Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

4.5.2. 使用 ACL 设置本地权限

从红帽企业 Linux 7.1 开始,您可以使用 pcs acl 命令为本地用户设置权限,以允许通过使用访问控制列表(ACL)对集群配置进行只读或读写访问。您还可以使用 pcsd Web UI 配置 ACL,如 第 2.3.4 节 “配置 ACL” 所述。默认情况下,root 用户和属于 haclient 组成员的任何用户都拥有对集群配置的完整本地读/写访问权限。
为本地用户设置权限分为两个步骤:
  1. 执行 pcs acl 角色 create... 命令创建定义该角色权限的角色
  2. 使用 pcs acl user create 命令将您创建的角色分配给用户
以下示例步骤提供集群配置到名为 rouser 的本地用户的只读访问权限。
  1. 此流程要求本地系统上存在 rouser 用户,并且 rouser 是组 haclient 的成员。
    # adduser rouser
    # usermod -a -G haclient rouser
  2. 使用 enable-acl 集群属性启用 Pacemaker ACL。
    # pcs property set enable-acl=true --force 
  3. 为 cib 创建名为 read-only 且具有只读权限的角色。
    # pcs acl role create read-only description="Read access to cluster" read xpath /cib
  4. 在 pcs ACL 系统中创建用户 rouser,并为该用户分配 只读 角色。
    # pcs acl user create rouser read-only
  5. 查看当前的 ACL。
    # pcs acl
    User: rouser
      Roles: read-only
    Role: read-only
      Description: Read access to cluster
      Permission: read xpath /cib (read-only-read)
    
以下示例步骤提供集群配置到名为 wuser 的本地用户的写入访问权限。
  1. 此流程要求本地系统上存在 wuser 用户,并且用户 wuser 是组 haclient 的成员。
    # adduser wuser
    # usermod -a -G haclient wuser
  2. 使用 enable-acl 集群属性启用 Pacemaker ACL。
    # pcs property set enable-acl=true --force 
  3. 创建名为 write-access 的角色,其具有 cib 的写入权限。
    # pcs acl role create write-access description="Full access" write xpath /cib
  4. 在 pcs ACL 系统中创建用户 wuser,并为该用户分配 write-access 角色。
    # pcs acl user create wuser write-access
  5. 查看当前的 ACL。
    # pcs acl
    User: rouser
      Roles: read-only
    User: wuser
      Roles: write-access
    Role: read-only
      Description: Read access to cluster
      Permission: read xpath /cib (read-only-read)
    Role: write-access
      Description: Full Access
      Permission: write xpath /cib (write-access-write)
    
有关集群 ACL 的详情请参考 pcs acl 命令的帮助屏幕。