Salmon的全栈知识
  • 《Zookeeper》笔记
Salmon
2025-07-22
目录

Acl权限控制

# 1、概述

zookeeper 类似文件系统，client 可以创建节点、更新节点、删除节点，那么如何做到节点的权限的控制呢？zookeeper的access control list 访问控制列表可以做到这一点。

acl 权限控制，使用scheme：id：permission 来标识，主要涵盖 3 个方面：

  • 权限模式（scheme）：授权的策略

  • 授权对象（id）：授权的对象

  • 权限（permission）：授予的权限

其特性如下：

  • zooKeeper的权限控制是基于每个znode节点的，需要对每个节点设置权限

  • 每个znode支持设置多种权限控制方案和多个权限

  • 子节点不会继承父节点的权限，客户端无权访问某节点，但可能可以访问它的子节点

例如：

setAcl /test2 ip:192.168.60.130:crwda ## 将节点权限设置为Ip:192.168.60.130的客户端可以对节点进行增、删、改、查、管理权限

# 2、权限模式

采用何种方式授权

方案 描述
world 只有一个用户：anyone，代表登录 Zookeeper 所有人（默认）
ip 对客户端使用 IP 地址认证
auth 使用已添加认证的用户认证
digest 使用“用户名:密码”方式认证

# 3、授权的对象

给谁授予权限

授权对象ID是指，权限赋予的实体，例如：IP 地址或用户。

# 4、授予的权限

授予什么权限

create、delete、read、writer、admin也就是 增、删、改、查、管理权限，这5种权限简写为cdrwa，注意:这5种权限中，delete是指对子节点的删除权限，其它4种权限指对自身节点的操作权限

权限 ACL简写 描述
create c 可以创建子节点
delete d 可以删除子节点（仅下一级节点）
read r 可以读取节点数据及显示子节点列表
write w 可以设置节点数据
admin a 可以设置节点访问控制列表权限（ACL 权限）

# 5、授权的相关命令

命令 使用方式 描述
getAcl getAcl 读取 ACL 权限
setAcl setAcl 设置 ACL 权限
addauth addauth 添加认证用户

# 6、案例

  • world授权模式：

    命令

    	setAcl <path> world:anyone:<acl>

    案例

    [zk: localhost:2181(CONNECTED) 1] create /node1 "node1"
Created /node1
 
[zk: localhost:2181(CONNECTED) 2] getAcl /node1
'world,'anyone #world方式对所有用户进行授权
: cdrwa #增、删、改、查、管理
 
[zk: localhost:2181(CONNECTED) 3] setAcl /node1 world:anyone:cdrwa
cZxid = 0x2
ctime = Fri Dec 13 22:25:24 CST 2019
mZxid = 0x2
mtime = Fri Dec 13 22:25:24 CST 2019
pZxid = 0x2
cversion = 0
dataVersion = 0
aclVersion = 1
ephemeralOwner = 0x0
dataLength = 5
numChildren = 0

  • IP授权模式：

    命令

    setAcl <path> ip:<ip>:<acl>

    案例

    注意：远程登录zookeeper命令：./zkCli.sh -server ip

    [zk: localhost:2181(CONNECTED) 18] create /node2 "node2"
Created /node2

[zk: localhost:2181(CONNECTED) 23] setAcl /node2 
ip:192.168.60.129:cdrwa
cZxid = 0xe
ctime = Fri Dec 13 22:30:29 CST 2019
mZxid = 0x10
mtime = Fri Dec 13 22:33:36 CST 2019
pZxid = 0xe
cversion = 0
dataVersion = 2
aclVersion = 1
ephemeralOwner = 0x0
dataLength = 20
numChildren = 0

[zk: localhost:2181(CONNECTED) 25] getAcl /node2
'ip,'192.168.60.129
: cdrwa

#使用IP非 192.168.60.129 的机器
[zk: localhost:2181(CONNECTED) 0] get /node2
Authentication is not valid : /node2 #没有权限

  • Auth授权模式：

    命令

    addauth digest <user>:<password> #添加认证用户
setAcl <path> auth:<user>:<acl>

    案例

    [zk: localhost:2181(CONNECTED) 2] create /node3 "node3"
Created /node3

#添加认证用户
[zk: localhost:2181(CONNECTED) 4] addauth digest itcast:123456 
 
[zk: localhost:2181(CONNECTED) 1] setAcl /node3 auth:itcast:cdrwa 
cZxid = 0x15
ctime = Fri Dec 13 22:41:04 CST 2019
mZxid = 0x15
mtime = Fri Dec 13 22:41:04 CST 2019
pZxid = 0x15
cversion = 0
dataVersion = 0
aclVersion = 1
ephemeralOwner = 0x0
dataLength = 5
numChildren = 0
 
