• 5. 用户管理
    • 5.1 授权（能力）
    • 5.2 管理用户
      • 罗列用户
      • 获取用户
      • 增加用户
      • 修改用户的能力
      • 删除用户
      • 打印用户的密钥
      • 导入用户
  • 5.3 密钥管理
    • 创建密钥
    • 给密钥文件中增加用户
    • 创建用户
    • 修改用户能力
  • 5.4 命令行使用方法

    5. 用户管理

    Ceph 把数据以对象的形式存于各存储池中。Ceph 用户必须具有访问存储池的权限才能够读写数据。另外，Ceph 用户必须具有执行权限才能够使用 Ceph 的管理命令。

    5.1 授权（能力）

    Ceph 用 “能力”（ capabilities, caps ）这个术语来描述给认证用户的授权，这样才能使用 Mon、 OSD 和 MDS 的功能。能力也用于限制对某一存储池内的数据或某个命名空间的访问。 Ceph 管理员用户可在创建或更新普通用户时赋予他相应的能力。

    能力的语法符合下面的形式：

    1. {daemon-type} 'allow {capability}' [{daemon-type} 'allow {capability}']

    Monitor 能力： Monitor 能力包括 r 、 w 、 x 和 allow profile {cap}，例如：

    1. mon 'allow rwx'
    2. mon 'allow profile osd'

    OSD 能力： OSD 能力包括 r 、 w 、 x 、 class-read 、 class-write 和 profile osd 。另外， OSD 能力还支持存储池和命名空间的配置。

    1. osd 'allow {capability}' [pool={poolname}] [namespace={namespace-name}]

    MDS 能力： MDS 能力比较简单，只需要 allow 或者空白，也不会解析更多选项。

    1. mds 'allow'

    注意： Ceph 对象网关守护进程（ radosgw ）是 Ceph 存储集群的一种客户端，所以它没被表示成一种独立的 Ceph 存储集群守护进程类型。

    下面描述了各种能力。

    allow

    描述: 在守护进程的访问设置之前，仅对 MDS 隐含 rw 。

    r

    描述: 授予用户读权限，对 monitor 具有读权限才能获取 CRUSH map。

    w

    描述: 授予用户写对象的权限。

    x

    描述: 授予用户调用类方法的能力，即同时有读和写，且能在 monitor 上执行 auth 操作。

    class-read

    描述: 授予用户调用类读取方法的能力， x 的子集。

    class-write

    描述: 授予用户调用类写入方法的能力， x 的子集。

    *

    描述: 授权此用户读、写和执行某守护进程/存储池，且允许执行管理命令。

    profile osd

    描述: 授权一个用户以 OSD 身份连接其它 OSD 或 Monitor。授予 OSD 们允许其它 OSD 处理复制、心跳流量和状态报告。

    profile mds

    描述: 授权一个用户以 MDS 身份连接其它 MDS 或 Monitor。

    profile bootstrap-osd

    描述: 授权用户自举引导一个 OSD 。授予部署工具，像 ceph-disk 、ceph-deploy 等等，这样它们在自举引导 OSD 时就有权限增加密钥了。

    profile bootstrap-mds

    描述: 授权用户自举引导一个 MDS。授予例如 ceph-deploy 的部署工具，这样它们在自举引导 MDS 时就有权限增加密钥了。

    5.2 管理用户

    用户管理功能可以让 Ceph 存储集群的管理员有能力去创建、更新和删除集群的普通用户。当创建或删除一个用户时，可能需要把 keys 分发给各客户端，以便它们可以加入到 keyring 文件中。

    罗列用户

    可以使用下面的命令罗列用户：

    1. ceph auth list

    Ceph 会列出集群中的所有用户。例如，在一个只有 2 个 OSD 的简单环境中，ceph auth list 将会输入类似下面的内容：

    1. installed auth entries:
    3. osd.0
    4.         key: AQCvCbtToC6MDhAATtuT70Sl+DymPCfDSsyV4w==
    5.         caps: [mon] allow profile osd
    6.         caps: [osd] allow *
    7. osd.1
    8.         key: AQC4CbtTCFJBChAAVq5spj0ff4eHZICxIOVZeA==
    9.         caps: [mon] allow profile osd
    10.         caps: [osd] allow *
    11. client.admin
    12.         key: AQBHCbtT6APDHhAA5W00cBchwkQjh3dkKsyPjw==
    13.         caps: [mds] allow
    14.         caps: [mon] allow *
    15.         caps: [osd] allow *
    16. client.bootstrap-mds
    17.         key: AQBICbtTOK9uGBAAdbe5zcIGHZL3T/u2g6EBww==
    18.         caps: [mon] allow profile bootstrap-mds
    19. client.bootstrap-osd
    20.         key: AQBHCbtT4GxqORAADE5u7RkpCN/oo4e5W0uBtw==
    21.         caps: [mon] allow profile bootstrap-osd

