分布式服务Dubbo + Zookeeper安全认证

鱼丸酱
1,466 阅读8分钟
原文链接： mp.weixin.qq.com

前言

由于之前的服务都是在内网，Zookeeper集群配置都是走的内网IP，外网不开放相关端口。最近由于业务升级，购置了阿里云的服务，需要对外开放Zookeeper服务。

正文

问题

Zookeeper + Dubbo，如何设置安全认证？不想让其他服务连接Zookeeper，因为这个Zookeeper服务器在外网。

(一) 查询官方文档

Zookeeper 是 Apacahe Hadoop 的子项目，是一个树型的目录服务，支持变更推送，适合作为 Dubbo 服务的注册中心，工业强度较高，可用于生产环境，并推荐使用。

(二) 流程说明

  1. 服务提供者启动时: 向 /dubbo/com.foo.BarService/providers 目录下写入自己的 URL 地址

  2. 服务消费者启动时: 订阅 /dubbo/com.foo.BarService/providers 目录下的提供者 URL 地址。并向 /dubbo/com.foo.BarService/consumers 目录下写入自己的 URL 地址

  3. 监控中心启动时: 订阅 /dubbo/com.foo.BarService 目录下的所有提供者和消费者 URL 地址

(三）支持的功能

  • 当提供者出现断电等异常停机时，注册中心能自动删除提供者信息

  • 当注册中心重启时，能自动恢复注册数据，以及订阅请求

  • 当会话过期时，能自动恢复注册数据，以及订阅请求

  • 当设置 时，记录失败注册和订阅请求，后台定时重试

  • 可通过 设置 zookeeper 登录信息

  • 可通过 设置 zookeeper 的根节点，不设置将使用无根树

  • 支持 * 号通配符 ，可订阅服务的所有分组和所有版本的提供者

官网文档第五条，明确说明了可以通过 username 和 password 字段设置 zookeeper 登录信息。

以下是 registry 参数说明：

但是，如果在Zookeeper上通过digest方式设置ACL，然后在dubbo registry上配置相应的用户、密码，服务就注册不到Zookeeper上了，会报KeeperErrorCode = NoAuth错误。

但是查阅ZookeeperRegistry相关源码并没有发现相关认证的地方，搜遍全网很少有问类似的问题，这个问题似乎并没有多少人关注。

Zookeeper中的ACL

概述

传统的文件系统中，ACL分为两个维度，一个是属组，一个是权限，子目录/文件默认继承父目录的ACL。而在Zookeeper中，node的ACL是没有继承关系的，是独立控制的。Zookeeper的ACL，可以从三个维度来理解：一是 scheme；二是user；三是permission，通常表示为

  1. scheme:id:permissions

下面从这三个方面分别来介绍：

  • scheme: scheme对应于采用哪种方案来进行权限管理，zookeeper实现了一个 pluggable 的ACL方案，可以通过扩展 scheme ，来扩展ACL的机制。zookeeper-3.4.4 缺省支持下面几种 scheme:

  • world: 它下面只有一个 id, 叫 anyone，world:anyone 代表任何人，zookeeper 中对所有人有权限的结点就是属于world:anyone。

  • auth: 它不需要id，只要是通过authentication的user都有权限（zookeeper 支持通过 kerberos 来进行 authencation 也支持 username/password 形式的authentication)。

  • digest: 它对应的 id 为 username:BASE64(SHA1(password))，它需要先通过 username:password 形式的 authentication。

  • ip: 它对应的id为客户机的IP地址，设置的时候可以设置一个 ip 段，比如 ip:192.168.1.0/16，表示匹配前16个 bit 的 IP 段。

  • super: 在这种scheme情况下，对应的id拥有超级权限，可以做任何事情(cdrwa)。

  • permission: zookeeper目前支持下面一些权限：

CREATE(c): 创建权限，可以在在当前node下创建child node DELETE(d): 删除权限，可以删除当前的node READ(r): 读权限，可以获取当前node的数据，可以list当前node所有的child nodes WRITE(w): 写权限，可以向当前node写数据 ADMIN(a): 管理权限，可以设置当前node的permission

客户端管理

我们可以通过以下命令连接客户端进行操作：

  1. ./zkCli.sh

帮助

  1. [zk: localhost:2181(CONNECTED) 2] help
  2. ZooKeeper -server host:port cmd args
  3.         connect host:port
  4.         get path [watch]
  5.         ls path [watch]
  6.         set path data [version]
  7.         rmr path
  8.         delquota [-n|-b] path
  9.         quit 
  10.         printwatches on|off
  11.         create [-s] [-e] path data acl
  12.         stat path [watch]
  13.         close 
  14.         ls2 path [watch]
  15.         history 
  16.         listquota path
  17.         setAcl path acl
  18.         getAcl path
  19.         sync path
  20.         redo cmdno
  21.         addauth scheme auth
  22.         delete path [version]
  23.         setquota -n|-b val path

