ZooKeeperAcl
ZooKeeper ACL
为了避免存储在 Zookeeper 上的数据被其他程序或者人为误修改,Zookeeper 提供了 ACL(Access Control Lists) 进行权限控制。
ACL 权限可以针对节点设置相关读写等权限,保障数据安全性。
ZooKeeper ACL 提供了以下几种命令行:
- getAcl 命令:获取某个节点的 acl 权限信息。
- setAcl 命令:设置某个节点的 acl 权限信息。
- addauth 命令:输入认证授权信息,注册时输入明文密码,加密形式保存。
ACL 组成
Zookeeper 的 acl 通过 [scheme:id:permissions]
来构成权限列表。
- scheme:代表采用的某种权限机制,包括 world、auth、digest、ip、super 几种。
- world:默认模式,所有客户端都拥有指定的权限。world 下只有一个 id 选项,就是 anyone,通常组合写法为
world:anyone:[permissons]
; - auth:只有经过认证的用户才拥有指定的权限。通常组合写法为
auth:user:password:[permissons]
,使用这种模式时,你需要先进行登录,之后采用 auth 模式设置权限时,user
和password
都将使用登录的用户名和密码; - digest:只有经过认证的用户才拥有指定的权限。通常组合写法为
auth:user:BASE64(SHA1(password)):[permissons]
,这种形式下的密码必须通过 SHA1 和 BASE64 进行双重加密; - ip:限制只有特定 IP 的客户端才拥有指定的权限。通常组成写法为
ip:182.168.0.168:[permissions]
; - super:代表超级管理员,拥有所有的权限,需要修改 Zookeeper 启动脚本进行配置。
- world:默认模式,所有客户端都拥有指定的权限。world 下只有一个 id 选项,就是 anyone,通常组合写法为
- id:代表允许访问的用户。
- permissions:权限组合字符串,由 cdrwa 组成,其中每个字母代表支持不同权限。可选项如下:
- CREATE:允许创建子节点;
- READ:允许从节点获取数据并列出其子节点;
- WRITE:允许为节点设置数据;
- DELETE:允许删除子节点;
- ADMIN:允许为节点设置权限。
设置与查看权限
想要给某个节点设置权限 (ACL),有以下两个可选的命令:
1 | # 1.给已有节点赋予权限 |
查看指定节点的权限命令如下:
1 | getAcl path |
添加认证信息
可以使用如下所示的命令为当前 Session 添加用户认证信息,等价于登录操作。
1 | # 格式 |
权限设置示例
world 模式
world 是一种默认的模式,即创建时如果不指定权限,则默认的权限就是 world。
1 | [zk: localhost:2181(CONNECTED) 32] create /mytest abc |
auth 模式
1 | [zk: localhost:2181(CONNECTED) 36] addauth digest test:root # 登录 |
digest 模式
1 | [zk:44] create /spark "spark" digest:heibai:sCxtVJ1gPG8UW/jzFHR0A1ZKY5s=:cdrwa #指定用户名和加密后的密码 |
到这里你可以发现使用 auth
模式设置的权限和使用 digest
模式设置的权限,在最终结果上,得到的权限模式都是 digest
。某种程度上,你可以把 auth
模式理解成是 digest
模式的一种简便实现。因为在 digest
模式下,每次设置都需要书写用户名和加密后的密码,这是比较繁琐的,采用 auth
模式就可以避免这种麻烦。
ip 模式
限定只有特定的 ip 才能访问。
1 | [zk: localhost:2181(CONNECTED) 46] create /hive "hive" ip:192.168.0.108:cdrwa |
这里可以看到当前主机已经不能访问,想要能够再次访问,可以使用对应 IP 的客户端,或使用下面介绍的 super
模式。
super 模式
需要修改启动脚本 zkServer.sh
,并在指定位置添加超级管理员账户和密码信息:
1 | "-Dzookeeper.DigestAuthenticationProvider.superDigest=heibai:sCxtVJ1gPG8UW/jzFHR0A1ZKY5s=" |
修改完成后需要使用 zkServer.sh restart
重启服务,此时再次访问限制 IP 的节点:
1 | [zk: localhost:2181(CONNECTED) 0] get /hive #访问受限 |