分布式服務(wù)Dubbo+Zookeeper安全認(rèn)證實例
前言
由于之前的服務(wù)都是在內(nèi)網(wǎng)，Zookeeper集群配置都是走的內(nèi)網(wǎng)IP，外網(wǎng)不開放相關(guān)端口。最近由于業(yè)務(wù)升級，購置了阿里云的服務(wù)，需要對外開放Zookeeper服務(wù)。
問題
Zookeeper+dubbo，如何設(shè)置安全認(rèn)證？不想讓其他服務(wù)連接Zookeeper，因為這個Zookeeper服務(wù)器在外網(wǎng)。
查詢官方文檔：
Zookeeper 是 Apacahe Hadoop 的子項目，是一個樹型的目錄服務(wù)，支持變更推送，適合作為 Dubbo 服務(wù)的注冊中心，工業(yè)強度較高，可用于生產(chǎn)環(huán)境，并推薦使用。
流程說明：
•服務(wù)提供者啟動時: 向 /dubbo/com.foo.BarService/providers 目錄下寫入自己的 URL 地址
•服務(wù)消費者啟動時: 訂閱 /dubbo/com.foo.BarService/providers 目錄下的提供者 URL 地址。并向 /dubbo/com.foo.BarService/consumers 目錄下寫入自己的 URL 地址
•監(jiān)控中心啟動時: 訂閱 /dubbo/com.foo.BarService 目錄下的所有提供者和消費者 URL 地址
支持以下功能：
•當(dāng)提供者出現(xiàn)斷電等異常停機時，注冊中心能自動刪除提供者信息
•當(dāng)注冊中心重啟時，能自動恢復(fù)注冊數(shù)據(jù)，以及訂閱請求
•當(dāng)會話過期時，能自動恢復(fù)注冊數(shù)據(jù)，以及訂閱請求
•當(dāng)設(shè)置 < dubbo:registry check="false" /> 時，記錄失敗注冊和訂閱請求，后臺定時重試
•可通過 < dubbo:registry username="admin" password="1234" /> 設(shè)置 zookeeper 登錄信息
•可通過 < dubbo:registry group="dubbo" /> 設(shè)置 zookeeper 的根節(jié)點，不設(shè)置將使用無根樹
•支持 * 號通配符 < dubbo:reference group="" version="" />，可訂閱服務(wù)的所有分組和所有版本的提供者
官網(wǎng)文檔第五條，明確說明了可以通過username和 password字段設(shè)置zookeeper 登錄信息。
以下是registry參數(shù)說明：
但是，如果在Zookeeper上通過digest方式設(shè)置ACL，然后在dubbo registry上配置相應(yīng)的用戶、密碼，服務(wù)就注冊不到Zookeeper上了，會報KeeperErrorCode = NoAuth錯誤。
但是查閱ZookeeperRegistry相關(guān)源碼并沒有發(fā)現(xiàn)相關(guān)認(rèn)證的地方，搜遍全網(wǎng)很少有問類似的問題，這個問題似乎并沒有多少人關(guān)注。
Zookeeper中的ACL
概述
傳統(tǒng)的文件系統(tǒng)中，ACL分為兩個維度，一個是屬組，一個是權(quán)限，子目錄/文件默認(rèn)繼承父目錄的ACL。而在Zookeeper中，node的ACL是沒有繼承關(guān)系的，是獨立控制的。Zookeeper的ACL，可以從三個維度來理解：一是scheme; 二是user; 三是permission，通常表示為
scheme:id:permissions
下面從這三個方面分別來介紹：
scheme: scheme對應(yīng)于采用哪種方案來進(jìn)行權(quán)限管理，zookeeper實現(xiàn)了一個pluggable的ACL方案，可以通過擴(kuò)展scheme，來擴(kuò)展ACL的機制。zookeeper-3.4.4缺省支持下面幾種scheme:
world: 它下面只有一個id, 叫anyone, world:anyone代表任何人，zookeeper中對所有人有權(quán)限的結(jié)點就是屬于world:anyone的
auth: 它不需要id, 只要是通過authentication的user都有權(quán)限（zookeeper支持通過kerberos來進(jìn)行authencation, 也支持username/password形式的authentication)
digest: 它對應(yīng)的id為username:BASE64(SHA1(password))，它需要先通過username:password形式的authentication
ip: 它對應(yīng)的id為客戶機的IP地址，設(shè)置的時候可以設(shè)置一個ip段，比如ip:192.168.1.0/16, 表示匹配前16個bit的IP段
super: 在這種scheme情況下，對應(yīng)的id擁有超級權(quán)限，可以做任何事情(cdrwa)
permission: zookeeper目前支持下面一些權(quán)限：
CREATE(c): 創(chuàng)建權(quán)限，可以在在當(dāng)前node下創(chuàng)建child node
DELETE(d): 刪除權(quán)限，可以刪除當(dāng)前的node
READ(r): 讀權(quán)限，可以獲取當(dāng)前node的數(shù)據(jù)，可以list當(dāng)前node所有的child nodes
WRITE(w): 寫權(quán)限，可以向當(dāng)前node寫數(shù)據(jù)
