4.5. ユーザーのパーミッション設定
ユーザー
hacluster 以外の特定のユーザーに、クラスターを管理するパーミッションを付与できます。個々のユーザーに付与できるパーミッションには、以下の 2 つのセットがあります。
- 「ネットワーク上でのノードアクセスのパーミッション設定」 で説明しているように、個々のユーザーが Web UI からクラスターを管理でき、ネットワークからノードに接続できる pcs コマンドを実行可能なパーミッション。ネットワーク経由でノードに接続するコマンドには、クラスターを設定するコマンド、またはクラスターからノードを追加または削除するためのコマンドが含まれます。
- 「ACL を使用したローカルパーミッションの設定」 で説明しているように、クラスター設定への読み込み専用または書き込み専用アクセスをローカルユーザーに許可するパーミッション。ネットワーク経由で接続する必要のないコマンドには、リソースの作成や制約の設定など、クラスター設定を編集するコマンドが含まれます。
両方のパーミッションセットが割り当てられている状況では、ネットワーク経由で接続するコマンドのパーミッションが最初に適用され、次にローカルノードのクラスター設定を編集するパーミッションが適用されます。ほとんどの pcs コマンドは、ネットワークアクセスを必要とせず、ネットワークパーミッションが適用されません。
4.5.1. ネットワーク上でのノードアクセスのパーミッション設定
Web UI でクラスターを管理し、ネットワークからノードに接続する pcs コマンドを実行するパーミッションを特定のユーザーに付与するには、それらのユーザーをグループ
haclient に追加します。「クラスター管理パーミッションの設定」 で説明しているように、Web UI を使用することで、これらのユーザーにパーミッションを付与することができます。
4.5.2. ACL を使用したローカルパーミッションの設定
Red Hat Enterprise Linux 7.1 より、pcs acl コマンドを使用してローカルユーザーのパーミッションを設定し、アクセス制御リスト(ACL)を使用してクラスター設定への読み取り専用アクセスまたは読み書きアクセスを許可できます。また、「ACL の設定」 で説明しているように、pcsd Web UI を使用して ACL を設定することも可能です。デフォルトでは、root ユーザーと、
haclient グループのメンバーユーザーは、クラスター設定への完全なローカル読み取り/書き込みアクセスを持ちます。
ローカルユーザーのパーミッションを設定するには、以下の 2 つの手順を実行します。
- pcs acl role create... コマンドを実行して、その ロール のパーミッションを定義するロールを作成します。
- pcs acl user create コマンドで作成したロールをユーザーに割り当てます。
以下の例では、
rouser という名前のローカルユーザーに、クラスター設定に対する読み取り専用アクセスを提供します。
- この手順では、
rouserユーザーがローカルシステムに存在し、rouserユーザーがhaclientグループのメンバーである必要があります。#
adduser rouser#usermod -a -G haclient rouser enable-aclクラスタープロパティーで Pacemaker ACL を有効にします。#
pcs property set enable-acl=true --force- cib に対して読み取り専用権限を持つ
read-onlyという名前のロールを作成します。#
pcs acl role create read-only description="Read access to cluster" read xpath /cib - pcs ACL システムで
rouserユーザーを作成し、そのユーザーに読み取り専用ロールを割り当てます。#
pcs acl user create rouser read-only - 現在の ACL を表示します。
#
pcs aclUser: rouser Roles: read-only Role: read-only Description: Read access to cluster Permission: read xpath /cib (read-only-read)
以下の例では、
wuser という名前のローカルユーザーにクラスター設定の書き込みアクセスを提供します。
- この手順では、
wuserユーザーがローカルシステムに存在し、wuserユーザーがhaclientグループのメンバーである必要があります。#
adduser wuser#usermod -a -G haclient wuser enable-aclクラスタープロパティーで Pacemaker ACL を有効にします。#
pcs property set enable-acl=true --force- cib に対して書き込みパーミッションを持つ
write-accessという名前のロールを作成します。#
pcs acl role create write-access description="Full access" write xpath /cib - pcs ACL システムで
wuserユーザーを作成し、そのユーザーにwrite-accessロールを割り当てます。#
pcs acl user create wuser write-access - 現在の ACL を表示します。
#
pcs aclUser: rouser Roles: read-only User: wuser Roles: write-access Role: read-only Description: Read access to cluster Permission: read xpath /cib (read-only-read) Role: write-access Description: Full Access Permission: write xpath /cib (write-access-write)
クラスター ACL の詳細は、pcs acl コマンドのヘルプ画面を参照してください。
