Контроль доступу на основі ролей

Mon, 01 Jan 0001 00:00:00 +0000

Огляд

Автентифікація була додана в etcd 2.1. API v3 etcd трохи змінив API функції автентифікації та інтерфейс користувача, щоб краще відповідати новій моделі даних. Цей посібник призначений для допомоги користувачам у налаштуванні базової автентифікації та контролю доступу на основі ролей в etcd v3.

Спеціальні користувачі та ролі

Існує один спеціальний користувач, root, і одна спеціальна роль, root.

Користувач `root`

Користувач root, який має повний доступ до etcd, повинен бути створений перед активацією автентифікації. Ідея користувача root полягає в адміністративних цілях: управління ролями та звичайними користувачами. Користувач root повинен мати роль root і має право змінювати будь-що всередині etcd.

Автентифікація

Mon, 01 Jan 0001 00:00:00 +0000

auth, user, role для автентифікації:

export ETCDCTL_API=3
ENDPOINTS=localhost:2379

etcdctl --endpoints=${ENDPOINTS} role add root
etcdctl --endpoints=${ENDPOINTS} role get root

etcdctl --endpoints=${ENDPOINTS} user add root
etcdctl --endpoints=${ENDPOINTS} user grant-role root root
etcdctl --endpoints=${ENDPOINTS} user get root

etcdctl --endpoints=${ENDPOINTS} role add role0
etcdctl --endpoints=${ENDPOINTS} role grant-permission role0 readwrite foo
etcdctl --endpoints=${ENDPOINTS} user add user0
etcdctl --endpoints=${ENDPOINTS} user grant-role user0 role0

etcdctl --endpoints=${ENDPOINTS} auth enable
# тепер всі клієнтські запити проходять через автентифікацію

etcdctl --endpoints=${ENDPOINTS} --user=user0:123 put foo bar
etcdctl --endpoints=${ENDPOINTS} get foo
# доступ заборонено, імʼя користувача порожнє, оскільки запит не містить автентифікаційного запиту
etcdctl --endpoints=${ENDPOINTS} --user=user0:123 get foo
# user0 може читати ключ foo
etcdctl --endpoints=${ENDPOINTS} --user=user0:123 get foo1

Примітка:

Це лише шаблон, який потрібно заповнити та оновити додатковою інформацією про аутентифікацію. Текст вище — це лише приклад коду.