Red Hat Training

A Red Hat training course is available for Red Hat OpenStack Platform

10.5. 使用 manila 的安全服务

Manila 可以通过与网络身份验证协议集成来限制对文件共享的访问。每个项目都可以有自己的身份验证域，域独立于云的 Keystone 身份验证域。此项目域可用于向 OpenStack 云中运行的应用提供授权(AuthZ)服务，包括 manila。可用的身份验证协议包括 LDAP、Kerberos 和 Microsoft Active Directory 身份验证服务。

10.5.1. 安全服务简介

在创建了共享并获取其导出位置后，用户没有挂载它的权限，并使用文件操作。用户需要明确授予新共享的访问权限。

客户端身份验证和授权(authN/authZ)可与安全服务一同执行。如果共享驱动程序和后端支持，manila 可以使用 LDAP、Kerberos 或 Microsoft Active 目录。

注意

在某些情况下，需要明确指定一个安全服务，例如 NetApp、EMC 和 Windows 驱动程序需要使用 CIFS 协议创建共享。

10.5.2. 安全服务管理

安全服务 是一个 manila 实体，它抽象了一组选项，它们为特定共享文件系统协议（如 Active Directory 域或 Kerberos 域）定义安全区。安全服务包含 manila 创建加入给定域的服务器所需的所有信息。

通过使用 API，用户可以创建、更新、查看和删除安全服务。安全服务在以下假设中设计：

  • 项目提供安全服务的详情。
  • 管理员关心安全服务：它们配置此类安全服务的服务器端。
  • 在 manila API 中，security_service 与 share_networks 关联。
  • 共享驱动程序使用安全服务中的数据来配置新创建的共享服务器。

在创建安全服务时，您可以选择以下身份验证服务之一：

  • LDAP - 轻量级目录访问协议。用于通过 IP 网络访问和维护分布式目录信息服务的应用程序协议。
  • Kerberos - 在票据的基础上工作的网络身份验证协议，允许节点通过非安全网络进行通信，以安全的方式证明其身份。
  • Active Directory - Microsoft 为 Windows 域网络开发的目录服务。使用 LDAP、Microsoft 的 Kerberos 版本和 DNS。

Manila 允许您使用以下选项配置安全服务：

  • 在项目网络中使用的 DNS IP 地址。
  • 安全服务的 IP 地址或主机名。
  • 安全服务的域。
  • 项目使用的用户或组名称。
  • 如果您指定了用户名，则用户的密码。

现有的安全服务实体可以与共享网络实体关联，该实体向 manila 告知一组共享的安全性和网络配置。您还可以看到指定共享网络的所有安全服务列表，并将它们与共享网络关联。

管理员和用户作为共享所有者可以通过 IP 地址、用户、组或 TLS 证书创建通过身份验证的访问规则来管理对共享的访问。身份验证方法取决于您配置和使用的共享驱动程序和安全服务。然后，您可以将后端配置为使用特定的身份验证服务，该服务可在没有 manila 和 keystone 的情况下操作客户端。

注意

不同共享驱动程序支持不同的身份验证服务。有关支持不同驱动程序的功能的详情，请参考 https://docs.openstack.org/manila/latest/admin/share_back_ends_feature_support_mapping.html

通过驱动程序支持特定身份验证服务并不意味着可以使用任何共享文件系统协议进行配置。支持的共享文件系统协议包括 NFS、CEPHFS、CIFS、GlusterFS 和 HDFS。有关特定驱动程序及其安全服务配置的详情，请查看驱动程序厂商的文档。

有些驱动支持安全服务，而其他驱动则不支持上述任何安全服务。例如，带有 NFS 或 CIFS 共享文件系统协议的通用驱动程序只支持通过 IP 地址进行身份验证的方法。

注意

在大多数情况下，支持 CIFS 共享文件系统协议的驱动程序可以配置为使用 Active Directory 并通过用户身份验证管理访问权限。

  • 支持 GlusterFS 协议的驱动程序可使用 TLS 证书进行身份验证。
  • 使用 IP 地址支持 NFS 协议身份验证的驱动程序是唯一支持的选项。
  • 由于 HDFS 共享文件系统协议使用 NFS 访问，因此也可以将其配置为使用 IP 地址进行身份验证。

生产 manila 部署的建议配置是使用 CIFS 共享协议创建共享，并将其添加到 Microsoft Active Directory 目录服务中。使用这个配置，您将获得集成 Kerberos 和 LDAP 方法的集中式数据库和服务。