Ceph · Lección 19
¿Cómo controla cephx el acceso al cluster?
Todos los clientes deben usar la cuenta client.admin, porque cephx no permite crear usuarios con permisos distintos
Las capabilities se definen una vez para todo el cluster y se aplican por igual a cualquier usuario, sin poder acotarlas por pool
Autentica a clientes y demonios con claves guardadas en un keyring, y cada usuario recibe capabilities que limitan lo que puede hacer (por ejemplo allow rw sobre un pool concreto), aplicando el principio de menor privilegio
Cifra todos los datos guardados en los OSD con una única clave compartida por los usuarios del cluster
Ceph · Lección 19
Completa el código
Las claves se guardan en un
Revisa: en un keyring.
Ceph · Lección 19
¿Por qué dar a una aplicación un usuario limitado a un solo pool es mejor que usar client.admin?
Pista: si la aplicación se compromete, el atacante solo alcanza ese pool y no todo el cluster; client.admin tiene control total y su filtración sería crítica, así que los permisos mínimos reducen el impacto de un error o una intrusión.
✓
¡Lección completada!
Autenticación con cephx y capabilities
0
XP ganado
3
Vidas restantes