12.7. 安全服务管理

安全服务 是一个 manila 实体，提取一组选项，用于为特定共享文件系统协议定义安全区，如 Active Directory 域或 Kerberos 域。安全服务包含 manila 创建加入给定域的服务器所需的所有信息。

通过使用 API，用户可以创建、更新、查看和删除安全服务。安全服务基于以下假设设计：

  • 项目提供安全服务的详细信息。
  • 管理员负责安全服务：它们配置此类安全服务的服务器端。
  • 在 manila API 中，security_service 与 share_networks 关联。
  • 共享驱动程序使用安全服务中的数据来配置新创建的共享服务器。

在创建安全服务时，您可以选择以下身份验证服务之一：

  • LDAP - 轻量级目录访问协议。用于通过 IP 网络访问和维护分布式目录信息服务的应用程序协议。
  • Kerberos - 网络身份验证协议，它基于票据，允许节点通过非安全网络进行通信，以安全的方式证明它们相互的身份。
  • Active Directory - Microsoft 为 Windows 域网络开发的目录服务。使用 LDAP、Microsoft 的 Kerberos 版本和 DNS。

Manila 允许您使用以下选项配置安全服务：

  • 项目网络中使用的 DNS IP 地址。
  • 安全服务的 IP 地址或主机名。
  • 安全服务的域。
  • 项目使用的用户或组名称。
  • 如果指定了用户名，则用户的密码。

现有安全服务实体可以与共享网络实体关联，通知 manila 关于一组共享的安全性和网络配置。您还可以查看指定共享网络的所有安全服务列表，并将它们与共享网络解除关联。

作为共享所有者的管理员和用户可以通过 IP 地址、用户、组或 TLS 证书创建使用身份验证的访问规则来管理对共享的访问规则。身份验证方法取决于您配置和使用的共享驱动程序和安全服务。然后，您可以将后端配置为使用特定的身份验证服务，该服务可以在没有 manila 和 keystone 的情况下操作客户端。

注意

不同共享驱动程序支持不同的身份验证服务。有关通过不同驱动程序支持功能的详情，请参考 https://docs.openstack.org/manila/latest/admin/share_back_ends_feature_support_mapping.html

支持某个驱动程序的特定身份验证服务并不意味着可以使用任何共享文件系统协议进行配置。支持的共享文件系统协议有 NFS、CEPHFS、CIFS、GlusterFS 和 HDFS。有关特定驱动程序及其安全服务的配置的详情，请查看驱动程序厂商的文档。

有些驱动支持安全服务，而其他驱动则不支持上述任何安全服务。例如，带有 NFS 或 CIFS 共享文件系统协议的通用驱动程序仅支持通过 IP 地址进行身份验证方法。

注意

在大多数情况下，支持 CIFS 共享文件系统协议的驱动程序可以配置为使用 Active Directory，并通过用户身份验证来管理访问。

  • 支持 GlusterFS 协议的驱动程序可用于使用 TLS 证书进行身份验证。
  • 使用支持使用 IP 地址进行 NFS 协议身份验证的驱动程序是唯一支持的选项。
  • 由于 HDFS 共享文件系统协议使用 NFS 访问，因此也可以将其配置为使用 IP 地址进行身份验证。

生产 manila 部署的建议配置是使用 CIFS 共享协议创建共享，并将其添加到 Microsoft Active Directory 目录服务中。使用这个配置，您将获得集中数据库和集成 Kerberos 和 LDAP 方法的服务。