主頁 >  其他 > 分布式存盤系統之Ceph集群CephX認證和授權

分布式存盤系統之Ceph集群CephX認證和授權

2022-10-08 07:35:56 其他

　　前文我們了解了Ceph集群存盤池操作相關話題，回顧請參考https://www.cnblogs.com/qiuhom-1874/p/16743611.html；今天我們來聊一聊在ceph上認證和授權的相關話題；

　　我們知道ceph作為一個分布式存盤系統，用戶想要在其上面存盤資料，首先得通過認證以后，才能正常使用ceph；那么對于ceph來講，它是怎么認證用戶的呢？除了認證，我們知道不是所有用戶都能在ceph上創建存盤池，洗掉存盤池等；這也意味著每個用戶都有一定的權限，在自己的權限范圍內操作，ceph才算得上是一個安全的存盤系統；那么ceph的認證和授權到底是怎么做的呢？

　　CephX認證機制

　　Ceph使用cephx協議對客戶端進行身份認證，其程序大致是這樣的；每個mon都可以對客戶端進行身份驗證并分發密鑰；這意味著認證靠mon節點完成，不會存在單點和性能瓶頸；mon會回傳用于身份驗證的資料結構，其中包含獲取Ceph服務時用到的session key；所謂session key就是客戶端用來向mon請求所需服務的憑證；session key是通過客戶端的密鑰進行加密傳輸；當mon收到客戶端認證請求后，首先生成session key，然后用客戶端的密鑰加密session key，然后發送給客戶端，客戶端用自己的密鑰將其解密，拿到session key；客戶端有了session key以后，它就可以用這個session key向mon請求服務，mon收到客戶端的請求（攜帶session key），此時mon會向客戶端提供一個ticket（入場卷，票據）然后用session key加密后發送給客戶端；隨后客戶端用session key解密，拿著這個憑證到對應osd完成認證；

　　以上程序，我們需要注意，客戶端的密鑰是通過mon節點在創建用戶帳號時就會生成，所以mon節點有對應客戶端的密鑰，所以通過客戶端的密鑰加密，客戶端可以用自己的密鑰解密；其次mon節點生成的session key 是有記錄的，所以對于不同客戶端來說，都有不同的記錄；并且該session key是有時間限制的；過期即便是對應客戶端，也沒法正常使用；所以客戶端拿著對應session key向mon請求服務，對應mon都是認可的，所以mon會發放ticket；最后我們要知道，MON和OSD都是共享客戶端的密鑰和session key，以及mon發放的ticket，所以客戶端拿著mon發放的ticket，對應osd是認可的；這也意味著不管是那個mon節點發放的ticket，對應所有mon節點和osd都是知道的；簡單講就是集群組件之間共享同一個secret；

　　CephX身份驗證MDS和OSD

　　提示：簡要程序是客戶端請求創建用戶，mon創建用戶并回傳與共享密鑰給客戶端；客戶端向mon發起認證，認證成功，mon會回傳一個session key；在規定時效范圍內，客戶端拿著session key向mon請求ticket，mon生成ticket并用對應session加密，客戶端收到對應mon回傳的資料用session key解密，拿到ticket；隨后客戶端拿著對應當ticket去mds或者osd進行資料存取操作，對應組件會被認證通過，因為mon和mds、osd之間都是共享secret；

　　這里需要注意，CephX身份驗正功能僅限制Ceph的各組件之間，它不能擴展到其它非Ceph組件；其次它并不解決資料傳輸加密的問題；什么意思呢？我們知道ceph的客戶端介面有rbd、cephfs和radosgw；對于ceph來講，它并不關心什么樣的客戶端通過rbd、cephfs、radosgw介面量訪問資料；它只關心rbd、cephfs、radosgw這些客戶端介面程式能夠正常認證通過；簡單講就是資料最后“一公里”它不負責，至于用rbd、cephfs、radosgw這些介面的客戶端是誰，怎么傳輸資料它管不著；

　　認證與授權相關術語

　　無論Ceph客戶端是何型別，Ceph都會在存盤池中將所有資料存盤為物件；Ceph用戶需要擁有存盤池訪問權限才能讀取和寫入資料；Ceph用戶必須擁有執行權限才能使用Ceph的管理命令；