    注意 TYPE.ID 这种用户表示方法，比如 osd.0 表示用户类型是 osd 且其 ID 是 0 ， client.admin 表示用户类型是 client 且其 ID 是 admin （即默认的 client.admin 用户）。另外，每个用户条目都有一个 key: <value> 对，一个或多个 caps: 条目。

    获取用户

    获取某一特定用户的信息：

    1. ceph auth get {TYPE.ID}

    例如：

    1. ceph auth get client.admin

    还可以给命令加上 -o {filename} 选项把输入保存到一个文件中。

    增加用户

    增加一个用户就是创建一个用户名（即 TYPE.ID）、一个密钥和任何包含在创建命令中的能力。有以下几种方式可以新增一个用户：

    • ceph auth add：此命令是最权威的新增用户方式。它回新建一个用户，产生一个 key ，并赋予用户任何给定的能力。
    • ceph auth get-or-create：这种方式通常是最便捷的一种，因为它的返回值是包含用户名（在方括号内）和密钥的格式。如果用户已经存在，该命令会返回密钥文件格式的用户名和密钥信息。可以使用 -o {filename} 选项把输入保存到一个文件中。
    • ceph auth get-or-create-key：该命令可以很方便地创建用户，但是只会返回用户的密钥。对于某些只需要密钥的用户（如 libvirt ）来说是很有用的。如果用户已经存在，该命令仅仅返回用户的密钥。可以使用 -o {filename} 选项把输入保存到一个文件中。

    下面是几个例子：

    1. ceph auth add client.john mon 'allow r' osd 'allow rw pool=liverpool'
    2. ceph auth get-or-create client.paul mon 'allow r' osd 'allow rw pool=liverpool'
    3. ceph auth get-or-create client.george mon 'allow r' osd 'allow rw pool=liverpool' -o george.keyring
    4. ceph auth get-or-create-key client.ringo mon 'allow r' osd 'allow rw pool=liverpool' -o ringo.key
    修改用户的能力

    ceph auth caps 命令允许你指定用户并改变用户的能力。设定新的能力会覆盖当前的能力。查看当前的能力可以使用 ceph auth get USERTYPE.USERID 命令。要增加能力，你应该在如下格式的命令中包含当前已经存在的能力：

    1. ceph auth caps USERTYPE.USERID {daemon} 'allow [r|w|x|*|...] [pool={pool-name}] [namespace={namespace-name}]' [{daemon} 'allow [r|w|x|*|...] [pool={pool-name}] [namespace={namespace-name}]']

    例如：

    1. ceph auth get client.john
    2. ceph auth caps client.john mon 'allow r' osd 'allow rw pool=liverpool'
    3. ceph auth caps client.paul mon 'allow rw' osd 'allow rwx pool=liverpool'
    4. ceph auth caps client.brian-manager mon 'allow *' osd 'allow *'

    要移除某个能力，你可能需要进行重置。如果你想取消某个用户对特定守护进程的所有访问权限，可以指定一个空的字符串。比如：

    1. ceph auth caps client.ringo mon ' ' osd ' '
    删除用户

    想要删除一个用户，可以用 ceph auth del 命令：

    1. ceph auth del {TYPE}.{ID}

    其中， {TYPE} 是 client，osd，mon 或 mds 的其中一种。{ID} 是用户的名字或守护进程的 ID 。

    打印用户的密钥

    打印某个用户的授权密钥到标准输出界面，可以执行如下命令：

    1. ceph auth print-key {TYPE}.{ID}

    其中， {TYPE} 是 client，osd，mon 或 mds 的其中一种。{ID} 是用户的名字或守护进程的 ID 。

    当需要往客户端软件中注入 Ceph 用户（如 libvirt）的密钥时，打印用户的密钥时很有用的。

    1. mount -t ceph serverhost:/ mountpoint -o name=client.user,secret=`ceph auth print-key client.user`
    导入用户

