=prague'
cephuser@adm > ceph auth caps client.brian-manager mon 'allow *' osd 'allow *'

要删除某个用户权限，可重设置该用户权限。如果希望用户无权访问以前设置的特定守护进程，请指定一个空字符串：

cephuser@adm > ceph auth caps client.ringo mon ' ' osd ' '

要删除用户，请使用 ceph auth del：

cephuser@adm > ceph auth del TYPE.ID

其中，TYPE 是 client、osd、mon 或 mds 之一，ID 是用户名或守护进程的 ID。

如果您创建了仅对不再存在的存储池具有许可权限的用户，则应该考虑也删除那些用户。

要将用户的身份验证密钥列显到标准输出，请执行以下命令：

cephuser@adm > ceph auth print-key TYPE.ID

其中，TYPE 是 client、osd、mon 或 mds 之一，ID 是用户名或守护进程的 ID。

需要在客户端软件（例如 libvirt）中填充某个用户的密钥时，列显用户的密钥非常有帮助，如以下示例所示：

root # mount -t ceph host:/ mount_point \
-o name=client.user,secret=`ceph auth print-key client.user`

要导入一个或多个用户，请使用 ceph auth import 并指定密钥环：

cephuser@adm > ceph auth import -i /etc/ceph/ceph.keyring

注意

Ceph 存储集群将添加新用户及其密钥和用户权限，并更新现有用户及其密钥和用户权限。

当您执行第 30.2 节 “主要管理”中的过程创建用户时，需要向 Ceph 客户端提供用户密钥，以使客户端能检索指定用户的密钥，并向 Ceph 存储集群进行身份验证。Ceph 客户端将访问钥环，以查找用户名并检索用户的密钥：

cephuser@adm > ceph-authtool --create-keyring /path/to/keyring

创建包含多个用户的密钥环时，我们建议使用集群名称（例如 cluster.keyring）作为密钥环文件名，并将其保存在 /etc/ceph 目录中，如此，您无需在 Ceph 配置文件的本地副本中指定文件名，密钥环配置默认设置就会选取正确的文件名。例如，可执行以下命令创建 ceph.keyring：

cephuser@adm > ceph-authtool -C /etc/ceph/ceph.keyring

创建包含单个用户的密钥环时，我们建议使用集群名称、用户类型和用户名，并将其保存在 /etc/ceph 目录中。例如，为 client.admin 用户创建 ceph.client.admin.keyring。

将某个用户添加到 Ceph 存储集群时（请参见第 30.2.2.3 节 “添加用户”），可以检索该用户、密钥和用户权限，并将该用户保存到密钥环。

如果您只想对每个密钥环使用一个用户，可以结合 -o 选项使用 ceph auth get 命令以密钥环文件格式保存输出。例如，要为 client.admin 用户创建密钥环，请执行以下命令：

cephuser@adm > ceph auth get client.admin -o /etc/ceph/ceph.client.admin.keyring

想要将用户导入到密钥环时，可以使用 ceph-authtool 指定目标密钥环和源密钥环：

cephuser@adm > ceph-authtool /etc/ceph/ceph.keyring \
  --import-keyring /etc/ceph/ceph.client.admin.keyring

重要

如果您的密钥环遭到入侵，请从 /etc/ceph 目录中删除您的密钥，并使用第 30.2.3.1 节 “创建密钥环”中的相同说明重新创建新密钥。

Ceph 提供 ceph auth add 命令用于直接在 Ceph 存储集群中创建用户。但是，您也可以直接在 Ceph 客户端密钥环中创建用户、密钥和用户权限。然后，可将用户导入到 Ceph 存储集群：

cephuser@adm > ceph-authtool -n client.ringo --cap osd 'allow rwx' \
  --cap mon 'allow rwx' /etc/ceph/ceph.keyring

您也可以在创建密钥环的同时将新用户添加到该密钥环：

cephuser@adm > ceph-authtool -C /etc/ceph/ceph.keyring -n client.ringo \
  --cap osd 'allow rwx' --cap mon 'allow rwx' --gen-key

在前面的方案中，新用户 client.ringo 仅存放在密钥环中。要将该新用户添加到 Ceph 存储集群，仍必须手动添加：

cephuser@adm > ceph auth add client.ringo -i /etc/ceph/ceph.keyring

要修改密钥环中某条用户记录的用户权限，请指定该密钥环和用户，然后指定用户权限：

cephuser@adm > ceph-authtool /etc/ceph/ceph.keyring -n client.ringo \
  --cap osd 'allow rwx' --cap mon 'allow rwx'

要在 Ceph 集群环境中更新已修改的用户，必须将密钥环中的更改导入到 Ceph 集群中的用户项：

cephuser@adm > ceph auth import -i /etc/ceph/ceph.keyring

请参见第 30.2.2.7 节 “导入用户”，了解有关根据密钥环更新 Ceph 存储集群用户的详细信息。