CubeFS授权节点(AuthNode)使用指南-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_01022/article/details/148507777

CubeFS授权节点(AuthNode)使用指南

cubefs CubiFS 是一个开源的分布式文件系统，用于数据存储和管理，支持多种数据存储模型和云原生环境。 * 分布式文件系统、数据存储和管理 * 有什么特点：支持多种数据存储模型和云原生环境、易于集成和部署项目地址: https://gitcode.com/gh_mirrors/cu/cubefs

概述

在分布式文件系统CubeFS中，授权节点(AuthNode)扮演着关键的安全管理角色。本文将详细介绍AuthNode的工作原理、部署流程以及使用方法，帮助管理员构建安全的CubeFS集群访问控制体系。

AuthNode核心功能

AuthNode主要负责以下安全功能：

密钥管理：生成和管理系统各级密钥
访问授权：控制客户端对Master节点的访问权限
API鉴权：为Master API提供细粒度的访问控制
票据分发：签发临时访问凭证(Ticket)

部署AuthNode集群

1. 环境准备

首先需要构建AuthNode相关工具：

$ git clone <CubeFS代码仓库>
$ cd cubefs
$ make build

构建成功后，会在build/bin目录生成关键工具cfs-authtool。

2. 密钥生成

生成系统根密钥和服务密钥：

$ ./cfs-authtool authkey

该命令会生成两个关键文件：

authroot.json：系统根密钥
authservice.json：AuthService服务密钥

3. 配置文件准备

编辑authnode.json配置文件，主要配置项包括：

{
  "role": "authnode",
  "ip": "192.168.0.14",
  "port": "8080",
  "peers": "1:192.168.0.14:8080,2:192.168.0.15:8081,3:192.168.0.16:8082",
  "authServiceKey": "<authservice.json中的key值>",
  "authRootKey": "<authroot.json中的key值>"
}

4. 启动集群

使用docker-compose启动AuthNode集群：

$ docker-compose up -d

授权机制工作流程

CubeFS的授权机制遵循以下流程：

获取服务票据：使用服务密钥获取AuthService的访问票据
创建管理员：通过服务票据创建管理员账户
管理员授权：管理员创建各类用户和服务密钥
获取访问票据：用户使用密钥获取具体服务的访问票据
服务访问：使用票据访问目标服务

实际应用场景

1. 客户端授权

为客户端创建访问密钥：

$ ./cfs-authtool api -host=<authnode地址> \
  -ticketfile=ticket_admin.json \
  -data=data_client.json \
  -output=key_client.json \
  AuthService createkey

客户端配置示例：

{
  "authenticate": true,
  "ticketHost": "192.168.0.14:8080",
  "clientKey": "<客户端密钥>"
}

2. Master API鉴权

开启Master API鉴权需要在master.json中配置：

{
  "authenticate": true,
  "authNodeHost": "192.168.0.14:8080",
  "masterServiceKey": "<Master服务密钥>"
}

API访问时需要携带clientIDKey参数：

curl 'http://master:17010/vol/update?name=testvol&clientIDKey=<客户端ID密钥>'

3. 数据节点授权

为DataNode和MetaNode创建服务密钥：

# 创建DataNode密钥
$ ./cfs-authtool api -host=<authnode地址> \
  -ticketfile=ticket_admin.json \
  -data=data_datanode.json \
  -output=key_datanode.json \
  AuthService createkey

# 创建MetaNode密钥
$ ./cfs-authtool api -host=<authnode地址> \
  -ticketfile=ticket_admin.json \
  -data=data_metanode.json \
  -output=key_metanode.json \
  AuthService createkey