    使用 ceph auth import 命令并指定密钥文件，可以导入一个或多个用户：

    1. ceph auth import -i /path/to/keyring

    比如：

    1. sudo ceph auth import -i /etc/ceph/ceph.keyring

    5.3 密钥管理

    当你通过客户端访问 Ceph 集群时，Ceph 客户端会使用本地的 keyring 文件。默认使用下列路径和名称的 keyring 文件：

    • /etc/ceph/$cluster.$name.keyring
    • /etc/ceph/$cluster.keyring
    • /etc/ceph/keyring
    • /etc/ceph/keyring.bin

    你也可以在 ceph.conf 中另行指定 keyring 的路径，但不推荐这样做。

    $cluster 元变量是你的 Ceph 集群名称，默认名称是 ceph 。$name 元变量是用户类型和 ID 。比如用户是 client.admin，那就得到 ceph.client.admin.keyring 。

    本小节介绍如何使用 ceph-authtool 工具来从客户端管理 keyring 。

    创建密钥

    创建一个空的 keyring 文件，使用 --create-keyring 或 -C 选项。比如：

    1. ceph-authtool --create-keyring /path/to/keyring

    创建一个包含多个用户的 keyring 文件，推荐使用 $cluster.keyring 作为文件名，并存放于 /etc/ceph 目录下。这样就无需在本地的 ceph.conf 文件中指定 keyring 的路径了。

    1. sudo ceph-authtool -C /etc/ceph/ceph.keyring

    创建仅包含一个用户的 keyring 文件时，建议使用集群名、用户类型和用户名称作为文件名，并存放于 /etc/ceph 目录下。

    给密钥文件中增加用户

    为了获取某个用户的 keyring 文件，可以使用 ceph auth get 命令加 -o 选项，以 keyring 文件格式来保存输出。比如：

    1. sudo ceph auth get client.admin -o /etc/ceph/ceph.client.admin.keyring

    当你想要向 keyring 文件中导入某个用户时，可以使用 ceph-authtool 来指定目的和源 keyring 文件。比如：

    1. sudo ceph-authtool /etc/ceph/ceph.keyring --import-keyring /etc/ceph/ceph.client.admin.keyring
    创建用户

    可以在 Ceph 客户端直接创建用户、密钥和能力。然后再导入 Ceph 集群。比如：

    1. sudo ceph-authtool -n client.ringo --cap osd 'allow rwx' --cap mon 'allow rwx' /etc/ceph/ceph.keyring

    创建 keyring 文件、增加用户也可以同时进行。比如：

    1. sudo ceph-authtool -C /etc/ceph/ceph.keyring -n client.ringo --cap osd 'allow rwx' --cap mon 'allow rwx' --gen-key

    上述步骤中，新用户 client.ringo 仅存在于 keyring 文件中，还需要把新用户加入到 Ceph 集群中。

    1. sudo ceph auth add client.ringo -i /etc/ceph/ceph.keyring
    修改用户能力

    修改记录在 keyring 文件中的用户能力时，需要指定 keyring 、用户和新的能力选项。比如：

    1. sudo ceph-authtool /etc/ceph/ceph.keyring -n client.ringo --cap osd 'allow rwx' --cap mon 'allow rwx'

    更新 Ceph 存储集群的用户，你必须更新 keyring 文件中对应用户入口的信息。

    1. sudo ceph auth import -i /etc/ceph/ceph.keyring

    5.4 命令行使用方法

    Ceph 支持通过下列方式使用用户名称和密钥。

    --id | --user

    描述： Ceph 通过类型和 ID 来确定用户，如 TYPE.ID 或 client.admin, client.user1 。使用 --id 或 --user 选项指定用户的 ID，比如，指定使用 client.foo 用户：

    1. ceph --id foo --keyring /path/to/keyring health
    2. ceph --user foo --keyring /path/to/keyring health

    --name | -n

    描述： 使用 —name 或 -n 选项指定用户的全名（ TYPE.ID ），比如：

    1. ceph --name client.foo --keyring /path/to/keyring health
    2. ceph -n client.foo --keyring /path/to/keyring health

    --keyring

    描述： 指定包含一个或多个用户及其密钥的 keyring 文件路径。 --secret 选项提供同样的功能，但对 Ceph RADOS Gateway 不生效（ --secret 选项有其他的作用）。比如：

    1. sudo rbd map --id foo --keyring /path/to/keyring mypool/myimage