ADMIN(a): 管理權(quán)限，可以設(shè)置當(dāng)前node的permission
客戶端管理
我們可以通過以下命令連接客戶端進(jìn)行操作：
./zkCli.sh
幫助
[zk: localhost:2181(CONNECTED) 2] help
ZooKeeper -server host:port cmd args
connect host:port
get path [watch]
ls path [watch]
set path data [version]
rmr path
delquota [-n|-b] path
quit
printwatches on|off
create [-s] [-e] path data acl
stat path [watch]
close
ls2 path [watch]
history
listquota path
setAcl path acl
getAcl path
sync path
redo cmdno
addauth scheme auth
delete path [version]
setquota -n|-b val path
簡單操作
[zk: localhost:2181(CONNECTED) 12] ls / [dubbo, test, zookeeper] [zk: localhost:2181(CONNECTED) 13] create /itstyle data ip:192.168.1.190:cdrw Created /itstyle [zk: localhost:2181(CONNECTED) 14] getAcl /itstyle 'ip,'192.168.1.190 : cdrw
zkclient操作代碼
import java.security.NoSuchAlgorithmException;
import java.util.ArrayList;
import java.util.List;
import java.util.Map;
import org.I0Itec.zkclient.ZkClient;
import org.apache.zookeeper.ZooDefs;
import org.apache.zookeeper.data.ACL;
import org.apache.zookeeper.data.Id;
import org.apache.zookeeper.data.Stat;
import org.apache.zookeeper.server.auth.DigestAuthenticationProvider;
public class Acl {
private static final String zkAddress = "192.168.1.190:2181";
private static final String testNode = "/dubbo";
private static final String readAuth = "read-user:123456";
private static final String writeAuth = "write-user:123456";
private static final String deleteAuth = "delete-user:123456";
private static final String allAuth = "super-user:123456";
private static final String adminAuth = "admin-user:123456";
private static final String digest = "digest";
private static void initNode() throws NoSuchAlgorithmException {
ZkClient zkClient = new ZkClient(zkAddress);
System.out.println(DigestAuthenticationProvider.generateDigest(allAuth));
zkClient.addAuthInfo(digest, allAuth.getBytes());
if (zkClient.exists(testNode)) {
zkClient.delete(testNode);
System.out.println("節(jié)點刪除成功！");
}
List<ACL> acls = new ArrayList<ACL>();
acls.add(new ACL(ZooDefs.Perms.ALL, new Id(digest, DigestAuthenticationProvider.generateDigest(allAuth))));
acls.add(new ACL(ZooDefs.Perms.ALL, new Id(digest, DigestAuthenticationProvider.generateDigest(allAuth))));
acls.add(new ACL(ZooDefs.Perms.READ, new Id(digest, DigestAuthenticationProvider.generateDigest(readAuth))));
acls.add(new ACL(ZooDefs.Perms.WRITE, new Id(digest, DigestAuthenticationProvider.generateDigest(writeAuth))));
acls.add(new ACL(ZooDefs.Perms.DELETE, new Id(digest, DigestAuthenticationProvider.generateDigest(deleteAuth))));