　　用戶：所謂用戶是指個人或系統參與者（例如應用）；通過創建用戶，可以控制誰（或哪個參與者）能夠訪問Ceph存盤集群、以及可訪問的存盤池及存盤池中的資料；Ceph支持多種型別的用戶，但可管理的用戶都屬于Client型別；區分用戶型別的原因在于，MON、OSD和MDS等系統組件也使用cephx協議，但它們非人為客戶端；通過點號來分隔用戶型別和用戶名，格式為TYPE.ID，例如client.admin等

　　授權和使能：Ceph基于“使能(caps)”來描述用戶可針對MON、OSD或MDS使用的權限范圍或級別；通用語法格式：daemon-type 'allow caps' [...]；MON使能，包括r、w、x和allow profile cap，例如：mon 'allow rwx'，以及mon 'allow profile osd'等；OSD使能包括r、w、x、class-read、class-write和profile osd；此外，OSD 使能還允許進行存盤池和名稱空間設定；MDS使能只需要allow，或留空；

　　使能的意義

　　allow：需先于守護行程的訪問設定指定，僅對MDS表示rw之意，其它的表示字面意義；

　　r：讀取權限，訪問MON以檢索CRUSH時依賴此使能；

　　w：物件寫入權限；
　　x：呼叫類方法（讀取和寫入）的能力，以及在MON上執行auth操作的能力；
　　class-read：x能力的子集，授予用戶呼叫類讀取方法的能力；
　　class-write：x的子集，授予用戶呼叫類寫入方法的能力；
　　*：授予用戶對特定守護行程/存盤池的讀取、寫入和執行權限，以及執行管理命令的能力；

　　profile osd：授予用戶以某個OSD身份連接到其他OSD或監視器的權限，授予OSD權限，使OSD能夠處理復制檢測信號流量和狀態報告；

　　profile mds： 授予用戶以某個MDS身份連接到其他MDS或監視器的權限；

　　profile bootstrap-osd： 授予用戶引導OSD的權限，授權給部署工具，使其在引導OSD時有權添加密鑰；

　　profile bootstrap-mds：授予用戶引導元資料服務器的權限，授權給部署工具，使其在引導元資料服務器時有權添加密鑰；

　　Ceph用戶管理

　　Ceph集群管理員能夠直接在Ceph集群中創建、更新和洗掉用戶；創建用戶時，可能需要將密鑰分發到客戶端，以便將密鑰添加到密鑰環；所謂密鑰環，我們就可以理解為存放密鑰的一個檔案，該檔案可以同時存放一個或多個用戶的密鑰資訊；有點類似我們生活中的鑰匙環，我們可以在上面掛一個或多個鑰匙；

　　列出用戶命令：ceph auth list

[root@ceph-admin ~]# ceph auth list
installed auth entries:

mds.ceph-mon02
        key: AQDT1y9jaMUZDRAA79b3XSXqBbXUlNsT0RLeiw==
        caps: [mds] allow
        caps: [mon] allow profile mds
        caps: [osd] allow rwx
osd.0
        key: AQD3+i1j5IJQCxAAOjQdvckg8TskXu7c4MbPAA==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.1
        key: AQAo7C1j+dEDEBAAAA47bD+nZQZuV4kJjnqACA==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.2
        key: AQA77C1j5ot+DhAAJ+Y1KwgI2zsxRHmTUkfing==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.3
        key: AQBM7C1jdIuHEhAAYBA9gzC4J+kZUxkMzhjq4g==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.4
        key: AQBq7C1jZrNZKhAAK+TvnPgK0jAWIwz0PYFT/g==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.5
        key: AQB57C1jVcczERAAxJ3iqvKS/2kfE4HlFQHIWQ==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.6
        key: AQCP7C1jB80KGhAA9iXzAg+9ANWjgPb2ZdWdhw==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.7
        key: AQCe7C1jbx4rNxAANOB3PPLxRXi/st1UYiTWqQ==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.8
        key: AQCz7C1jUGzQIhAAj6aTVM6rNsTO3Lp08rePzg==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.9
        key: AQDA7C1jwXTrEBAATszxwOKepUHzZ5WKwIMu7w==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
client.admin
        key: AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps: [mds] allow *
        caps: [mgr] allow *
        caps: [mon] allow *
        caps: [osd] allow *
client.bootstrap-mds
        key: AQB94C1jRPwjJhAAZsfgne6whasyCmSCgefocw==
        caps: [mon] allow profile bootstrap-mds
client.bootstrap-mgr
        key: AQB94C1jvQQkJhAA9y2LmEvBTG0Mjew8k0ecdw==
        caps: [mon] allow profile bootstrap-mgr
client.bootstrap-osd
        key: AQB94C1jDg4kJhAAhQPCebi6JfF9HZo4q39WGA==
        caps: [mon] allow profile bootstrap-osd
client.bootstrap-rbd
        key: AQB94C1jkxYkJhAAEUjId8hdDCA67PX+SQXAYw==
        caps: [mon] allow profile bootstrap-rbd
client.bootstrap-rgw
        key: AQB94C1jPx4kJhAAXIwArGEkQ76tQG1NnJ0Wmw==
        caps: [mon] allow profile bootstrap-rgw
client.rgw.ceph-mon01
        key: AQD0zS9jI7e4BRAA7fvC/02D6j2YoGHZwveQCQ==
        caps: [mon] allow rw
        caps: [osd] allow rwx
mgr.ceph-mgr01
        key: AQDi5S1jgpYLHRAAWHJeiwwD86AVg0YzUOPCmQ==
        caps: [mds] allow *
        caps: [mon] allow profile mgr
        caps: [osd] allow *
mgr.ceph-mgr02
        key: AQDk5S1jY6tkBhAAXPIK4N+bia3W6IoqlJRehw==
        caps: [mds] allow *
        caps: [mon] allow profile mgr
        caps: [osd] allow *
mgr.ceph-mon01
        key: AQDD9C1ja0vhOBAAnUkp5RcLBkZl8qfb4qXXLw==
        caps: [mds] allow *
        caps: [mon] allow profile mgr
        caps: [osd] allow *
[root@ceph-admin ~]#