简单操作

  1. [zk: localhost:2181(CONNECTED) 12] ls /
  2. [dubbo, test, zookeeper]
  3. [zk: localhost:2181(CONNECTED) 13] create /itstyle  data ip:192.168.1.190:cdrw
  4. Created /itstyle
  5. [zk: localhost:2181(CONNECTED) 14] getAcl /itstyle
  6. 'ip,'192.168.1.190
  7. : cdrw

zkclient操作代码

  1. import java.security.NoSuchAlgorithmException;
  2. import java.util.ArrayList;
  3. import java.util.List;
  4. import java.util.Map;
  6. import org.I0Itec.zkclient.ZkClient;
  7. import org.apache.zookeeper.ZooDefs;
  8. import org.apache.zookeeper.data.ACL;
  9. import org.apache.zookeeper.data.Id;
  10. import org.apache.zookeeper.data.Stat;
  11. import org.apache.zookeeper.server.auth.DigestAuthenticationProvider;
  13. public class Acl {
  14.     private static final String zkAddress = "192.168.1.190:2181";  
  15.     private static final String testNode = "/dubbo";  
  16.     private static final String readAuth = "read-user:123456";  
  17.     private static final String writeAuth = "write-user:123456";  
  18.     private static final String deleteAuth = "delete-user:123456";  
  19.     private static final String allAuth = "super-user:123456";  
  20.     private static final String adminAuth = "admin-user:123456";  
  21.     private static final String digest = "digest";  
  23.     private static void initNode() throws NoSuchAlgorithmException {  
  24.         ZkClient zkClient = new ZkClient(zkAddress);  
  25.         System.out.println(DigestAuthenticationProvider.generateDigest(allAuth));
  26.         zkClient.addAuthInfo(digest, allAuth.getBytes());  
  27.         if (zkClient.exists(testNode)) {  
  28.             zkClient.delete(testNode);  
  29.             System.out.println("节点删除成功！");  
  30.         }  
  32.         List<ACL> acls = new ArrayList<ACL>();  
  33.         acls.add(new ACL(ZooDefs.Perms.ALL, new Id(digest, DigestAuthenticationProvider.generateDigest(allAuth))));
  34.         acls.add(new ACL(ZooDefs.Perms.ALL, new Id(digest, DigestAuthenticationProvider.generateDigest(allAuth))));  
  35.         acls.add(new ACL(ZooDefs.Perms.READ, new Id(digest, DigestAuthenticationProvider.generateDigest(readAuth))));  
  36.         acls.add(new ACL(ZooDefs.Perms.WRITE, new Id(digest, DigestAuthenticationProvider.generateDigest(writeAuth))));  
  37.         acls.add(new ACL(ZooDefs.Perms.DELETE, new Id(digest, DigestAuthenticationProvider.generateDigest(deleteAuth))));  
  38.         acls.add(new ACL(ZooDefs.Perms.ADMIN, new Id(digest, DigestAuthenticationProvider.generateDigest(adminAuth))));  
  39.         zkClient.createPersistent(testNode, testNode, acls);  
  41.         System.out.println(zkClient.readData(testNode));  
  42.         System.out.println("节点创建成功！");  
  43.         zkClient.close();  
  44.     }  
  46.     private static void readTest() {  
  47.         ZkClient zkClient = new ZkClient(zkAddress);  
  48.         try {  
  49.             System.out.println(zkClient.readData(testNode));//没有认证信息，读取会出错  
  50.         } catch (Exception e) {  
  51.             System.err.println(e.getMessage());  
  52.         }  
  54.         try {  
  55.             zkClient.addAuthInfo(digest, adminAuth.getBytes());  
  56.             System.out.println(zkClient.readData(testNode));//admin权限与read权限不匹配，读取也会出错  
  57.         } catch (Exception e) {  
  58.             System.err.println(e.getMessage());  
  59.         }  
  61.         try {  
  62.             zkClient.addAuthInfo(digest, readAuth.getBytes());  
  63.             System.out.println(zkClient.readData(testNode));//只有read权限的认证信息，才能正常读取  
  64.         } catch (Exception e) {  
  65.             System.err.println(e.getMessage());  
  66.         }  
  68.         zkClient.close();  
  69.     }  
  71.     private static void writeTest() {  
  72.         ZkClient zkClient = new ZkClient(zkAddress);  
  74.         try {  
  75.             zkClient.writeData(testNode, "new-data");//没有认证信息，写入会失败  
  76.         } catch (Exception e) {  
  77.             System.err.println(e.getMessage());  
  78.         }  
  80.         try {  
  81.             zkClient.addAuthInfo(digest, writeAuth.getBytes());  
  82.             zkClient.writeData(testNode, "new-data");//加入认证信息后,写入正常  
  83.         } catch (Exception e) {  
  84.             System.err.println(e.getMessage());  
  85.         }  
  87.         try {  
  88.             zkClient.addAuthInfo(digest, readAuth.getBytes());  
  89.             System.out.println(zkClient.readData(testNode));//读取新值验证  
  90.         } catch (Exception e) {  
  91.             System.err.println(e.getMessage());  
  92.         }  
  94.         zkClient.close();  
  95.     }  
  97.     private static void deleteTest() {  
  98.         ZkClient zkClient = new ZkClient(zkAddress);  
  99.         zkClient.addAuthInfo(digest, deleteAuth.getBytes());  
  100.         try {  
  101.             System.out.println(zkClient.readData(testNode));  
  102.             zkClient.delete(testNode);  
  103.             System.out.println("节点删除成功！");  
  104.         } catch (Exception e) {  
  105.             System.err.println(e.getMessage());  
  106.         }  
  107.         zkClient.close();  
  108.     }  
  110.     private static void changeACLTest() {  
  111.         ZkClient zkClient = new ZkClient(zkAddress);  
  112.         //注：zkClient.setAcl方法查看源码可以发现，调用了readData、setAcl二个方法  
  113.         //所以要修改节点的ACL属性，必须同时具备read、admin二种权限  
  114.         zkClient.addAuthInfo(digest, adminAuth.getBytes());  
  115.         zkClient.addAuthInfo(digest, readAuth.getBytes());  
  116.         try {  
  117.             List<ACL> acls = new ArrayList<ACL>();  
  118.             acls.add(new ACL(ZooDefs.Perms.ALL, new Id(digest, DigestAuthenticationProvider.generateDigest(adminAuth))));  
  119.             zkClient.setAcl(testNode, acls);  
  120.             Map.Entry<List<ACL>, Stat> aclResult = zkClient.getAcl(testNode);  
  121.             System.out.println(aclResult.getKey());  
  122.         } catch (Exception e) {  
  123.             System.err.println(e.getMessage());  
  124.         }  
  125.         zkClient.close();  
  126.     }  
  128.     public static void main(String[] args) throws Exception {
  129.         initNode();
  130.         System.out.println("---------------------");
  131.         readTest();
  132.         System.out.println("---------------------");
  133.         writeTest();
  134.         System.out.println("---------------------");
  135.         changeACLTest();
  136.         System.out.println("---------------------");
  137.         deleteTest();  
  138.     }  
  139. }

