19.2. Establecimiento de permisos locales mediante ACLs
Puede utilizar el comando pcs acl para establecer los permisos de los usuarios locales para permitir el acceso de sólo lectura o de lectura-escritura a la configuración del clúster mediante el uso de listas de control de acceso (ACL).
Por defecto, las ACLs no están habilitadas. Cuando las ACLs no están habilitadas, el usuario root y cualquier usuario que sea miembro del grupo haclient en todos los nodos tiene acceso local completo de lectura/escritura a la configuración del cluster mientras que los usuarios que no son miembros de haclient no tienen acceso. Sin embargo, cuando las ACLs están activadas, incluso los usuarios que son miembros del grupo haclient tienen acceso sólo a lo que se le ha concedido a ese usuario por las ACLs.
El establecimiento de permisos para los usuarios locales es un proceso de dos pasos:
-
Ejecute el comando
pcs acl role create…para crear un role que defina los permisos para ese rol. -
Asigne el rol que creó a un usuario con el comando
pcs acl user create. Si asigna varios roles al mismo usuario, cualquier permiso dedenytiene prioridad, luegowrite, luegoread.
El siguiente procedimiento de ejemplo proporciona acceso de sólo lectura para una configuración de clúster a un usuario local llamado rouser. Tenga en cuenta que también es posible restringir el acceso sólo a determinadas partes de la configuración.
Es importante realizar este procedimiento como root o guardar todas las actualizaciones de la configuración en un archivo de trabajo que luego puede empujar a la CIB activa cuando haya terminado. De lo contrario, puede bloquearse a sí mismo para realizar más cambios. Para obtener información sobre cómo guardar las actualizaciones de configuración en un archivo de trabajo, consulte Guardar un cambio de configuración en un archivo de trabajo.
Este procedimiento requiere que el usuario
rouserexista en el sistema local y que el usuariorousersea miembro del grupohaclient.#
adduser rouser#usermod -a -G haclient rouserHabilite las ACL de Pacemaker con el comando
pcs acl enable.#
pcs acl enableCree un rol llamado
read-onlycon permisos de sólo lectura para el cib.#
pcs acl role create read-only description="Read access to cluster" read xpath /cibCree el usuario
rouseren el sistema pcs ACL y asigne a ese usuario el rolread-only.#
pcs acl user create rouser read-onlyVer las ACLs actuales.
#
pcs aclUser: rouser Roles: read-only Role: read-only Description: Read access to cluster Permission: read xpath /cib (read-only-read)
