這篇文章給大家分享的是有關(guān)分布式服務(wù)Dubbo+Zookeeper安全認(rèn)證的示例分析的內(nèi)容。小編覺(jué)得挺實(shí)用的，因此分享給大家做個(gè)參考，一起跟隨小編過(guò)來(lái)看看吧。
創(chuàng)新互聯(lián)建站服務(wù)項(xiàng)目包括廣豐網(wǎng)站建設(shè)、廣豐網(wǎng)站制作、廣豐網(wǎng)頁(yè)制作以及廣豐網(wǎng)絡(luò)營(yíng)銷策劃等。多年來(lái)，我們專注于互聯(lián)網(wǎng)行業(yè)，利用自身積累的技術(shù)優(yōu)勢(shì)、行業(yè)經(jīng)驗(yàn)、深度合作伙伴關(guān)系等，向廣大中小型企業(yè)、政府機(jī)構(gòu)等提供互聯(lián)網(wǎng)行業(yè)的解決方案，廣豐網(wǎng)站推廣取得了明顯的社會(huì)效益與經(jīng)濟(jì)效益。目前，我們服務(wù)的客戶以成都為中心已經(jīng)輻射到廣豐省份的部分城市，未來(lái)相信會(huì)繼續(xù)擴(kuò)大服務(wù)區(qū)域并繼續(xù)獲得客戶的支持與信任！
問(wèn)題
Zookeeper+dubbo，如何設(shè)置安全認(rèn)證？不想讓其他服務(wù)連接Zookeeper，因?yàn)檫@個(gè)Zookeeper服務(wù)器在外網(wǎng)。
查詢官方文檔：
Zookeeper 是 Apacahe Hadoop 的子項(xiàng)目，是一個(gè)樹(shù)型的目錄服務(wù)，支持變更推送，適合作為 Dubbo 服務(wù)的注冊(cè)中心，工業(yè)強(qiáng)度較高，可用于生產(chǎn)環(huán)境，并推薦使用。
流程說(shuō)明：
?服務(wù)提供者啟動(dòng)時(shí): 向 /dubbo/com.foo.BarService/providers 目錄下寫入自己的 URL 地址
?服務(wù)消費(fèi)者啟動(dòng)時(shí): 訂閱 /dubbo/com.foo.BarService/providers 目錄下的提供者 URL 地址。并向 /dubbo/com.foo.BarService/consumers 目錄下寫入自己的 URL 地址
?監(jiān)控中心啟動(dòng)時(shí): 訂閱 /dubbo/com.foo.BarService 目錄下的所有提供者和消費(fèi)者 URL 地址
支持以下功能：
?當(dāng)提供者出現(xiàn)斷電等異常停機(jī)時(shí)，注冊(cè)中心能自動(dòng)刪除提供者信息
?當(dāng)注冊(cè)中心重啟時(shí)，能自動(dòng)恢復(fù)注冊(cè)數(shù)據(jù)，以及訂閱請(qǐng)求
?當(dāng)會(huì)話過(guò)期時(shí)，能自動(dòng)恢復(fù)注冊(cè)數(shù)據(jù)，以及訂閱請(qǐng)求
?當(dāng)設(shè)置 < dubbo:registry check="false" /> 時(shí)，記錄失敗注冊(cè)和訂閱請(qǐng)求，后臺(tái)定時(shí)重試
?可通過(guò) < dubbo:registry username="admin" password="1234" /> 設(shè)置 zookeeper 登錄信息
?可通過(guò) < dubbo:registry group="dubbo" /> 設(shè)置 zookeeper 的根節(jié)點(diǎn)，不設(shè)置將使用無(wú)根樹(shù)
?支持 * 號(hào)通配符 < dubbo:reference group="" version="" />，可訂閱服務(wù)的所有分組和所有版本的提供者
官網(wǎng)文檔第五條，明確說(shuō)明了可以通過(guò)username和 password字段設(shè)置zookeeper 登錄信息。
以下是registry參數(shù)說(shuō)明：
但是，如果在Zookeeper上通過(guò)digest方式設(shè)置ACL，然后在dubbo registry上配置相應(yīng)的用戶、密碼，服務(wù)就注冊(cè)不到Zookeeper上了，會(huì)報(bào)KeeperErrorCode = NoAuth錯(cuò)誤。
但是查閱ZookeeperRegistry相關(guān)源碼并沒(méi)有發(fā)現(xiàn)相關(guān)認(rèn)證的地方，搜遍全網(wǎng)很少有問(wèn)類似的問(wèn)題，這個(gè)問(wèn)題似乎并沒(méi)有多少人關(guān)注。
Zookeeper中的ACL
概述
傳統(tǒng)的文件系統(tǒng)中，ACL分為兩個(gè)維度，一個(gè)是屬組，一個(gè)是權(quán)限，子目錄/文件默認(rèn)繼承父目錄的ACL。而在Zookeeper中，node的ACL是沒(méi)有繼承關(guān)系的，是獨(dú)立控制的。Zookeeper的ACL，可以從三個(gè)維度來(lái)理解：一是scheme; 二是user; 三是permission，通常表示為
scheme:id:permissions
下面從這三個(gè)方面分別來(lái)介紹：
scheme: scheme對(duì)應(yīng)于采用哪種方案來(lái)進(jìn)行權(quán)限管理，zookeeper實(shí)現(xiàn)了一個(gè)pluggable的ACL方案，可以通過(guò)擴(kuò)展scheme，來(lái)擴(kuò)展ACL的機(jī)制。zookeeper-3.4.4缺省支持下面幾種scheme:
world: 它下面只有一個(gè)id, 叫anyone, world:anyone代表任何人，zookeeper中對(duì)所有人有權(quán)限的結(jié)點(diǎn)就是屬于world:anyone的
auth: 它不需要id, 只要是通過(guò)authentication的user都有權(quán)限（zookeeper支持通過(guò)kerberos來(lái)進(jìn)行authencation, 也支持username/password形式的authentication)
digest: 它對(duì)應(yīng)的id為username:BASE64(SHA1(password))，它需要先通過(guò)username:password形式的authentication
ip: 它對(duì)應(yīng)的id為客戶機(jī)的IP地址，設(shè)置的時(shí)候可以設(shè)置一個(gè)ip段，比如ip:192.168.1.0/16, 表示匹配前16個(gè)bit的IP段
