zookeeper ACL权限控制
ACL(access control)用来控制对节点的读写访问。每个节点都可以定义自己的ACL,用来控制客户端对节点的访问。
权限类型有以下几种：
-
READ（可读取节点数据和子节点列表）
-
WRITE（可写入节点数据）
-
CREATE（可创建子节点）
-
DELETE（可删除节点）
-
ADMIN（可设置节点的ACL）
可以看到权限类型控制的粒度还是比较细的。前4种对应zookeeper对节点的4种接口操作。最后一个admin权限可以对节点ACL进行设置。这几种权限被定义在ZooDefs.Perms对象种。
zookeeper提供了多种权限控制模式：
world：has a single id, anyone, that represents anyone
ip：该模式基于客户端的IP地址对访问进行限制。可以配置允许或拒绝特定IP地址范围的访问。
digest：digest模式要求客户端提供用户名和密码来验证身份。在ZooKeeper中，用户信息以username:password形式存储在ACL中。只有提供正确的用户名和密码组合才能执行操作。
auth：该模式要求客户端在与ZooKeeper建立连接之前进行身份验证。只有通过身份验证的客户端才能执行后续操作。这种模式常用于创建自定义认证方案。
权限设置被封装成ACL对象。ACL对象创建需要两个参数：权限和认证信息。权限可以从ZooDefs.Perms对象使用枚举值，认证信息可以通过Id对象指定。如以下几种方式：
new ACL(ZooDefs.Perms.CREATE, new Id("ip", "127.0.0.1"));
new ACL(ZooDefs.Perms.WRITE, new Id("digest", "username:password"));
new ACL(ZooDefs.Perms.DELETE, new Id("auth", "456565656"));
new ACL(ZooDefs.Perms.ALL, ZooDefs.Ids.AUTH_IDS);
这里注意ZooDefs.Ids.AUTH_IDS方式默认会被客户端设置的认证信息取代。
zkCli.sh权限操作
#设置客户端auth
addauth scheme auth
#创建节点指定ACL,crwda是5种权限的首字母
create /acl_test mydata ip:127.0.0.1:crwda
#获取节点权限
getAcl /acl_test
#设置权限
setAcl /acl_auth_test auth:user1:12345:crwad
这里使用curator演示digest方式例子：
第一个client user1:123456创建节点
CuratorFramework client = CuratorFrameworkFactory.builder()
.authorization("digest", "user1:123456".getBytes())
.connectString("localhost:2181")
.retryPolicy(new ExponentialBackoffRetry(1000, 3))
.build();
client.start();
String path = "/acl_digest";
//使用client的authorization认证信息
ACL acl = new ACL(ZooDefs.Perms.ALL, ZooDefs.Ids.AUTH_IDS);
List<ACL> aclList = new ArrayList<>();
aclList.add(acl);
//创建节点使用withAcls设置ACL
client.create().withACL(aclList).forPath(path, "test".getBytes());
client.close();
第二个client user2:123456访问节点
CuratorFramework client = CuratorFrameworkFactory.builder().connectString("localhost:2181")
.authorization("digest", "user2:123456".getBytes())
.retryPolicy(new RetryOneTime(1))
.build();
client.start();
String path = "/acl_digest";
byte[] data = client.getData().forPath(path);
System.out.println(new String(data));
client.close();
第二个client访问会报错无法访问
org.apache.zookeeper.KeeperException$NoAuthException: KeeperErrorCode = NoAuth for /acl_digest