zk权限方案

1. 方案背景

Kafka security主要包含3大功能：认证(authentication)、信道加密(encryption)和授权(authorization)。信道加密就是为client到broker、broker到broker以及工具脚本与broker之间的数据传输配置SSL；认证机制主要是指配置SASL，而授权是通过ACL接口命令来完成的。

  本方案主要是解决kafka和zk之前的权限认证问题，即ZK的数据安全性问题，而对于kafka本身的权限控制没有做说明。

ZooKeeper作为一个分布式协调框架，内部存储的都是一些分布式系统运行时状态的元数据。zookeeper本身提供了ACL机制，表示为scheme:id:permissions，第一个字段表示采用哪一种机制，第二个id表示用户，permissions表示相关权限（如只读，读写，管理等）。zookeeper提供了如下几种机制（scheme）：

1. world: 它下面只有一个id, 叫anyone, world:anyone代表任何人，zookeeper中对所有人有权限的结点就是属于world:anyone的
2. auth: 它不需要id, 只要是通过authentication的user都有权限（zookeeper支持通过kerberos来进行authencation, 也支持username/password形式的authentication)
3. digest: 它对应的id为username:BASE64(SHA1(password))，它需要先通过username:password形式的authentication
4. ip: 它对应的id为客户机的IP地址，设置的时候可以设置一个ip段，比如ip:192.168.1.0/16, 表示匹配前16个bit的IP段
5. super: 在这种scheme情况下，对应的id拥有超级权限，可以做任何事情(cdrwa）

注意：ACL并无递归机制，任何一个znode创建后，都需要单独设置ACL，无法继承父节点的ACL设置

 

权限：Permission

对数据节点的控制操作权限分为五种：

1. CREATE：创建节点以及子节点的权限
2. DELETE：删除接单以及子节点的权限
3. READ：数据节点的读取权限
4. WRITE：数据节点的写权限