super: 在這種scheme情況下，對(duì)應(yīng)的id擁有超級(jí)權(quán)限，可以做任何事情(cdrwa)
permission: zookeeper目前支持下面一些權(quán)限：
CREATE(c): 創(chuàng)建權(quán)限，可以在在當(dāng)前node下創(chuàng)建child node
DELETE(d): 刪除權(quán)限，可以刪除當(dāng)前的node
READ(r): 讀權(quán)限，可以獲取當(dāng)前node的數(shù)據(jù)，可以list當(dāng)前node所有的child nodes
WRITE(w): 寫權(quán)限，可以向當(dāng)前node寫數(shù)據(jù)
ADMIN(a): 管理權(quán)限，可以設(shè)置當(dāng)前node的permission
客戶端管理
我們可以通過(guò)以下命令連接客戶端進(jìn)行操作：
./zkCli.sh
幫助
[zk: localhost:2181(CONNECTED) 2] help ZooKeeper -server host:port cmd args connect host:port get path [watch] ls path [watch] set path data [version] rmr path delquota [-n|-b] path quit printwatches on|off create [-s] [-e] path data acl stat path [watch] close ls2 path [watch] history listquota path setAcl path acl getAcl path sync path redo cmdno addauth scheme auth delete path [version] setquota -n|-b val path
簡(jiǎn)單操作
[zk: localhost:2181(CONNECTED) 12] ls / [dubbo, test, zookeeper] [zk: localhost:2181(CONNECTED) 13] create /itstyle data ip:192.168.1.190:cdrw Created /itstyle [zk: localhost:2181(CONNECTED) 14] getAcl /itstyle 'ip,'192.168.1.190 : cdrw
zkclient操作代碼
重慶分公司
重慶分公司
import java.security.NoSuchAlgorithmException;
import java.util.ArrayList;
import java.util.List;
import java.util.Map;
import org.I0Itec.zkclient.ZkClient;
import org.apache.zookeeper.ZooDefs;
import org.apache.zookeeper.data.ACL;
import org.apache.zookeeper.data.Id;
import org.apache.zookeeper.data.Stat;
import org.apache.zookeeper.server.auth.DigestAuthenticationProvider;
public class Acl {
private static final String zkAddress = "192.168.1.190:2181";
private static final String testNode = "/dubbo";
private static final String readAuth = "read-user:123456";
private static final String writeAuth = "write-user:123456";
private static final String deleteAuth = "delete-user:123456";
private static final String allAuth = "super-user:123456";
private static final String adminAuth = "admin-user:123456";
private static final String digest = "digest";
private static void initNode() throws NoSuchAlgorithmException {
ZkClient zkClient = new ZkClient(zkAddress);
System.out.println(DigestAuthenticationProvider.generateDigest(allAuth));
zkClient.addAuthInfo(digest, allAuth.getBytes());
if (zkClient.exists(testNode)) {
zkClient.delete(testNode);
System.out.println("節(jié)點(diǎn)刪除成功！");
}
List acls = new ArrayList();
acls.add(new ACL(ZooDefs.Perms.ALL, new Id(digest, DigestAuthenticationProvider.generateDigest(allAuth))));
acls.add(new ACL(ZooDefs.Perms.ALL, new Id(digest, DigestAuthenticationProvider.generateDigest(allAuth))));
acls.add(new ACL(ZooDefs.Perms.READ, new Id(digest, DigestAuthenticationProvider.generateDigest(readAuth))));
acls.add(new ACL(ZooDefs.Perms.WRITE, new Id(digest, DigestAuthenticationProvider.generateDigest(writeAuth))));
acls.add(new ACL(ZooDefs.Perms.DELETE, new Id(digest, DigestAuthenticationProvider.generateDigest(deleteAuth))));
