30 使用 cephx 進行驗證 #

使用者是指個人或系統參與者 (例如應用程式)。透過建立使用者，您可以控制誰 (或哪個參與者) 能夠存取您的 Ceph 儲存叢集、其池及池中的資料。

Ceph 使用多種類型的使用者。進行使用者管理時，將一律使用 client 類型。Ceph 透過句點 (.)分隔格式來識別使用者，該格式由使用者類型和使用者 ID 組成。例如，TYPE.ID、client.admin 或 client.user1。區分使用者類型的原因在於，Ceph 監控程式、OSD 和中繼資料伺服器也使用 cephx 通訊協定，但它們並非用戶端。區分使用者類型有助於將用戶端使用者與其他使用者區分開來，從而簡化存取控制、使用者監控和追溯性。

有時，Ceph 的使用者類型可能會令人混淆，因為依據指令行用法的不同，Ceph 指令行允許您指定具有類型的使用者或不具有類型的使用者。如果您指定 --user 或 --id，則可以省略類型。因此，可將 client.user1 簡單地輸入為 user1。如果您指定的是 --name 或 -n，則必須指定類型和名稱，例如 client.user1。做為最佳實務，我們建議儘可能使用類型和名稱。

注意

Ceph 儲存叢集使用者與 Ceph 物件儲存使用者或 Ceph 檔案系統使用者均不同。Ceph 物件閘道使用 Ceph 儲存叢集使用者在閘道精靈與儲存叢集之間通訊，但閘道有自己的使用者管理功能來管理最終使用者。Ceph 檔案系統使用 POSIX 語意。與其關聯的使用者空間和 Ceph 儲存叢集使用者不同。

Ceph 使用「能力」(caps) 術語來描述對已驗證的使用者進行授權，允許其運用監控程式、OSD 和中繼資料伺服器的功能。功能還可限制對池或池名稱空間內的資料的存取。Ceph 管理使用者可在建立或更新使用者時設定使用者的能力。

能力語法的格式如下：

daemon-type 'allow capability' [...]

下面是每個服務類型的能力清單：

以下各項描述了每個能力：

池是指使用者在其中儲存資料的邏輯分割區。在 Ceph 部署中，常見的做法是為相似類型的資料建立一個池做為邏輯分割區。例如，將 Ceph 部署為 OpenStack 的後端時，一般的部署方式是為磁碟區、影像、備份和虛擬機器以及使用者 (如 client.glance 或 client.cinder) 建立相應的池。

若要列出叢集中的使用者，請執行以下指令：

cephuser@adm > ceph auth list

Ceph 將列出您叢集中的所有使用者。例如，在包含兩個節點的叢集中，ceph auth list 輸出類似下方所示：

installed auth entries:

osd.0
        key: AQCvCbtToC6MDhAATtuT70Sl+DymPCfDSsyV4w==
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.1
        key: AQC4CbtTCFJBChAAVq5spj0ff4eHZICxIOVZeA==
        caps: [mon] allow profile osd
        caps: [osd] allow *
client.admin
        key: AQBHCbtT6APDHhAA5W00cBchwkQjh3dkKsyPjw==
        caps: [mds] allow
        caps: [mon] allow *
        caps: [osd] allow *
client.bootstrap-mds
        key: AQBICbtTOK9uGBAAdbe5zcIGHZL3T/u2g6EBww==
        caps: [mon] allow profile bootstrap-mds
client.bootstrap-osd
        key: AQBHCbtT4GxqORAADE5u7RkpCN/oo4e5W0uBtw==
        caps: [mon] allow profile bootstrap-osd

注意：TYPE.ID 表示法

請注意，針對使用者採用 TYPE.ID 表示法，例如，osd.0 指定 osd 類型的使用者，其 ID 為 0。client.admin 是 client 類型的使用者，其 ID 為 admin。另請注意，每個項目都包含一個 key: value 項目，以及一或多個 caps: 項目。

