【ceph学习】S3权限认证部分

2024-08-29 07:28
文章标签 学习 认证 权限 部分 s3 ceph

本文主要是介绍【ceph学习】S3权限认证部分,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

认证过程简介

认证的过程是一个对用户信息进行解析并且判断前后得到的秘钥是否一致的过程。

auth_regitry的创建

在rgw_main.cc:main()中进行初始化auth_registry对象

/*rgw_main.cc*/
/* Initialize the registry of auth strategies which will coordinate
* the dynamic reconfiguration. */
auto auth_registry = \rgw::auth::StrategyRegistry::create(g_ceph_context, store);
very_request()进行认证

当请求来临的时候,对用户信息进行分析和认证。

/* rgw_process.cc */
ldpp_dout(op, 2) << "verifying requester" << dendl;
ret = op->verify_requester(auth_registry);
  1. 首选利用用户的req_state进行申请秘钥

如下述代码中:auth_data = ver_abstractor.get_auth_data(s);通过具体的策略进行秘钥(auth_data.client_signature)的计算。然后将秘钥和一些其他参数传递到下一个函数。

/* AWSEngine类型的验证。 */
AWSEngine::result_t
AWSEngine::authenticate(const DoutPrefixProvider* dpp, const req_state* const s) const
{/* Small reminder: an ver_abstractor is allowed to throw! *//* 根据req_state生成auth_data,其中含有秘钥。便于下一步中的authenticate(*****)对比 */const auto auth_data = ver_abstractor.get_auth_data(s);if (auth_data.access_key_id.empty() ||                auth_data.client_signature.empty()) {return result_t::deny(-EINVAL);} else {/*下述函数是一个多态函数,具体选择和对应的策略一致*/return authenticate(dpp,auth_data.access_key_id,auth_data.client_signature,auth_data.session_token,auth_data.string_to_sign,auth_data.signature_factory,auth_data.completer_factory,s);}
}
  1. 再次计算秘钥,进行对比

以LocalEngine::authenticate为例进行分析,signature.compare(server_signature);

/* * 执行步骤:* 1.rgw_get_user_info_by_access_key,获取用户信息* 2.server_signature_t=signature_factory(),生成签名* 3.compare,对比* */rgw::auth::Engine::result_t
rgw::auth::s3::LocalEngine::authenticate(const DoutPrefixProvider* dpp,const boost::string_view& _access_key_id,const boost::string_view& signature,const boost::string_view& session_token,const string_to_sign_t& string_to_sign,const signature_factory_t& signature_factory,const completer_factory_t& completer_factory,const req_state* const s) const
{/* get the user info */RGWUserInfo user_info;/* TODO(rzarzynski): we need to have string-view taking variant. */const std::string access_key_id = _access_key_id.to_string();const auto iter = user_info.access_keys.find(access_key_id);const RGWAccessKey& k = iter->second;/* 由签名工厂生成一个签名 */const VersionAbstractor::server_signature_t server_signature = \signature_factory(cct, k.key, string_to_sign);auto compare = signature.compare(server_signature);/* 传进来的“签名”参数和生成的签名进行对比  */if (compare != 0) {return result_t::deny(-ERR_SIGNATURE_NO_MATCH);}/* what 意思,move的蛋疼…… */auto apl = apl_factory->create_apl_local(cct, s, user_info, k.subuser, boost::none);return result_t::grant(std::move(apl), completer_factory(k.key));
}

关键数据结构介绍

engine的结构图:

engine的结构图:

authorize的结构图:

strategy的结构图:

认证流程详细分析

1.创建策略集合

这个步骤是在rgw_main.cc:main中进行。StrategyRegistry是一个策略集合,对应了几种秘钥策略。这些策略和engine相对应,engine负责进行秘钥的计算和匹配。

  /* Initialize the registry of auth strategies which will coordinate* the dynamic reconfiguration. */auto auth_registry = \rgw::auth::StrategyRegistry::create(g_ceph_context, store);
2.验证

其中涉及多次多态选择,strategy和engine相互匹配,keystone,swift,s3分别有不同的验证体系,如果想要搞清楚具体之间的关系,还需要慢慢看!

op->verify_requester(auth_registry); //rgw_process.cc/*authorize是一个虚函数,由具体的Handler执行*/dialect_handler->authorize(this); // rgw_op.h/*其实是又是多态,具体见类分析*/RGW_Auth_S3::authorize(); //rgw_rest_s3.ccrgw::auth::Strategy::apply(dpp, auth_registry.get_s3_main(), s); //实际比较/*具体的*/auto result = auth_strategy.authenticate(dpp, s);rgw::auth::Strategy::authenticate()//还有一个匿名的调用方法,根据具体的strategy进行选择。for (const stack_item_t& kv : auth_stack)//遍历auth_stack<engine,control>engine.authenticate(dpp, s);//具体的engine进行计算认证。还是多态!AWSEngine::authenticate();/*根据req_state生成auth_data,其中含有秘钥。便于下一步中的authenticate(*****)对比*/auth_data = ver_abstractor.get_auth_data(s);/*没错!同名函数!参数不同!而且还是虚函数!!!!*/authenticate(dpp,auth_data.access_key_id,    //accesskeyauth_data.client_signature, //签名auth_data.session_token,auth_data.string_to_sign,auth_data.signature_factory, //签名工厂auth_data.completer_factory,s);/* 由签名工厂生成一个签名 */const VersionAbstractor::server_signature_t server_signature = \signature_factory(cct, k.key, string_to_sign);/* 传进来的“签名”参数和生成的签名进行对比  */auto compare = signature.compare(server_signature);

