Debian上Zookeeper的权限如何管理

Debian上Zookeeper权限管理

一 操作系统与目录权限

• 安装与运行身份
  • 安装包：sudo apt update && sudo apt install zookeeper zookeeperd
  • 运行身份：建议以专用系统用户运行（如 zookeeper:zookeeper），在 /etc/default/zookeeper 中设置：
    • ZOOKEEPER_USER=zookeeper
    • ZOOKEEPER_GROUP=zookeeper
• 目录与权限
  • 数据目录：/var/lib/zookeeper；日志目录：/var/log/zookeeper
  • 权限建议：
    • sudo mkdir -p /var/lib/zookeeper /var/log/zookeeper
    • sudo chown -R zookeeper:zookeeper /var/lib/zookeeper /var/log/zookeeper
    • sudo chmod -R 750 /var/lib/zookeeper /var/log/zookeeper
• 服务与网络
  • 重启生效：sudo systemctl restart zookeeper
  • 防火墙：sudo ufw allow 2181/tcp（仅放通必要来源IP更稳妥）

二 Zookeeper ACL权限模型与常用权限

• 权限字符与含义
  • c：创建子节点
  • r：读取节点数据与状态
  • w：写入节点数据
  • d：删除子节点
  • a：列出子节点
  • p：设置ACL
  • 常用组合：
    • cdrwa：全部权限
    • rw：读写数据
    • r：只读
• 认证与主体
  • 默认使用 digest 认证（用户名:密码的SHA1摘要），也支持 ip 或 cidr 限制
  • 示例主体：
    • world:anyone（匿名）
    • user:alice（digest）
    • ip:192.168.1.10 或 cidr:192.168.1.0/24
• 重要特性
  • 默认根节点 / 通常为 world:anyone:cdrwa，生产环境应显式收紧
  • ACL是“附加”的：创建节点时未指定ACL会继承父节点ACL，建议统一在业务根下设置并逐层细化

三 命令行ACL设置步骤

• 连接客户端
  • 本地：echo ruok | nc localhost 2181（探活）
  • 交互：sudo zookeeper-shell localhost:2181
• 常用操作
  • 查看ACL：getAcl /your/path
  • 设置只读（示例对 /app 只读）
    • 先添加用户（交互式，按提示输入两次密码）：addauth digest appuser:apppass
    • 设置ACL：setAcl /app world:anyone:r,user:appuser:r
  • 设置读写（示例对 /app 读写）
    • addauth digest appuser:apppass
    • setAcl /app world:anyone:r,user:appuser:rw
  • 基于IP/CIDR限制（示例仅内网网段可读）
    • setAcl /app ip:192.168.1.0/24:r,user:appuser:rw
  • 创建节点时直接带ACL
    • create /app “data” world:anyone:r,user:appuser:rw
• 验证
  • 另开会话，先 addauth 再 get/set/delete，验证不同主体的权限边界
  • 若未通过认证访问被拒，说明ACL生效

四 生产实践与加固建议

• 最小权限与分层
  • 以业务为根（如 /svc）设置：world:anyone 仅 r 或不给；应用账号 rw；运维账号 rwa；必要时再细分到子路径
• 认证与加密
  • 启用 SASL/Digest 统一认证；对外网或跨机房通信建议启用 SSL/TLS 加密（配置到 zoo.cfg 的 secureClientPort 等参数）
• 网络与系统
  • 仅放通 2181（及集群端口 2888/3888）到受控来源；目录与配置权限最小化；服务以 zookeeper 用户运行
• 审计与监控
  • 启用访问与ACL变更审计日志；对异常访问与ACL频繁变更设置告警

五 常见问题与排查

• 客户端报“Authentication is not valid”
  • 先执行 addauth digest user:pass 再操作；或确认 setAcl 中主体与密码摘要一致
• 节点创建后权限“变松”
  • 检查父节点ACL是否过宽；必要时在业务根显式 setAcl 并逐层核对
• 服务无法启动或目录不可写
  • 确认 /var/lib/zookeeper、/var/log/zookeeper 属主为 zookeeper:zookeeper 且权限 750；查看 /var/log/zookeeper/zookeeper.out 与 journal 日志