　　提示：該命令是列出集群上所有用戶資訊，即非人為用戶和普通用戶；也可以是ceph auth ls命令來列出所有用戶資訊；

　　檢索特定用戶命令格式：ceph auth get TYPE.ID或者ceph auth export TYPE.ID

[root@ceph-admin ~]# ceph auth get client.admin
exported keyring for client.admin
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[root@ceph-admin ~]# ceph auth export client.admin
export auth(auid = 18446744073709551615 key=AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA== with 4 caps)
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[root@ceph-admin ~]#

　　提示：如果我們需要將上述資訊匯出到檔案，可以使用-o來指定檔案，或者輸出重定向到方式；

[root@ceph-admin ~]# ceph auth get client.admin -o client.admin.keyring
exported keyring for client.admin
[root@ceph-admin ~]# ls
ceph-deploy-ceph.log  client.admin.keyring
[root@ceph-admin ~]# cat client.admin.keyring
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[root@ceph-admin ~]# ceph auth export client.admin > client.admin.cluster.keyring
export auth(auid = 18446744073709551615 key=AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA== with 4 caps)
[root@ceph-admin ~]# ls
ceph-deploy-ceph.log  client.admin.cluster.keyring  client.admin.keyring
[root@ceph-admin ~]# cat client.admin.cluster.keyring
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[root@ceph-admin ~]#

　　添加用戶命令格式：auth add <entity> {<caps> [<caps>...]}

[root@ceph-admin ~]# ceph auth add client.testuser mon 'allow r' osd 'allow rw'
added key for client.testuser
[root@ceph-admin ~]# ceph auth get client.testuser
exported keyring for client.testuser
[client.testuser]
        key = AQAoaThjCJLsBhAA8gwl/UQkjjSF+DwB6oB/wg==
        caps mon = "allow r"
        caps osd = "allow rw"
[root@ceph-admin ~]#

　　提示：ceph add 是添加用戶的規范方法，它能夠創建用戶、生成密鑰并添加指定的caps；這里需要注意我指定的用戶是有type.id組成，一般普通用戶都是client型別，后面的ID就是用戶名稱；