后续

个人认为:认证签名的过程属于边缘功能,但是却融合了OP、Handler和User的相互纠缠关系,真是一个错综复杂,画图分析,抽茧剥丝太难了,很难去像拎葡萄一样,一串就出来了。还需要慢慢磨~

参考文献

Amazon Simple Storage Service Developer Guide
Amazon Simple Storage Service API Reference
RGW LDAP Authentication
Ceph RGW的身份验证代码概览
Ceph浅析(中):结构、工作原理及流程

这篇关于【ceph学习】S3权限认证部分的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1117229

相关文章

HarmonyOS学习(七)——UI(五)常用布局总结

自适应布局 1.1、线性布局(LinearLayout) 通过线性容器Row和Column实现线性布局。Column容器内的子组件按照垂直方向排列,Row组件中的子组件按照水平方向排列。 属性说明space通过space参数设置主轴上子组件的间距,达到各子组件在排列上的等间距效果alignItems设置子组件在交叉轴上的对齐方式,且在各类尺寸屏幕上表现一致,其中交叉轴为垂直时,取值为Vert

Ilya-AI分享的他在OpenAI学习到的15个提示工程技巧

Ilya(不是本人,claude AI)在社交媒体上分享了他在OpenAI学习到的15个Prompt撰写技巧。 以下是详细的内容: 提示精确化:在编写提示时,力求表达清晰准确。清楚地阐述任务需求和概念定义至关重要。例:不用"分析文本",而用"判断这段话的情感倾向:积极、消极还是中性"。 快速迭代:善于快速连续调整提示。熟练的提示工程师能够灵活地进行多轮优化。例:从"总结文章"到"用

Spring Security 基于表达式的权限控制

前言 spring security 3.0已经可以使用spring el表达式来控制授权,允许在表达式中使用复杂的布尔逻辑来控制访问的权限。 常见的表达式 Spring Security可用表达式对象的基类是SecurityExpressionRoot。 表达式描述hasRole([role])用户拥有制定的角色时返回true (Spring security默认会带有ROLE_前缀),去

浅析Spring Security认证过程

类图 为了方便理解Spring Security认证流程,特意画了如下的类图,包含相关的核心认证类 概述 核心验证器 AuthenticationManager 该对象提供了认证方法的入口,接收一个Authentiaton对象作为参数; public interface AuthenticationManager {Authentication authenticate(Authenti

【前端学习】AntV G6-08 深入图形与图形分组、自定义节点、节点动画(下)

【课程链接】 AntV G6:深入图形与图形分组、自定义节点、节点动画(下)_哔哩哔哩_bilibili 本章十吾老师讲解了一个复杂的自定义节点中,应该怎样去计算和绘制图形,如何给一个图形制作不间断的动画,以及在鼠标事件之后产生动画。(有点难,需要好好理解) <!DOCTYPE html><html><head><meta charset="UTF-8"><title>06

学习hash总结

2014/1/29/   最近刚开始学hash,名字很陌生,但是hash的思想却很熟悉,以前早就做过此类的题,但是不知道这就是hash思想而已,说白了hash就是一个映射,往往灵活利用数组的下标来实现算法,hash的作用:1、判重;2、统计次数;

零基础学习Redis(10) -- zset类型命令使用

zset是有序集合,内部除了存储元素外,还会存储一个score,存储在zset中的元素会按照score的大小升序排列,不同元素的score可以重复,score相同的元素会按照元素的字典序排列。 1. zset常用命令 1.1 zadd  zadd key [NX | XX] [GT | LT]   [CH] [INCR] score member [score member ...]

【机器学习】高斯过程的基本概念和应用领域以及在python中的实例

引言 高斯过程(Gaussian Process,简称GP)是一种概率模型,用于描述一组随机变量的联合概率分布,其中任何一个有限维度的子集都具有高斯分布 文章目录 引言一、高斯过程1.1 基本定义1.1.1 随机过程1.1.2 高斯分布 1.2 高斯过程的特性1.2.1 联合高斯性1.2.2 均值函数1.2.3 协方差函数(或核函数) 1.3 核函数1.4 高斯过程回归(Gauss

【学习笔记】 陈强-机器学习-Python-Ch15 人工神经网络(1)sklearn

系列文章目录 监督学习:参数方法 【学习笔记】 陈强-机器学习-Python-Ch4 线性回归 【学习笔记】 陈强-机器学习-Python-Ch5 逻辑回归 【课后题练习】 陈强-机器学习-Python-Ch5 逻辑回归(SAheart.csv) 【学习笔记】 陈强-机器学习-Python-Ch6 多项逻辑回归 【学习笔记 及 课后题练习】 陈强-机器学习-Python-Ch7 判别分析 【学

系统架构师考试学习笔记第三篇——架构设计高级知识(20)通信系统架构设计理论与实践

本章知识考点:         第20课时主要学习通信系统架构设计的理论和工作中的实践。根据新版考试大纲,本课时知识点会涉及案例分析题(25分),而在历年考试中,案例题对该部分内容的考查并不多,虽在综合知识选择题目中经常考查,但分值也不高。本课时内容侧重于对知识点的记忆和理解,按照以往的出题规律,通信系统架构设计基础知识点多来源于教材内的基础网络设备、网络架构和教材外最新时事热点技术。本课时知识