ETCD:基于角色的访问控制

Posted 2020-11-22

原文地址：Role-based access control

总览

---

身份验证已添加到etcd 2.1中。 etcd v3 API略微修改了身份验证功能的API和用户界面，以更好地适应新的数据模型。本指南旨在帮助用户在etcd v3中设置基本身份验证和基于角色的访问控制。

特殊用户和角色

---

有一个特殊用户root，一个特殊角色root。

用户root

在激活身份验证之前，必须创建对etcd具有完全访问权限的root用户。 root用户的想法是出于管理目的：管理角色和普通用户。 root用户必须具有root角色，并且可以在etcd中进行任何更改。

角色root

可以将角色root授予除root用户之外的任何用户。 具有root角色的用户既具有全局读写访问权限，又具有更新集群的身份验证配置的权限。 此外，root角色授予常规集群维护的特权，包括修改集群成员资格，对存储进行碎片整理以及拍摄快照。

用户的工作方式

---

etcdctl的user子命令处理与用户帐户有关的所有事情。
可以通过以下方式找到用户列表：

$ etcdctl user list

通过以下方式创建新用户：

$ etcdctl user add myusername

创建新用户将提示您输入新密码。 当给出选项--interactive=false时，可以从标准输入中提供密码。 --new-user-password也可以用于提供密码。

可以通过以下方式为用户授予和撤消角色：

$ etcdctl user grant-role myusername foo
$ etcdctl user revoke-role myusername bar

可以使用以下命令检查用户的设置：

$ etcdctl user get myusername

用户密码可以通过以下方式更改：

$ etcdctl user passwd myusername

更改密码将再次提示您输入新密码。 当给出选项--interactive=false时，可以从标准输入中提供密码。

通过以下方式删除帐户：

$ etcdctl user delete myusername

角色的工作方式：

---

etcdctl的role子命令处理与授予特定用户的特定角色的访问控制有关的所有事情。

列出角色：

$ etcdctl role list

创建一个新角色：

$ etcdctl role add myrolename

角色没有密码； 它仅定义了一组新的访问权限。

授予角色访问单个密钥或一系列密钥的权限。

范围可以指定为间隔[开始键，结束键]，其中开始键应按字母顺序在词汇上小于结束键。

可以将访问权限授予读取，写入或同时授予两者，如以下示例所示：

# Give read access to a key /foo
$ etcdctl role grant-permission myrolename read /foo

# Give read access to keys with a prefix /foo/. The prefix is equal to the range [/foo/, /foo0)
$ etcdctl role grant-permission myrolename --prefix=true read /foo/

# Give write-only access to the key at /foo/bar
$ etcdctl role grant-permission myrolename write /foo/bar

# Give full access to keys in a range of [key1, key5)
$ etcdctl role grant-permission myrolename readwrite key1 key5

# Give full access to keys with a prefix /pub/
$ etcdctl role grant-permission myrolename --prefix=true readwrite /pub/

要查看授予的权限，我们可以随时查看该角色：

$ etcdctl role get myrolename

撤消权限是按照相同的逻辑方式完成的：

$ etcdctl role revoke-permission myrolename /foo/bar

就像完全删除一个角色一样：

$ etcdctl role delete myrolename

开启身份认证

---

启用身份验证的最少步骤如下。 管理员可以根据喜好在启用身份验证之前或之后设置用户和角色。

确保已创建root用户：

$ etcdctl user add root
Password of root:

开启身份认证

$ etcdctl auth enable

此后，etcd在启用身份验证的情况下运行。 要出于任何原因禁用它，请使用reciprocal命令：

$ etcdctl --user root:rootpw auth disable

使用etcdctl进行身份验证

---

etcdctl支持类似curl的标志进行身份验证。

$ etcdctl --user user:password get foo

可以从提示符处获取密码：

$ etcdctl --user user get foo

密码也可以从命令行参数--password获取：

$ etcdctl --user user --password password get foo

否则，所有etcdctl命令均保持不变。 用户和角色仍然可以创建和修改，但是需要具有root角色的用户进行身份验证。

使用TLS通用名称

---

从v3.2版本开始，如果使用参数--client-cert-auth=true启动etcd服务器，则客户端的TLS证书中的“通用名称（CN）”字段将用作etcd用户。在这种情况下，公用名将对用户进行身份验证，并且客户端不需要密码。请注意，如果同时传递了1. --client-cert-auth=true且客户端提供了CN，并且客户端提供了2.用户名和密码，则将优先考虑基于用户名和密码的身份验证。请注意，此功能不能与gRPC-proxy和gRPC-gateway一起使用。这是因为gRPC-proxy会从其客户端终止TLS，因此所有客户端都共享代理证书。 gRPC-gateway内部使用TLS连接将HTTP请求转换为gRPC请求，因此它具有相同的限制。因此，客户端不能正确地将其CN提供给服务器。如果给定证书的CN不为空，则gRPC-proxy将导致错误并停止。 gRPC-proxy返回错误，表明客户端证书中的CN为非空。

从v3.3版本开始，如果启用了带有选项--peer-cert-allowed-cn或--peer-cert-allowed-hostname的etcd服务器启动，则对等节点连接筛选。如果节点的TLS证书身份与允许的节点匹配，则节点只能加入etcd集群。有关更多详细信息，请参见etcd安全性页面。