acls.add(new ACL(ZooDefs.Perms.ADMIN, new Id(digest, DigestAuthenticationProvider.generateDigest(adminAuth))));
zkClient.createPersistent(testNode, testNode, acls);
System.out.println(zkClient.readData(testNode));
System.out.println("節(jié)點(diǎn)創(chuàng)建成功！");
zkClient.close();
}
private static void readTest() {
ZkClient zkClient = new ZkClient(zkAddress);
try {
System.out.println(zkClient.readData(testNode));//沒(méi)有認(rèn)證信息，讀取會(huì)出錯(cuò)
} catch (Exception e) {
System.err.println(e.getMessage());
}
try {
zkClient.addAuthInfo(digest, adminAuth.getBytes());
System.out.println(zkClient.readData(testNode));//admin權(quán)限與read權(quán)限不匹配，讀取也會(huì)出錯(cuò)
} catch (Exception e) {
System.err.println(e.getMessage());
}
try {
zkClient.addAuthInfo(digest, readAuth.getBytes());
System.out.println(zkClient.readData(testNode));//只有read權(quán)限的認(rèn)證信息，才能正常讀取
} catch (Exception e) {
System.err.println(e.getMessage());
}
zkClient.close();
}
private static void writeTest() {
ZkClient zkClient = new ZkClient(zkAddress);
try {
zkClient.writeData(testNode, "new-data");//沒(méi)有認(rèn)證信息，寫入會(huì)失敗
} catch (Exception e) {
System.err.println(e.getMessage());
}
try {
zkClient.addAuthInfo(digest, writeAuth.getBytes());
zkClient.writeData(testNode, "new-data");//加入認(rèn)證信息后,寫入正常
} catch (Exception e) {
System.err.println(e.getMessage());
}
try {
zkClient.addAuthInfo(digest, readAuth.getBytes());
System.out.println(zkClient.readData(testNode));//讀取新值驗(yàn)證
} catch (Exception e) {
System.err.println(e.getMessage());
}
zkClient.close();
}
private static void deleteTest() {
ZkClient zkClient = new ZkClient(zkAddress);
zkClient.addAuthInfo(digest, deleteAuth.getBytes());
try {
System.out.println(zkClient.readData(testNode));
zkClient.delete(testNode);
System.out.println("節(jié)點(diǎn)刪除成功！");
} catch (Exception e) {
System.err.println(e.getMessage());
}
zkClient.close();
}
private static void changeACLTest() {
ZkClient zkClient = new ZkClient(zkAddress);
//注：zkClient.setAcl方法查看源碼可以發(fā)現(xiàn)，調(diào)用了readData、setAcl二個(gè)方法
//所以要修改節(jié)點(diǎn)的ACL屬性，必須同時(shí)具備read、admin二種權(quán)限
zkClient.addAuthInfo(digest, adminAuth.getBytes());
zkClient.addAuthInfo(digest, readAuth.getBytes());
try {
List acls = new ArrayList();
acls.add(new ACL(ZooDefs.Perms.ALL, new Id(digest, DigestAuthenticationProvider.generateDigest(adminAuth))));
zkClient.setAcl(testNode, acls);
Map.Entry, Stat> aclResult = zkClient.getAcl(testNode);
System.out.println(aclResult.getKey());
} catch (Exception e) {
System.err.println(e.getMessage());
}
zkClient.close();
}
public static void main(String[] args) throws Exception {
initNode();
System.out.println("---------------------");
readTest();
System.out.println("---------------------");
writeTest();
System.out.println("---------------------");
changeACLTest();
System.out.println("---------------------");
deleteTest();
}
} 感謝各位的閱讀！關(guān)于“分布式服務(wù)Dubbo+Zookeeper安全認(rèn)證的示例分析”這篇文章就分享到這里了，希望以上內(nèi)容可以對(duì)大家有一定的幫助，讓大家可以學(xué)到更多知識(shí)，如果覺(jué)得文章不錯(cuò)，可以把它分享出去讓更多的人看到吧！