[zk: localhost:2181(CONNECTED) 0] getAcl /node3
'digest,'itcast:673OfZhUE8JEFMcu0l64qI8e5ek=
: cdrwa
 
 #添加认证用户后可以访问
[zk: localhost:2181(CONNECTED) 3] get /node3
node3
cZxid = 0x15
ctime = Fri Dec 13 22:41:04 CST 2019
mZxid = 0x15
mtime = Fri Dec 13 22:41:04 CST 2019
pZxid = 0x15
cversion = 0
dataVersion = 0
aclVersion = 1
ephemeralOwner = 0x0
dataLength = 5
numChildren = 0

  • Digest授权模式：

    命令

    setAcl <path> digest:<user>:<password>:<acl>

    这里的密码是经过SHA1及BASE64处理的密文，在SHELL中可以通过以下命令计算：

    echo -n <user>:<password> | openssl dgst -binary -sha1 | openssl base64

    先来计算一个密文

    echo -n itheima:123456 | openssl dgst -binary -sha1 | openssl base64

    案例：

    [zk: localhost:2181(CONNECTED) 4] create /node4 "node4"
Created /node4
 
#使用是上面算好的密文密码添加权限：
[zk: localhost:2181(CONNECTED) 5] setAcl /node4 
digest:itheima:qlzQzCLKhBROghkooLvb+Mlwv4A=:cdrwa 
cZxid = 0x1c
ctime = Fri Dec 13 22:52:21 CST 2019
mZxid = 0x1c
mtime = Fri Dec 13 22:52:21 CST 2019
pZxid = 0x1c
cversion = 0
dataVersion = 0
aclVersion = 1
ephemeralOwner = 0x0
dataLength = 5
numChildren = 0
[zk: localhost:2181(CONNECTED) 6] getAcl /node4
'digest,'itheima:qlzQzCLKhBROghkooLvb+Mlwv4A=
: cdrwa
 
[zk: localhost:2181(CONNECTED) 3] get /node4
Authentication is not valid : /node4 #没有权限
 
[zk: localhost:2181(CONNECTED) 4] addauth digest itheima:123456 #添加认证用户
 
[zk: localhost:2181(CONNECTED) 5] get /node4
1 #成功读取数据
cZxid = 0x1c
ctime = Fri Dec 13 22:52:21 CST 2019
mZxid = 0x1c
mtime = Fri Dec 13 22:52:21 CST 2019
pZxid = 0x1c
cversion = 0
dataVersion = 0
aclVersion = 1

ephemeralOwner = 0x0
dataLength = 5
numChildren = 0

  • 多种模式授权：

    同一个节点可以同时使用多种模式授权

    [zk: localhost:2181(CONNECTED) 0] create /node5 "node5"
Created /node5
[zk: localhost:2181(CONNECTED) 1] addauth digest itcast:123456 #添加认证用户
[zk: localhost:2181(CONNECTED) 2] setAcl /node5 
ip:192.168.60.129:cdra,auth:itcast:cdrwa,digest:itheima:qlzQzCLKhBROgh
kooLvb+Mlwv4A=:cdrwa

# 7、acl 超级管理员

zookeeper的权限管理模式有一种叫做super，该模式提供一个超管可以方便的访问任何权限的节点

假设这个超管是：super:admin，需要先为超管生成密码的密文

echo -n super:admin | openssl dgst -binary -sha1 | openssl base64

那么打开zookeeper目录下的/bin/zkServer.sh服务器脚本文件，找到如下一行：

nohup $JAVA "-Dzookeeper.log.dir=${ZOO_LOG_DIR}" "-Dzookeeper.root.logger=${ZOO_LOG4J_PROP}"

这就是脚本中启动zookeeper的命令，默认只有以上两个配置项，我们需要加一个超管的配置项

"-Dzookeeper.DigestAuthenticationProvider.superDigest=super:xQJmxLMiHGwaqBvst5y6rkB6HQs="

那么修改以后这条完整命令变成了

nohup $JAVA "-Dzookeeper.log.dir=${ZOO_LOG_DIR}" "-Dzookeeper.root.logger=${ZOO_LOG4J_PROP}" "-Dzookeeper.DigestAuthenticationProvider.superDigest=super:xQJmxLMiHGwaqBvst5y6rkB6HQs="\
 -cp "$CLASSPATH" $JVMFLAGS $ZOOMAIN "$ZOOCFG" > "$_ZOO_DAEMON_OUT" 2>&1 < /dev/null &

之后启动zookeeper，输入如下命令添加权限

addauth digest super:admin #添加认证用户
上次更新: 2025/07/23, 01:37:33
常用shell命令
JavaAPI

← JavaAPI→

Theme by Vdoing | Copyright © 2022-2025 Salmon's Blog