5. 用户管理


Ceph 把数据以对象的形式存于各存储池中。Ceph 用户必须具有访问存储池的权限才能够读写数据。另外,Ceph 用户必须具有执行权限才能够使用 Ceph 的管理命令。

5.1 授权(能力)

Ceph 用 “能力”( capabilities, caps )这个术语来描述给认证用户的授权,这样才能使用 Mon、 OSD 和 MDS 的功能。能力也用于限制对某一存储池内的数据或某个命名空间的访问。 Ceph 管理员用户可在创建或更新普通用户时赋予他相应的能力。

能力的语法符合下面的形式:

  1. {daemon-type} 'allow {capability}' [{daemon-type} 'allow {capability}']

Monitor 能力: Monitor 能力包括 rwxallow profile {cap},例如:

  1. mon 'allow rwx'
  2. mon 'allow profile osd'

OSD 能力: OSD 能力包括 rwxclass-readclass-writeprofile osd 。另外, OSD 能力还支持存储池和命名空间的配置。

  1. osd 'allow {capability}' [pool={poolname}] [namespace={namespace-name}]

MDS 能力: MDS 能力比较简单,只需要 allow 或者空白,也不会解析更多选项。

  1. mds 'allow'

注意: Ceph 对象网关守护进程( radosgw )是 Ceph 存储集群的一种客户端,所以它没被表示成一种独立的 Ceph 存储集群守护进程类型。

下面描述了各种能力。

allow

描述: 在守护进程的访问设置之前,仅对 MDS 隐含 rw

r

描述: 授予用户读权限,对 monitor 具有读权限才能获取 CRUSH map。

w

描述: 授予用户写对象的权限。

x

描述: 授予用户调用类方法的能力,即同时有读和写,且能在 monitor 上执行 auth 操作。

class-read

描述: 授予用户调用类读取方法的能力, x 的子集。

class-write

描述: 授予用户调用类写入方法的能力, x 的子集。

*

描述: 授权此用户读、写和执行某守护进程/存储池,且允许执行管理命令。

profile osd

描述: 授权一个用户以 OSD 身份连接其它 OSD 或 Monitor。授予 OSD 们允许其它 OSD 处理复制、心跳流量和状态报告。

profile mds

描述: 授权一个用户以 MDS 身份连接其它 MDS 或 Monitor。

profile bootstrap-osd

描述: 授权用户自举引导一个 OSD 。授予部署工具,像 ceph-diskceph-deploy 等等,这样它们在自举引导 OSD 时就有权限增加密钥了。

profile bootstrap-mds

描述: 授权用户自举引导一个 MDS。授予例如 ceph-deploy 的部署工具,这样它们在自举引导 MDS 时就有权限增加密钥了。

5.2 管理用户

用户管理功能可以让 Ceph 存储集群的管理员有能力去创建、更新和删除集群的普通用户。当创建或删除一个用户时,可能需要把 keys 分发给各客户端,以便它们可以加入到 keyring 文件中。

罗列用户

可以使用下面的命令罗列用户:

  1. ceph auth list

Ceph 会列出集群中的所有用户。例如,在一个只有 2 个 OSD 的简单环境中,ceph auth list 将会输入类似下面的内容:

  1. installed auth entries:
  2. osd.0
  3. key: AQCvCbtToC6MDhAATtuT70Sl+DymPCfDSsyV4w==
  4. caps: [mon] allow profile osd
  5. caps: [osd] allow *
  6. osd.1
  7. key: AQC4CbtTCFJBChAAVq5spj0ff4eHZICxIOVZeA==
  8. caps: [mon] allow profile osd
  9. caps: [osd] allow *
  10. client.admin
  11. key: AQBHCbtT6APDHhAA5W00cBchwkQjh3dkKsyPjw==
  12. caps: [mds] allow
  13. caps: [mon] allow *
  14. caps: [osd] allow *
  15. client.bootstrap-mds
  16. key: AQBICbtTOK9uGBAAdbe5zcIGHZL3T/u2g6EBww==
  17. caps: [mon] allow profile bootstrap-mds
  18. client.bootstrap-osd
  19. key: AQBHCbtT4GxqORAADE5u7RkpCN/oo4e5W0uBtw==
  20. caps: [mon] allow profile bootstrap-osd