　　ceph auth get-or-create：簡便方法，創建用戶并回傳密鑰檔案格式的密鑰資訊，或者在用戶存在時回傳用戶名及密鑰檔案格式的密鑰資訊；

[root@ceph-admin ~]# ceph auth get-or-create client.testuser mon 'allow *' osd 'allow rw pool=rbdpool'
Error EINVAL: key for client.testuser exists but cap mon does not match
[root@ceph-admin ~]# ceph auth get-or-create client.testuser mon 'allow r' osd 'allow rw'       [client.testuser]
        key = AQAoaThjCJLsBhAA8gwl/UQkjjSF+DwB6oB/wg==
[root@ceph-admin ~]# ceph auth get-or-create client.tom mon 'allow *' osd 'allow rw pool=rbdpool'
[client.tom]
        key = AQBcajhj8INfChAAKKFCESxmbHFJqAwiRE4ufg==
[root@ceph-admin ~]#  ceph auth get client.tom
exported keyring for client.tom
[client.tom]
        key = AQBcajhj8INfChAAKKFCESxmbHFJqAwiRE4ufg==
        caps mon = "allow *"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：使用ceph auth get-or-create命令添加用戶，如果用戶存在，但授權不匹配，它會提示我們用戶存在，但是權限不匹配；如果用戶存在，權限資訊也都匹配，則回傳對應用戶的key；如果用戶不存在，則創建對應用并回傳用戶的key；

　　ceph auth get-or-create-key：簡便方法，創建用戶并回傳密鑰資訊，或者在用戶存在時回傳密鑰資訊；

[root@ceph-admin ~]# ceph auth get-or-create-key client.testuser mon 'allow r' osd 'allow *' 
Error EINVAL: key for client.testuser exists but cap osd does not match
[root@ceph-admin ~]# ceph auth get-or-create-key client.testuser mon 'allow r' osd 'allow rw'
AQAoaThjCJLsBhAA8gwl/UQkjjSF+DwB6oB/wg==
[root@ceph-admin ~]# ceph auth get-or-create-key client.jerry mon 'allow r' osd 'allow rw'        
AQDDazhjLbMTIhAADsXyBkPS079vU7dqGs2E+A==
[root@ceph-admin ~]# ceph auth get client.jerry
exported keyring for client.jerry
[client.jerry]
        key = AQDDazhjLbMTIhAADsXyBkPS079vU7dqGs2E+A==
        caps mon = "allow r"
        caps osd = "allow rw"
[root@ceph-admin ~]#

　　提示：該命令和上面的get-or-create類似，都是用戶存在，如果權限匹配則回傳對應用戶的key，如果不匹配則告訴我們用戶存在，但權限不匹配；如果不存在則創建，并回傳對應用戶的key；不同的是回傳key的格式不同；get-or-create是回傳keyring檔案中的格式；而get-or-create-key則回傳key的值，沒有key = ；

　　注意：典型的用戶至少對 Ceph monitor 具有讀取功能，并對 Ceph OSD 具有讀取和寫入功能；另外，用戶的 OSD 權限通常應該限制為只能訪問特定的存盤池，否則，他將具有訪問集群中所有存盤池的權限；

　　列出用戶的密鑰格式 命令：ceph auth print-key TYPE.ID

[root@ceph-admin ~]# ceph auth print-key client.jerry
AQDDazhjLbMTIhAADsXyBkPS079vU7dqGs2E+A==[root@ceph-admin ~]#

　　匯入用戶命令：ceph auth import

[root@ceph-admin ~]# ll
total 16
-rw-r--r-- 1 root root 1568 Sep 25 11:40 ceph-deploy-ceph.log
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.cluster.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.keyring
-rw-r--r-- 1 root root  164 Oct  2 00:43 client.test.keyring
[root@ceph-admin ~]# cat client.test.keyring 
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]# ceph auth get client.test
Error ENOENT: failed to find client.test in keyring
[root@ceph-admin ~]# ceph auth import -i client.test.keyring
imported keyring
[root@ceph-admin ~]# ceph auth get client.test              
exported keyring for client.test
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：從keyring檔案匯入用戶需要用到-i選項來指定對應匯入的keyring檔案；

　　修改用戶caps命令：ceph auth caps TYPE.ID daemon 'allow [r|w|x|*|...] [pool=pool-name] [namespace=namespace-name]' ...

[root@ceph-admin ~]# ceph auth get client.test
exported keyring for client.test
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]# ceph auth caps client.test mds 'allow rw' mgr 'allow r' mon 'allow rw'   
updated caps for client.test
[root@ceph-admin ~]# ceph auth get client.test
exported keyring for client.test
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow rw"
        caps mgr = "allow r"
        caps mon = "allow rw"
[root@ceph-admin ~]# ceph auth caps client.test mds 'allow rw' mgr 'allow r' mon 'allow rw' osd 'allow rw pool=rbdpool'
updated caps for client.test
[root@ceph-admin ~]# ceph auth get client.test
exported keyring for client.test
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow rw"
        caps mgr = "allow r"
        caps mon = "allow rw"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：該命令會覆寫用戶現有權限因此建立事先使用ceph auth get TYPE.ID命令查看用戶的caps；若是為添加caps，則需要先指定現有的caps；若為洗掉某些權限，則對應權限不指定即可；