acls.add(new ACL(ZooDefs.Perms.ADMIN, new Id(digest, DigestAuthenticationProvider.generateDigest(adminAuth))));
zkClient.createPersistent(testNode, testNode, acls);
System.out.println(zkClient.readData(testNode));
System.out.println("節(jié)點創(chuàng)建成功！");
zkClient.close();
}
private static void readTest() {
ZkClient zkClient = new ZkClient(zkAddress);
try {
System.out.println(zkClient.readData(testNode));//沒有認(rèn)證信息，讀取會出錯
} catch (Exception e) {
System.err.println(e.getMessage());
}
try {
zkClient.addAuthInfo(digest, adminAuth.getBytes());
System.out.println(zkClient.readData(testNode));//admin權(quán)限與read權(quán)限不匹配，讀取也會出錯
} catch (Exception e) {
System.err.println(e.getMessage());
}
try {
zkClient.addAuthInfo(digest, readAuth.getBytes());
System.out.println(zkClient.readData(testNode));//只有read權(quán)限的認(rèn)證信息，才能正常讀取
} catch (Exception e) {
System.err.println(e.getMessage());
}
zkClient.close();
}
private static void writeTest() {
ZkClient zkClient = new ZkClient(zkAddress);
try {
zkClient.writeData(testNode, "new-data");//沒有認(rèn)證信息，寫入會失敗
} catch (Exception e) {
System.err.println(e.getMessage());
}
try {
zkClient.addAuthInfo(digest, writeAuth.getBytes());
zkClient.writeData(testNode, "new-data");//加入認(rèn)證信息后,寫入正常
} catch (Exception e) {
System.err.println(e.getMessage());
}
try {
zkClient.addAuthInfo(digest, readAuth.getBytes());
System.out.println(zkClient.readData(testNode));//讀取新值驗證
} catch (Exception e) {
System.err.println(e.getMessage());
}
zkClient.close();
}
private static void deleteTest() {
ZkClient zkClient = new ZkClient(zkAddress);
zkClient.addAuthInfo(digest, deleteAuth.getBytes());
try {
System.out.println(zkClient.readData(testNode));
zkClient.delete(testNode);
System.out.println("節(jié)點刪除成功！");
} catch (Exception e) {
System.err.println(e.getMessage());
}
zkClient.close();
}
private static void changeACLTest() {
ZkClient zkClient = new ZkClient(zkAddress);
//注：zkClient.setAcl方法查看源碼可以發(fā)現(xiàn)，調(diào)用了readData、setAcl二個方法
//所以要修改節(jié)點的ACL屬性，必須同時具備read、admin二種權(quán)限
zkClient.addAuthInfo(digest, adminAuth.getBytes());
zkClient.addAuthInfo(digest, readAuth.getBytes());
try {
List<ACL> acls = new ArrayList<ACL>();
acls.add(new ACL(ZooDefs.Perms.ALL, new Id(digest, DigestAuthenticationProvider.generateDigest(adminAuth))));
zkClient.setAcl(testNode, acls);
Map.Entry<List<ACL>, Stat> aclResult = zkClient.getAcl(testNode);
System.out.println(aclResult.getKey());
} catch (Exception e) {
System.err.println(e.getMessage());
}
zkClient.close();
}
public static void main(String[] args) throws Exception {
initNode();