您可以將 -o filename 選項和 ceph auth list 結合使用，以將輸出儲存到某個檔案。

若要擷取特定的使用者、金鑰和能力，請執行以下指令：

cephuser@adm > ceph auth get TYPE.ID

例如：

cephuser@adm > ceph auth get client.admin
exported keyring for client.admin
[client.admin]
	key = AQA19uZUqIwkHxAAFuUwvq0eJD4S173oFRxe0g==
	caps mds = "allow"
	caps mon = "allow *"
 caps osd = "allow *"

開發人員也可以執行以下指令：

cephuser@adm > ceph auth export TYPE.ID

auth export 指令與 auth get 相同，不過它還會列印內部驗證 ID。

新增使用者會建立使用者名稱 (TYPE.ID)、機密金鑰，以及包含在指令中用於建立該使用者的所有能力。

使用者可使用其金鑰向 Ceph 儲存叢集進行驗證。使用者的能力授予該使用者在 Ceph 監控程式 (mon)、Ceph OSD (osd) 或 Ceph 中繼資料伺服器 (mds) 上進行讀取、寫入或執行的能力。

可以使用以下幾個指令來新增使用者：

建立用戶端使用者時，您可以建立不具有能力的使用者。不具有能力的使用者可以進行驗證，但不能執行其他操作。此類用戶端無法從監控程式擷取叢集地圖。但是，如果您希望稍後再新增能力，可以使用 ceph auth caps 指令建立一個不具有能力的使用者。

一般的使用者至少對 Ceph 監控程式具有讀取能力，並對 Ceph OSD 具有讀取和寫入能力。此外，使用者的 OSD 權限通常限制為只能存取特定的池。

cephuser@adm > ceph auth add client.john mon 'allow r' osd \
 'allow rw pool=liverpool'
cephuser@adm > ceph auth get-or-create client.paul mon 'allow r' osd \
 'allow rw pool=liverpool'
cephuser@adm > ceph auth get-or-create client.george mon 'allow r' osd \
 'allow rw pool=liverpool' -o george.keyring
cephuser@adm > ceph auth get-or-create-key client.ringo mon 'allow r' osd \
 'allow rw pool=liverpool' -o ringo.key

重要

如果您為某個使用者提供了對 OSD 的能力，但未限制只能存取特定池，則該使用者將有權存取叢集中的所有池。

使用 ceph auth caps 指令可以指定使用者以及變更該使用者的能力。設定新能力會覆寫目前的能力。若要檢視目前的能力，請執行 ceph auth get USERTYPE。USERID。若要新增能力，使用以下格式時還需要指定現有能力：

cephuser@adm > ceph auth caps USERTYPE.USERID daemon 'allow [r|w|x|*|...] \
     [pool=pool-name] [namespace=namespace-name]' [daemon 'allow [r|w|x|*|...] \
     [pool=pool-name] [namespace=namespace-name]']

例如：

cephuser@adm > ceph auth get client.john
cephuser@adm > ceph auth caps client.john mon 'allow r' osd 'allow rw pool=prague'
cephuser@adm > ceph auth caps client.paul mon 'allow rw' osd 'allow r pool=prague'
cephuser@adm > ceph auth caps client.brian-manager mon 'allow *' osd 'allow *'

若要移除某個能力，可重設該能力。如果希望使用者無權存取以前設定的特定精靈，請指定一個空白字串：

cephuser@adm > ceph auth caps client.ringo mon ' ' osd ' '

若要刪除使用者，請使用 ceph auth del：

cephuser@adm > ceph auth del TYPE.ID

其中，TYPE 是 client、osd、mon 或 mds 之一，ID 是使用者名稱或精靈的 ID。

如果您建立了僅對不再存在的池具有權限的使用者，則應該考慮也刪除那些使用者。

若要將使用者的驗證金鑰列印到標準輸出，請執行以下指令：

cephuser@adm > ceph auth print-key TYPE.ID

其中，TYPE 是 client、osd、mon 或 mds 之一，ID 是使用者名稱或精靈的 ID。

當您需要在用戶端軟體 (例如 libvirt) 中填入某個使用者的金鑰時，列印使用者的金鑰非常實用，如以下範例所示：

root # mount -t ceph host:/ mount_point \
-o name=client.user,secret=`ceph auth print-key client.user`

