用户管理

文章目录

1. 1. 一、 说明
2. 2. 二、 授权能力
3. 3. 三、管理用户
   1. 3.1. 3.1 罗列用户
   2. 3.2. 3.2 获取用户
   3. 3.3. 3.3 增加用户
   4. 3.4. 3.4 修改用户的能力
   5. 3.5. 3.5 删除用户
   6. 3.6. 3.6 打印用户的密钥
   7. 3.7. 3.7 导入用户
4. 4. 四、秘钥管理
   1. 4.1. 4.1 创建密钥
   2. 4.2. 4.2 给密钥文件中增加用户
   3. 4.3. 4.3 创建用户
   4. 4.4. 4.4 修改用户能力
5. 5. 五、命令行使用方法

一、 说明

• Ceph 把数据以对象的形式存于各存储池中；

• Ceph 用户必须具有访问存储池的权限才能够读写数据；

• Ceph 用户必须具有执行权限才能够使用 Ceph 的管理命令；

二、 授权能力

Ceph 用 “能力”（ capabilities, caps ）这个术语来描述给认证用户的授权，这样才能使用 Mon、OSD 和 MDS 的功能；

能力也用于限制对某一存储池内的数据或某个命名空间的访问；

Ceph 管理员用户可在创建或更新普通用户时赋予他相应的能力；

能力的语法符合下面的形式：

{daemon-type} 'allow {capability}' [{daemon-type} 'allow {capability}']

• Monitor 能力： Monitor 能力包括 r 、 w 、 x 和 allow profile {cap}，例如：

mon 'allow rwx'
mon 'allow profile osd'

• OSD 能力： OSD 能力包括 r 、 w 、 x 、 class-read 、 class-write 和 profile osd ；

另外， OSD 能力还支持存储池和命名空间的配置；

osd 'allow {capability}' [pool={poolname}] [namespace={namespace-name}]

• MDS 能力： MDS 能力比较简单，只需要 allow 或者空白，也不会解析更多选项；

mds 'allow'

注意： Ceph 对象网关守护进程（ radosgw ）是 Ceph 存储集群的一种客户端，所以它没被表示成一种独立的 Ceph 存储集群守护进程类型；
下面描述了各种能力：

allow
描述: 在守护进程的访问设置之前，仅对 MDS 隐含 rw；
r
描述: 授予用户读权限，对 monitor 具有读权限才能获取 CRUSH map；
w
描述: 授予用户写对象的权限;
x
描述: 授予用户调用类方法的能力，即同时有读和写，且能在 monitor 上执行 auth 操作；
class-read
描述: 授予用户调用类读取方法的能力， x 的子集；
class-write
描述: 授予用户调用类写入方法的能力， x 的子集；
*
描述: 授权此用户读、写和执行某守护进程/存储池，且允许执行管理命令；
profile osd
描述: 授权一个用户以 OSD 身份连接其它 OSD 或 Monitor。授予 OSD 们允许其它 OSD 处理复制、心跳流量和状态报告；
profile mds
描述: 授权一个用户以 MDS 身份连接其它 MDS 或 Monitor；
profile bootstrap-osd
描述: 授权用户自举引导一个 OSD ；授予部署工具，像 ceph-disk 、ceph-deploy 等等，这样它们在自举引导 OSD 时就有权限增加密钥了；
profile bootstrap-mds
描述: 授权用户自举引导一个 MDS；授予例如 ceph-deploy 的部署工具，这样它们在自举引导 MDS 时就有权限增加密钥了；

三、管理用户

用户管理功能可以让 Ceph 存储集群的管理员有能力去创建、更新和删除集群的普通用户；

当创建或删除一个用户时，可能需要把 keys 分发给各客户端，以便它们可以加入到 keyring 文件中；

3.1 罗列用户

可以使用下面的命令罗列用户：

ceph auth list

Ceph 会列出集群中的所有用户；

例如，在一个只有 2 个 OSD 的简单环境中，ceph auth list 将会输入类似下面的内容：

installed auth entries:

osd.0
        key: AQCvCbtToC6MDhAATtuT70Sl+DymPCfDSsyV4w==
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.1
        key: AQC4CbtTCFJBChAAVq5spj0ff4eHZICxIOVZeA==
        caps: [mon] allow profile osd
        caps: [osd] allow *
client.admin
        key: AQBHCbtT6APDHhAA5W00cBchwkQjh3dkKsyPjw==
        caps: [mds] allow
        caps: [mon] allow *
        caps: [osd] allow *
client.bootstrap-mds
        key: AQBICbtTOK9uGBAAdbe5zcIGHZL3T/u2g6EBww==
        caps: [mon] allow profile bootstrap-mds
client.bootstrap-osd
        key: AQBHCbtT4GxqORAADE5u7RkpCN/oo4e5W0uBtw==
        caps: [mon] allow profile bootstrap-osd