　　洗掉用戶命令：ceph auth del TYPE.ID

[root@ceph-admin ~]# ceph auth del client.test
updated
[root@ceph-admin ~]# ceph auth del client.tom
updated
[root@ceph-admin ~]# ceph auth del client.jerry
updated
[root@ceph-admin ~]# ceph auth del client.testuser
updated
[root@ceph-admin ~]# ceph auth get client.testuser
Error ENOENT: failed to find client.testuser in keyring
[root@ceph-admin ~]#

　　Keyring

　　客戶端訪問Ceph集群時，客戶端會于本地查找密鑰環， 默認情況下，Ceph會使用以下四個密鑰環名稱預設密鑰環；

　　? /etc/ceph/cluster-name.user-name.keyring：保存單個用戶的keyring
　　? /etc/ceph/cluster.keyring：保存多個用戶的keyring
　　? /etc/ceph/keyring
　　? /etc/ceph/keyring.bin

　　cluster-name是為集群名稱，user-name是為用戶標識（TYPE.ID）， client.admin用戶的在名為ceph的集群上的密鑰環檔案名為ceph.client.admin.keyring；

　　管理keyring

　　創建keyring命令：ceph-authtool --create-keyring /path/to/kerying

[root@ceph-admin ~]# ceph-authtool --create-keyring ./client.abc.keyring
creating ./client.abc.keyring
[root@ceph-admin ~]# cat ./client.abc.keyring
[root@ceph-admin ~]#

　　提示：創建keyring檔案，里面沒有任何內容，我們需要用ceph auth add 添加用戶，然后通過ceph auth get或export命令將對應用戶資訊匯入到對應keyring檔案即可；這里說一下keyring檔案的命名規則，keyring檔案一般應該保存于/etc/ceph目錄中，以便客戶端能自動查找；創建包含多個用戶的keyring檔案時，應該使用cluster-name.keyring作為檔案名；創建僅包含單個用戶的kerying檔案時，應該使用cluster-name.user-name.keyring作為檔案名；這個是規范的keyring命名方式；

　　將用戶的keyring合并至一個統一的keyring檔案中命令：ceph-authtool /etc/ceph/cluster-name.keyring --import-key /etc/ceph/cluster-name.user-name.keyring

[root@ceph-admin ~]# ll
total 16
-rw-r--r-- 1 root root 1568 Sep 25 11:40 ceph-deploy-ceph.log
-rw------- 1 root root    0 Oct  2 00:57 client.abc.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.cluster.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.keyring
-rw-r--r-- 1 root root  164 Oct  2 00:43 client.test.keyring
[root@ceph-admin ~]# cat client.test.keyring                                    
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]# ceph-authtool ./client.test.keyring --import-keyring ./client.admin.keyring  
importing contents of ./client.admin.keyring into ./client.test.keyring
[root@ceph-admin ~]# cat client.test.keyring   
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　使用ceph-authtool命令管理用戶

　　ceph-authtool命令可直接創建用戶、授予caps并創建keyring

　　命令使用幫助

[root@ceph-admin ~]# ceph-authtool -h
usage: ceph-authtool keyringfile [OPTIONS]...
where the options are:
  -l, --list                    will list all keys and capabilities present in
                                the keyring
  -p, --print-key               will print an encoded key for the specified
                                entityname. This is suitable for the
                                'mount -o secret=..' argument
  -C, --create-keyring          will create a new keyring, overwriting any
                                existing keyringfile
  -g, --gen-key                 will generate a new secret key for the
                                specified entityname
  --gen-print-key               will generate a new secret key without set it
                                to the keyringfile, prints the secret to stdout
  --import-keyring FILE         will import the content of a given keyring
                                into the keyringfile
  -n NAME, --name NAME          specify entityname to operate on
  -u AUID, --set-uid AUID       sets the auid (authenticated user id) for the
                                specified entityname
  -a BASE64, --add-key BASE64   will add an encoded key to the keyring
  --cap SUBSYSTEM CAPABILITY    will set the capability for given subsystem
  --caps CAPSFILE               will set all of capabilities associated with a
                                given key, for all subsystems
  --mode MODE                   will set the desired file mode to the keyring
                                e.g: '0644', defaults to '0600'
[root@ceph-admin ~]#