若要輸入一或多個使用者，請使用 ceph auth import 並指定金鑰圈：

cephuser@adm > ceph auth import -i /etc/ceph/ceph.keyring

注意

Ceph 儲存叢集將新增新使用者及其金鑰和能力，並更新現有使用者及其金鑰和能力。

當您依照第 30.2 節 「主要管理」中的程序建立使用者時，需要向 Ceph 用戶端提供使用者金鑰，以使用戶端能擷取指定使用者的金鑰，並向 Ceph 儲存叢集驗證身分。Ceph 用戶端將存取金鑰圈，以查閱使用者名稱並擷取使用者的金鑰：

cephuser@adm > ceph-authtool --create-keyring /path/to/keyring

建立包含多個使用者的金鑰圈時，我們建議使用叢集名稱 (例如 cluster.keyring) 做為金鑰圈檔案名稱，並將其儲存在 /etc/ceph 目錄中，如此，您無需在 Ceph 組態檔案的本地副本中指定檔案名稱，金鑰圈組態預設設定就會選取正確的檔案名稱。例如，可執行以下指令來建立 ceph.keyring：

cephuser@adm > ceph-authtool -C /etc/ceph/ceph.keyring

建立包含單個使用者的金鑰圈時，我們建議使用叢集名稱、使用者類型和使用者名稱，並將其儲存在 /etc/ceph 目錄中。例如，為 client.admin 使用者建立 ceph.client.admin.keyring。

將某個使用者新增至 Ceph 儲存叢集時 (請參閱第 30.2.2.3 節 「新增使用者」)，您可以擷取該使用者、金鑰和能力，並將該使用者儲存到金鑰圈。

如果您只想對每個金鑰圈使用一個使用者，可以將 -o 選項與 ceph auth get 指令結合使用，以金鑰圈檔案格式儲存輸出。例如，若要為 client.admin 使用者建立金鑰圈，請執行以下指令：

cephuser@adm > ceph auth get client.admin -o /etc/ceph/ceph.client.admin.keyring

若要將使用者輸入到金鑰圈，可以使用 ceph-authtool 來指定目的地金鑰圈和來源金鑰圈：

cephuser@adm > ceph-authtool /etc/ceph/ceph.keyring \
  --import-keyring /etc/ceph/ceph.client.admin.keyring

重要

如果您的金鑰圈遭入侵，請從 /etc/ceph 目錄中刪除您的金鑰，並使用第 30.2.3.1 節 「建立金鑰圈」中的相同說明重新建立新金鑰。

Ceph 提供 ceph auth add 指令用於直接在 Ceph 儲存叢集中建立使用者。不過，您也可以直接在 Ceph 用戶端金鑰圈中建立使用者、金鑰和能力。然後，可將使用者輸入到 Ceph 儲存叢集：

cephuser@adm > ceph-authtool -n client.ringo --cap osd 'allow rwx' \
  --cap mon 'allow rwx' /etc/ceph/ceph.keyring

您也可以在建立金鑰圈的同時將新使用者新增至該金鑰圈：

cephuser@adm > ceph-authtool -C /etc/ceph/ceph.keyring -n client.ringo \
  --cap osd 'allow rwx' --cap mon 'allow rwx' --gen-key

在前面的方案中，新使用者 client.ringo 僅存放在金鑰圈中。若要將該新使用者新增至 Ceph 儲存叢集，您仍必須手動新增：

cephuser@adm > ceph auth add client.ringo -i /etc/ceph/ceph.keyring

若要修改金鑰圈中某條使用者記錄的能力，請指定該金鑰圈和使用者，然後指定能力：

cephuser@adm > ceph-authtool /etc/ceph/ceph.keyring -n client.ringo \
  --cap osd 'allow rwx' --cap mon 'allow rwx'

若要在 Ceph 叢集環境中更新已修改的使用者，必須將金鑰圈中的變更輸入到 Ceph 叢集中的使用者項目：

cephuser@adm > ceph auth import -i /etc/ceph/ceph.keyring

請參閱第 30.2.2.7 節 「輸入使用者」，瞭解有關根據金鑰圈更新 Ceph 儲存叢集使用者的詳細資料。