注意：TYPE.ID 这种用户表示方法，比如 osd.0 表示用户类型是 osd 且其 ID 是 0 ， client.admin 表示用户类型是 client 且其 ID 是 admin （即默认的 client.admin 用户）；

另外，每个用户条目都有一个 key: <value>对，一个或多个 caps: 条目；

3.2 获取用户

获取某一特定用户的信息：

ceph auth get {TYPE.ID}

例如：

ceph auth get client.admin

还可以给命令加上 -o {filename} 选项把输入保存到一个文件中；

3.3 增加用户

增加一个用户就是创建一个用户名（即 TYPE.ID）、一个密钥和任何包含在创建命令中的能力；

有以下几种方式可以新增一个用户：

• ceph auth add：此命令是最权威的新增用户方式；它回新建一个用户，产生一个 key ，并赋予用户任何给定的能力；
• ceph auth get-or-create：这种方式通常是最便捷的一种，因为它的返回值是包含用户名（在方括号内）和密钥的格式；如果用户已经存在，该命令会返回密钥文件格式的用户名和密钥信息。可以使用 -o {filename} 选项把输入保存到一个文件中；
• ceph auth get-or-create-key：该命令可以很方便地创建用户，但是只会返回用户的密钥。对于某些只需要密钥的用户（如 libvirt ）来说是很有用的。如果用户已经存在，该命令仅仅返回用户的密钥；可以使用 -o {filename} 选项把输入保存到一个文件中；

下面是几个例子：

ceph auth add client.john mon 'allow r' osd 'allow rw pool=liverpool'
ceph auth get-or-create client.paul mon 'allow r' osd 'allow rw pool=liverpool'
ceph auth get-or-create client.george mon 'allow r' osd 'allow rw pool=liverpool' -o george.keyring
ceph auth get-or-create-key client.ringo mon 'allow r' osd 'allow rw pool=liverpool' -o ringo.key

3.4 修改用户的能力

ceph auth caps 命令允许你指定用户并改变用户的能力；

设定新的能力会覆盖当前的能力；

查看当前的能力可以使用 ceph auth get USERTYPE.USERID 命令；

要增加能力，你应该在如下格式的命令中包含当前已经存在的能力：

ceph auth caps USERTYPE.USERID {daemon} 'allow [r|w|x|*|...] [pool={pool-name}] [namespace={namespace-name}]' [{daemon} 'allow [r|w|x|*|...] [pool={pool-name}] [namespace={namespace-name}]']

例如：

ceph auth get client.john
ceph auth caps client.john mon 'allow r' osd 'allow rw pool=liverpool'
ceph auth caps client.paul mon 'allow rw' osd 'allow rwx pool=liverpool'
ceph auth caps client.brian-manager mon 'allow *' osd 'allow *'

要移除某个能力，你可能需要进行重置。如果你想取消某个用户对特定守护进程的所有访问权限，可以指定一个空的字符串；比如：

ceph auth caps client.ringo mon ' ' osd ' '

3.5 删除用户

想要删除一个用户，可以用 ceph auth del 命令：

ceph auth del {TYPE}.{ID}

其中， {TYPE} 是 client，osd，mon 或 mds 的其中一种；

{ID} 是用户的名字或守护进程的 ID ；

3.6 打印用户的密钥

打印某个用户的授权密钥到标准输出界面，可以执行如下命令：

ceph auth print-key {TYPE}.{ID}

其中， {TYPE} 是 client，osd，mon 或 mds 的其中一种；

{ID} 是用户的名字或守护进程的 ID ；

当需要往客户端软件中注入 Ceph 用户（如 libvirt）的密钥时，打印用户的密钥时很有用的；

mount -t ceph serverhost:/ mountpoint -o name=client.user,secret=`ceph auth print-key client.user`