　　提示：-l或--list表示列出所有用戶資訊；-p表示列印對應用戶的key資訊，-C表示keyring檔案，-g表示給指定用戶生成key；-n用于指定用戶名稱；--cap 用于指定權限資訊；--mode用于指定keyring檔案的權限資訊，默認是0600，即只有root或對應宿主擁有讀寫權限；

[root@ceph-admin ~]# ceph-authtool -C client.usera.keyring  -n client.usera --gen-key --cap mon 'allow r' --cap osd 'allow rw pool=rbdpool'
creating client.usera.keyring
[root@ceph-admin ~]# ll
total 20
-rw-r--r-- 1 root root 1568 Sep 25 11:40 ceph-deploy-ceph.log
-rw------- 1 root root    0 Oct  2 00:57 client.abc.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.cluster.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.keyring
-rw-r--r-- 1 root root  315 Oct  2 01:03 client.test.keyring
-rw------- 1 root root  121 Oct  2 01:25 client.usera.keyring
[root@ceph-admin ~]# ceph auth get client.usera
Error ENOENT: failed to find client.usera in keyring
[root@ceph-admin ~]# cat client.usera.keyring 
[client.usera]
        key = AQAIeDhjTnmLGhAAWgL3GqtJsPwmOD6CPbJO8Q==
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：使用這種方式添加用戶，對應資訊之存在于keyring檔案中，并沒有存在ceph集群，我們還需要將對應keyring檔案中的用戶資訊匯入到集群上；

[root@ceph-admin ~]# ceph auth add client.usera -i client.usera.keyring 
added key for client.usera
[root@ceph-admin ~]# ceph auth get client.usera
exported keyring for client.usera
[client.usera]
        key = AQAIeDhjTnmLGhAAWgL3GqtJsPwmOD6CPbJO8Q==
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：上述命令等同ceph auth import；

作者：Linux-1874 出處：https://www.cnblogs.com/qiuhom-1874/ 本文著作權歸作者和博客園共有，歡迎轉載，但未經作者同意必須保留此段宣告，且在文章頁面明顯位置給出原文連接，否則保留追究法律責任的權利.

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/510991.html

標籤：其他

上一篇：CentOS7環境原始碼安裝freeswitch1.10.7

下一篇：某道毒瘤題的做題記錄

標籤雲
其他(157675) Python(38076) JavaScript(25376) Java(17977) C(15215) 區塊鏈(8255) C＃(7972) AI(7469) 爪哇(7425) MySQL(7132) html(6777) 基礎類(6313) sql(6102) 熊猫(6058) PHP(5869) 数组(5741) R(5409) Linux(5327) 反应(5209) 腳本語言(PerlPython)(5129) 非技術區(4971) Android(4554) 数据框(4311) css(4259) 节点.js(4032) C語言(3288) json(3245) 列表(3129) 扑(3119) C++語言(3117) 安卓(2998) 打字稿(2995) VBA(2789) Java相關(2746) 疑難問題(2699) 细绳(2522) 單片機工控(2479) iOS(2429) ASP.NET(2402) MongoDB(2323) 麻木的(2285) 正则表达式(2254) 字典(2211) 循环(2198) 迅速(2185) 擅长(2169) 镖(2155) 功能(1967) .NET技术(1958) Web開發(1951) python-3.x(1918) HtmlCss(1915) 弹簧靴(1913) C++(1909) xml(1889) PostgreSQL(1872) .NETCore(1853) 谷歌表格(1846) Unity3D(1843) for循环(1842)

熱門瀏覽
  • 網閘典型架構簡述

    網閘架構一般分為兩種：三主機的三系統架構網閘和雙主機的2+1架構網閘。 三主機架構分別為內端機、外端機和仲裁機。三機無論從軟體和硬體上均各自獨立。首先從硬體上來看，三機都用各自獨立的主板、記憶體及存盤設備。從軟體上來看，三機有各自獨立的作業系統。這樣能達到完全的三機獨立。對于“2+1”系統，“2”分為 ......

    uj5u.com 2020-09-10 02:00:44 more
  • 如何從xshell上傳檔案到centos linux虛擬機里

    如何從xshell上傳檔案到centos linux虛擬機里及：虛擬機CentOs下執行 yum -y install lrzsz命令，出現錯誤：鏡像無法找到軟體包 前言 一、安裝lrzsz步驟 二、上傳檔案 三、遇到的問題及解決方案 總結 前言 提示：其實很簡單，往虛擬機上安裝一個上傳檔案的工具 ......