System.out.println("---------------------");
readTest();
System.out.println("---------------------");
writeTest();
System.out.println("---------------------");
changeACLTest();
System.out.println("---------------------");
deleteTest();
}
}
總結(jié)
大部分服務(wù)大都是部署在內(nèi)網(wǎng)的，基本很少對外網(wǎng)開放，然而Dubbo的zookeeper用戶權(quán)限認(rèn)證貌似真的不起作用，如果非要對外開放只能通過iptables或者firewall進(jìn)行IP Access Control，如果是阿里云服務(wù)器的話安全組也是個不錯的選擇。
以上這篇分布式服務(wù)Dubbo+Zookeeper安全認(rèn)證實例就是小編分享給大家的全部內(nèi)容了，希望能給大家一個參考，也希望大家多多支持腳本之家。
- SpringBoot中dubbo+zookeeper實現(xiàn)分布式開發(fā)的應(yīng)用詳解
- 2020最新IDEA SpringBoot整合Dubbo的實現(xiàn)(zookeeper版)
- SpringBoot系列教程之dubbo和Zookeeper集成方法
- SpringBoot整合Dubbo zookeeper過程解析
- dubbo中zookeeper請求超時問題：mybatis+spring連接mysql8.0.15的配置
- springboot使用dubbo和zookeeper代碼實例
- Dubbo無法訪問遠(yuǎn)程Zookeeper已注冊服務(wù)的問題解決方案
- 從dubbo zookeeper注冊地址提取出zookeeper地址的方法
- 使用dubbo+zookeeper+spring boot構(gòu)建服務(wù)的方法詳解
- Springboot 整合 Dubbo/ZooKeeper 實現(xiàn) SOA 案例解析
- SpringBoot+Dubbo+Zookeeper實現(xiàn)簡單分布式開發(fā)的應(yīng)用詳解
相關(guān)文章
手把手教你用Java實現(xiàn)一套簡單的鑒權(quán)服務(wù)
現(xiàn)今大部分系統(tǒng)都會有自己的鑒權(quán)服務(wù)，本文介紹了最常用的鑒權(quán)服務(wù)，就是日常用戶的登錄登出，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2021-05-05
這篇文章主要給大家介紹了關(guān)于LRU算法及Apache?LRUMap源碼解析的相關(guān)資料,文中通過實例代碼介紹的非常詳細(xì),對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2021-11-11
通過Spring Boot配置動態(tài)數(shù)據(jù)源訪問多個數(shù)據(jù)庫的實現(xiàn)代碼
這篇文章主要介紹了通過Spring Boot配置動態(tài)數(shù)據(jù)源訪問多個數(shù)據(jù)庫的實現(xiàn)代碼,需要的朋友可以參考下2018-03-03
springboot 事件監(jiān)聽的實現(xiàn)方法
這篇文章主要介紹了springboot 事件監(jiān)聽的實現(xiàn)方法，并詳細(xì)的介紹了四種監(jiān)聽方式，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2019-04-04
SpringBoot工程中Spring Security應(yīng)用實踐記錄流程分析
Spring Security是一個能夠為基于Spring的企業(yè)應(yīng)用系統(tǒng)提供聲明式的安全訪問控制解決方案的安全框架。這篇文章主要介紹了SpringBoot工程中Spring Security應(yīng)用實踐,需要的朋友可以參考下2021-09-09
SpringBoot Maven打包插件spring-boot-maven-plugin無法解析原因
spring-boot-maven-plugin是spring boot提供的maven打包插件,本文主要介紹了SpringBoot Maven打包插件spring-boot-maven-plugin無法解析原因,具有一定的參考價值,感興趣的可以了解一下2024-03-03
這篇文章主要介紹了如何獲得spring上下文的方法總結(jié),文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2020-04-04
如何使用intellij IDEA搭建Spring Boot項目
這篇文章主要介紹了如何使用intellij IDEA搭建Spring Boot項目,文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2020-07-07
IDEA 中 maven 的 Lifecycle 和Plugins&n
IDEA 主界面右側(cè) Maven 標(biāo)簽欄有同樣的命令，比如 install，既在 Plugins 中存在，也在 Lifecycle中存在，到底選哪個？二者又有什么區(qū)別呢?下面小編給大家介紹下IDEA 中 maven 的 Lifecycle 和Plugins 的區(qū)別，感興趣的朋友一起看看吧2023-03-03
這篇文章主要介紹了Java JDK17沒有源碼的問題及解決方案,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2023-11-11