3.7 导入用户

使用 ceph auth import 命令并指定密钥文件，可以导入一个或多个用户：

ceph auth import -i /path/to/keyring

比如：

sudo ceph auth import -i /etc/ceph/ceph.keyring

四、秘钥管理

当你通过客户端访问 Ceph 集群时，Ceph 客户端会使用本地的 keyring 文件；默认使用下列路径和名称的 keyring 文件：

• /etc/ceph/$cluster.$name.keyring
• /etc/ceph/$cluster.keyring
• /etc/ceph/keyring
• /etc/ceph/keyring.bin

也可以在 ceph.conf 中另行指定 keyring 的路径，但不推荐这样做；

$cluster 元变量是你的 Ceph 集群名称，默认名称是 ceph ；

$name 元变量是用户类型和 ID ；

比如用户是 client.admin，那就得到 ceph.client.admin.keyring ；

本小节介绍如何使用 ceph-authtool 工具来从客户端管理 keyring ；

4.1 创建密钥

创建一个空的 keyring 文件，使用 –create-keyring 或 -C 选项；比如：

ceph-authtool --create-keyring /path/to/keyring

创建一个包含多个用户的 keyring 文件，推荐使用 $cluster.keyring 作为文件名，并存放于 /etc/ceph 目录下；

这样就无需在本地的 ceph.conf 文件中指定 keyring 的路径了；

sudo ceph-authtool -C /etc/ceph/ceph.keyring

创建仅包含一个用户的 keyring 文件时，建议使用集群名、用户类型和用户名称作为文件名，并存放于 /etc/ceph 目录下；

4.2 给密钥文件中增加用户

为了获取某个用户的 keyring 文件，可以使用 ceph auth get 命令加 -o 选项，以 keyring 文件格式来保存输出；比如：

ceph auth get client.admin -o /etc/ceph/ceph.client.admin.keyring

当你想要向 keyring 文件中导入某个用户时，可以使用 ceph-authtool 来指定目的和源 keyring 文件；

比如：

ceph-authtool /etc/ceph/ceph.keyring --import-keyring /etc/ceph/ceph.client.admin.keyring

4.3 创建用户

可以在 Ceph 客户端直接创建用户、密钥和能力；然后再导入 Ceph 集群；

比如：

ceph-authtool -n client.ringo --cap osd 'allow rwx' --cap mon 'allow rwx' /etc/ceph/ceph.keyring

创建 keyring 文件、增加用户也可以同时进行；

比如：

ceph-authtool -C /etc/ceph/ceph.keyring -n client.ringo --cap osd 'allow rwx' --cap mon 'allow rwx' --gen-key

上述步骤中，新用户 client.ringo 仅存在于 keyring 文件中，还需要把新用户加入到 Ceph 集群中；

ceph auth add client.ringo -i /etc/ceph/ceph.keyring

4.4 修改用户能力

修改记录在 keyring 文件中的用户能力时，需要指定 keyring 、用户和新的能力选项；

比如：

ceph-authtool /etc/ceph/ceph.keyring -n client.ringo --cap osd 'allow rwx' --cap mon 'allow rwx'

更新 Ceph 存储集群的用户，你必须更新 keyring 文件中对应用户入口的信息；

ceph auth import -i /etc/ceph/ceph.keyring

五、命令行使用方法

Ceph 支持通过下列方式使用用户名称和密钥：

–id | –user

描述： Ceph 通过类型和 ID 来确定用户，如 TYPE.ID 或 client.admin, client.user1 ；使用 –id 或 –user 选项指定用户的 ID，比如，指定使用 client.foo 用户：

ceph --id foo --keyring /path/to/keyring health
ceph --user foo --keyring /path/to/keyring health

–name | -n

描述： 使用 –name 或 -n 选项指定用户的全名（ TYPE.ID ），比如：

ceph --name client.foo --keyring /path/to/keyring health
ceph -n client.foo --keyring /path/to/keyring health

–keyring

描述： 指定包含一个或多个用户及其密钥的 keyring 文件路径； –secret 选项提供同样的功能，但对 Ceph RADOS Gateway 不生效（ –secret 选项有其他的作用）；比如：

rbd map --id foo --keyring /path/to/keyring mypool/myimage