    uj5u.com 2020-09-10 02:00:47 more
  • 一、SQLMAP入門

    一、SQLMAP入門 1、判斷是否存在注入 sqlmap.py -u 網址/id=1 id=1不可缺少。當注入點后面的引數大于兩個時。需要加雙引號， sqlmap.py -u "網址/id=1&uid=1" 2、判斷文本中的請求是否存在注入 從文本中加載http請求，SQLMAP可以從一個文本檔案中 ......

    uj5u.com 2020-09-10 02:00:50 more
  • Metasploit 簡單使用教程

    metasploit 簡單使用教程 浩先生， 2020-08-28 16:18:25 分類專欄： kail 網路安全 linux 文章標簽： linux資訊安全 編輯 著作權 metasploit 使用教程 前言 一、Metasploit是什么？ 二、準備作業 三、具體步驟 前言 Msfconsole ......

    uj5u.com 2020-09-10 02:00:53 more
  • 游戲逆向之驅動層與用戶層通訊

    驅動層代碼： #pragma once #include <ntifs.h> #define add_code CTL_CODE(FILE_DEVICE_UNKNOWN,0x800,METHOD_BUFFERED,FILE_ANY_ACCESS) /* 更多游戲逆向視頻www.yxfzedu.com ......

    uj5u.com 2020-09-10 02:00:56 more
  • 北斗電力時鐘（北斗授時服務器）讓網路資料更精準

    北斗電力時鐘（北斗授時服務器）讓網路資料更精準 北斗電力時鐘（北斗授時服務器）讓網路資料更精準 京準電子科技官微——ahjzsz 近幾年，資訊技術的得了快速發展，互聯網在逐漸普及，其在人們生活和生產中都得到了廣泛應用，并且取得了不錯的應用效果。計算機網路資訊在電力系統中的應用，一方面使電力系統的運行 ......

    uj5u.com 2020-09-10 02:01:03 more
  • 【CTF】CTFHub 技能樹 彩蛋 writeup

    ?碎碎念 CTFHub：https://www.ctfhub.com/ 筆者入門CTF時時剛開始刷的是bugku的舊平臺，后來才有了CTFHub。 感覺不論是網頁UI設計，還是題目質量，賽事跟蹤，工具軟體都做得很不錯。 而且因為獨到的金幣制度的確讓人有一種想去刷題賺金幣的感覺。 個人還是非常喜歡這個 ......

    uj5u.com 2020-09-10 02:04:05 more
  • 02windows基礎操作

    我學到了一下幾點 Windows系統目錄結構與滲透的作用 常見Windows的服務詳解 Windows埠詳解 常用的Windows注冊表詳解 hacker DOS命令詳解（net user / type /md /rd/ dir /cd /net use copy、批處理 等） 利用dos命令制作 ......

    uj5u.com 2020-09-10 02:04:18 more
  • 03.Linux基礎操作

    我學到了以下幾點 01Linux系統介紹02系統安裝，密碼啊破解03Linux常用命令04LAMP 01LINUX windows： win03 8 12 16 19 配置不繁瑣 Linux：redhat,centos(紅帽社區版)，Ubuntu server,suse unix:金融機構，證券，銀 ......

    uj5u.com 2020-09-10 02:04:30 more
  • 05HTML

    01HTML介紹 02頭部標簽講解03基礎標簽講解04表單標簽講解 HTML前段語言 js1.了解代碼2.根據代碼 懂得挖掘漏洞 （POST注入/XSS漏洞上傳）3.黑帽seo 白帽seo 客戶網站被黑帽植入劫持代碼如何處理4.熟悉html表單 <html><head><title>TDK標題，描述 ......

    uj5u.com 2020-09-10 02:04:36 more
最新发布
  • 2023年最新微信小程式抓包教程

    01 開門見山 隔一個月發一篇文章，不過分。 首先回顧一下《微信系結手機號資料庫被脫庫事件》，我也是第一時間得知了這個訊息，然后跟蹤了整件事情的經過。下面是這起事件的相關截圖以及近日流出的一萬條資料樣本： 個人認為這件事也沒什么，還不如關注一下之前45億快遞資料查詢渠道疑似在近日復活的訊息。 訊息是 ......