总结

大部分服务大都是部署在内网的，基本很少对外网开放，然而 Dubbo 的 zookeeper 用户权限认证貌似真的不起作用，如果非要对外开放只能通过 iptables 或者 firewall 进行 IP Access Control，如果是阿里云服务器的话安全组也是个不错的选择。

欢迎关注技术公众号： 零壹技术栈

本帐号将持续分享后端技术干货，包括虚拟机基础，多线程编程，高性能框架，异步、缓存和消息中间件，分布式和微服务，架构学习和进阶等学习资料和文章。

avatar
文章
阅读
粉丝
相关推荐
深入理解ZooKeeper分布式锁
671阅读
 · 
3点赞
Zookeeper如何实现分布式锁
701阅读
 · 
2点赞
Spring Boot整合Dubbo+Zookeeper实现RPC调用
1.2k阅读
 · 
9点赞
基于Zookeeper实现分布式分片算法
1.0k阅读
 · 
3点赞
图解Redis和Zookeeper分布式锁 | 京东云技术团队
2.9k阅读
 · 
57点赞
Spring Boot 整合Dubbo + Zookeeper 实现分布式 消费者与服务者的业务调用
4.9k阅读
 · 
35点赞
Zookeeper原理和Dubbo中的作用
1.3k阅读
 · 
4点赞
基于Zookeeper实现分布式爬虫监控
1.8k阅读
 · 
11点赞
Dubbo 中 Zookeeper 注册中心原理分析
1.1k阅读
 · 
52点赞
zookeeper+kafka
5.6k阅读
 · 
2点赞

友情链接：