注意 TYPE.ID 这种用户表示方法,比如 osd.0 表示用户类型是 osd 且其 ID 是 0client.admin 表示用户类型是 client 且其 ID 是 admin (即默认的 client.admin 用户)。另外,每个用户条目都有一个 key: <value> 对,一个或多个 caps: 条目。

获取用户

获取某一特定用户的信息:

  1. ceph auth get {TYPE.ID}

例如:

  1. ceph auth get client.admin

还可以给命令加上 -o {filename} 选项把输入保存到一个文件中。

增加用户

增加一个用户就是创建一个用户名(即 TYPE.ID)、一个密钥和任何包含在创建命令中的能力。有以下几种方式可以新增一个用户:

  • ceph auth add:此命令是最权威的新增用户方式。它回新建一个用户,产生一个 key ,并赋予用户任何给定的能力。
  • ceph auth get-or-create:这种方式通常是最便捷的一种,因为它的返回值是包含用户名(在方括号内)和密钥的格式。如果用户已经存在,该命令会返回密钥文件格式的用户名和密钥信息。可以使用 -o {filename} 选项把输入保存到一个文件中。
  • ceph auth get-or-create-key:该命令可以很方便地创建用户,但是只会返回用户的密钥。对于某些只需要密钥的用户(如 libvirt )来说是很有用的。如果用户已经存在,该命令仅仅返回用户的密钥。可以使用 -o {filename} 选项把输入保存到一个文件中。

下面是几个例子:

  1. ceph auth add client.john mon 'allow r' osd 'allow rw pool=liverpool'
  2. ceph auth get-or-create client.paul mon 'allow r' osd 'allow rw pool=liverpool'
  3. ceph auth get-or-create client.george mon 'allow r' osd 'allow rw pool=liverpool' -o george.keyring
  4. ceph auth get-or-create-key client.ringo mon 'allow r' osd 'allow rw pool=liverpool' -o ringo.key
修改用户的能力

ceph auth caps 命令允许你指定用户并改变用户的能力。设定新的能力会覆盖当前的能力。查看当前的能力可以使用 ceph auth get USERTYPE.USERID 命令。要增加能力,你应该在如下格式的命令中包含当前已经存在的能力:

  1. ceph auth caps USERTYPE.USERID {daemon} 'allow [r|w|x|*|...] [pool={pool-name}] [namespace={namespace-name}]' [{daemon} 'allow [r|w|x|*|...] [pool={pool-name}] [namespace={namespace-name}]']

例如:

  1. ceph auth get client.john
  2. ceph auth caps client.john mon 'allow r' osd 'allow rw pool=liverpool'
  3. ceph auth caps client.paul mon 'allow rw' osd 'allow rwx pool=liverpool'
  4. ceph auth caps client.brian-manager mon 'allow *' osd 'allow *'

要移除某个能力,你可能需要进行重置。如果你想取消某个用户对特定守护进程的所有访问权限,可以指定一个空的字符串。比如:

  1. ceph auth caps client.ringo mon ' ' osd ' '
删除用户

想要删除一个用户,可以用 ceph auth del 命令:

  1. ceph auth del {TYPE}.{ID}

其中, {TYPE}clientosdmonmds 的其中一种。{ID} 是用户的名字或守护进程的 ID 。

打印用户的密钥

打印某个用户的授权密钥到标准输出界面,可以执行如下命令:

  1. ceph auth print-key {TYPE}.{ID}

其中, {TYPE}clientosdmonmds 的其中一种。{ID} 是用户的名字或守护进程的 ID 。

当需要往客户端软件中注入 Ceph 用户(如 libvirt)的密钥时,打印用户的密钥时很有用的。

  1. mount -t ceph serverhost:/ mountpoint -o name=client.user,secret=`ceph auth print-key client.user`
导入用户

使用 ceph auth import 命令并指定密钥文件,可以导入一个或多个用户:

  1. ceph auth import -i /path/to/keyring

比如:

  1. sudo ceph auth import -i /etc/ceph/ceph.keyring

5.3 密钥管理

当你通过客户端访问 Ceph 集群时,Ceph 客户端会使用本地的 keyring 文件。默认使用下列路径和名称的 keyring 文件:

  • /etc/ceph/$cluster.$name.keyring
  • /etc/ceph/$cluster.keyring
  • /etc/ceph/keyring
  • /etc/ceph/keyring.bin

你也可以在 ceph.conf 中另行指定 keyring 的路径,但不推荐这样做。

$cluster 元变量是你的 Ceph 集群名称,默认名称是 ceph$name 元变量是用户类型和 ID 。比如用户是 client.admin,那就得到 ceph.client.admin.keyring

本小节介绍如何使用 ceph-authtool 工具来从客户端管理 keyring 。

创建密钥

创建一个空的 keyring 文件,使用 --create-keyring-C 选项。比如:

  1. ceph-authtool --create-keyring /path/to/keyring

创建一个包含多个用户的 keyring 文件,推荐使用 $cluster.keyring 作为文件名,并存放于 /etc/ceph 目录下。这样就无需在本地的 ceph.conf 文件中指定 keyring 的路径了。

  1. sudo ceph-authtool -C /etc/ceph/ceph.keyring

创建仅包含一个用户的 keyring 文件时,建议使用集群名、用户类型和用户名称作为文件名,并存放于 /etc/ceph 目录下。

给密钥文件中增加用户

为了获取某个用户的 keyring 文件,可以使用 ceph auth get 命令加 -o 选项,以 keyring 文件格式来保存输出。比如:

  1. sudo ceph auth get client.admin -o /etc/ceph/ceph.client.admin.keyring

当你想要向 keyring 文件中导入某个用户时,可以使用 ceph-authtool 来指定目的和源 keyring 文件。比如:

  1. sudo ceph-authtool /etc/ceph/ceph.keyring --import-keyring /etc/ceph/ceph.client.admin.keyring
创建用户

可以在 Ceph 客户端直接创建用户、密钥和能力。然后再导入 Ceph 集群。比如:

  1. sudo ceph-authtool -n client.ringo --cap osd 'allow rwx' --cap mon 'allow rwx' /etc/ceph/ceph.keyring

创建 keyring 文件、增加用户也可以同时进行。比如:

  1. sudo ceph-authtool -C /etc/ceph/ceph.keyring -n client.ringo --cap osd 'allow rwx' --cap mon 'allow rwx' --gen-key

上述步骤中,新用户 client.ringo 仅存在于 keyring 文件中,还需要把新用户加入到 Ceph 集群中。

  1. sudo ceph auth add client.ringo -i /etc/ceph/ceph.keyring
修改用户能力

修改记录在 keyring 文件中的用户能力时,需要指定 keyring 、用户和新的能力选项。比如:

  1. sudo ceph-authtool /etc/ceph/ceph.keyring -n client.ringo --cap osd 'allow rwx' --cap mon 'allow rwx'

更新 Ceph 存储集群的用户,你必须更新 keyring 文件中对应用户入口的信息。

  1. sudo ceph auth import -i /etc/ceph/ceph.keyring

5.4 命令行使用方法

Ceph 支持通过下列方式使用用户名称和密钥。

--id | --user

描述: Ceph 通过类型和 ID 来确定用户,如 TYPE.IDclient.admin, client.user1 。使用 --id--user 选项指定用户的 ID,比如,指定使用 client.foo 用户:

  1. ceph --id foo --keyring /path/to/keyring health
  2. ceph --user foo --keyring /path/to/keyring health

--name | -n

描述: 使用 —name 或 -n 选项指定用户的全名( TYPE.ID ),比如:

  1. ceph --name client.foo --keyring /path/to/keyring health
  2. ceph -n client.foo --keyring /path/to/keyring health

--keyring

描述: 指定包含一个或多个用户及其密钥的 keyring 文件路径。 --secret 选项提供同样的功能,但对 Ceph RADOS Gateway 不生效( --secret 选项有其他的作用)。比如:

  1. sudo rbd map --id foo --keyring /path/to/keyring mypool/myimage