    uj5u.com 2023-04-20 08:48:24 more
  • web3 產品介紹：metamask 錢包 使用最多的瀏覽器插件錢包

    Metamask錢包是一種基于區塊鏈技術的數字貨幣錢包，它允許用戶在安全、便捷的環境下管理自己的加密資產。Metamask錢包是以太坊生態系統中最流行的錢包之一，它具有易于使用、安全性高和功能強大等優點。 本文將詳細介紹Metamask錢包的功能和使用方法。 一、 Metamask錢包的功能 數字資 ......

    uj5u.com 2023-04-20 08:47:46 more
  • vulnhub_Earth

    前言 靶機地址->>>vulnhub_Earth 攻擊機ip：192.168.20.121 靶機ip：192.168.20.122 參考文章 https://www.cnblogs.com/Jing-X/archive/2022/04/03/16097695.html https://www.cnb ......

    uj5u.com 2023-04-20 07:46:20 more
  • 從4k到42k，軟體測驗工程師的漲薪史，給我看哭了

    清明節一過，盲猜大家已經無心上班，在數著日子準備過五一，但一想到銀行卡里的余額……瞬間心情就不美麗了。最近，2023年高校畢業生就業調查顯示，本科畢業月平均起薪為5825元。調查一出，便有很多同學表示自己又被平均了。看著這一資料，不免讓人想到前不久中國青年報的一項調查：近六成大學生認為畢業10年內會 ......

    uj5u.com 2023-04-20 07:44:00 more
  • 最新版本 Stable Diffusion 開源 AI 繪畫工具之中文自動提詞篇

    🎈 標簽生成器 由于輸入正向提示詞 prompt 和反向提示詞 negative prompt 都是使用英文，所以對學習母語的我們非常不友好 使用網址：https://tinygeeker.github.io/p/ai-prompt-generator 這個網址是為了讓大家在使用 AI 繪畫的時候 ......

    uj5u.com 2023-04-20 07:43:36 more
  • 漫談前端自動化測驗演進之路及測驗工具分析

    隨著前端技術的不斷發展和應用程式的日益復雜，前端自動化測驗也在不斷演進。隨著 Web 應用程式變得越來越復雜，自動化測驗的需求也越來越高。如今，自動化測驗已經成為 Web 應用程式開發程序中不可或缺的一部分，它們可以幫助開發人員更快地發現和修復錯誤，提高應用程式的性能和可靠性。 ......

    uj5u.com 2023-04-20 07:43:16 more
  • CANN開發實踐：4個DVPP記憶體問題的典型案例解讀

    摘要：由于DVPP媒體資料處理功能對存放輸入、輸出資料的記憶體有更高的要求（例如，記憶體首地址128位元組對齊），因此需呼叫專用的記憶體申請介面，那么本期就分享幾個關于DVPP記憶體問題的典型案例，并給出原因分析及解決方法。 本文分享自華為云社區《FAQ_DVPP記憶體問題案例》，作者：昇騰CANN。 DVPP ......

    uj5u.com 2023-04-20 07:43:03 more
  • msf學習

    msf學習 以kali自帶的msf為例 一、msf核心模塊與功能 msf模塊都放在/usr/share/metasploit-framework/modules目錄下 1、auxiliary 輔助模塊，輔助滲透（埠掃描、登錄密碼爆破、漏洞驗證等） 2、encoders 編碼器模塊，主要包含各種編碼 ......

    uj5u.com 2023-04-20 07:42:59 more
  • Halcon軟體安裝與界面簡介

    1. 下載Halcon17版本到到本地 2. 雙擊安裝包后 3. 步驟如下 1.2 Halcon軟體安裝 界面分為四大塊 1. Halcon的五個助手 1) 影像采集助手：與相機連接，設定相機引數，采集影像 2) 標定助手：九點標定或是其它的標定，生成標定檔案及內參外參，可以將像素單位轉換為長度單位 ......

    uj5u.com 2023-04-20 07:42:17 more
  • 在MacOS下使用Unity3D開發游戲

    第一次發博客，先發一下我的游戲開發環境吧。 去年2月份買了一臺MacBookPro2021 M1pro(以下簡稱mbp)，這一年來一直在用mbp開發游戲。我大致分享一下我的開發工具以及使用體驗。 1、Unity 官網鏈接： https://unity.cn/releases 我一般使用的Apple ......

    uj5u.com 2023-04-20 07:40:19 more

Copyright © 2010-2020 有解無憂