2.2. Ceph 인증

사용자를 식별하고 중간자 공격을 방지하기 위해 Ceph는 사용자와 데몬을 인증하는 cephx 인증 시스템을 제공합니다.

cephx는 인증에 공유 시크릿 키를 사용합니다. 즉, 클라이언트와 모니터 클러스터 모두 클라이언트의 secret 키 사본이 있습니다. 인증 프로토콜을 사용하면 두 당사자 모두 실제로 공개하지 않고 키 복사본이 있음을 알 수 있습니다. 이렇게 하면 상호 인증을 제공하므로 클러스터에 시크릿 키가 있고, 클러스터에 시크릿 키 사본이 있는지 확인합니다.

사용자/활성또는 Ceph 클라이언트를 호출하여 모니터에 연결합니다. Kerberos와 달리 각 모니터는 사용자를 인증하고 키를 배포할 수 있으므로 cephx 를 사용할 때 단일 장애 지점이나 병목 현상이 발생하지 않습니다. 모니터는 Ceph 서비스를 가져올 때 사용할 세션 키가 포함된 Kerberos 티켓과 유사한 인증 데이터 구조를 반환합니다. 이 세션 키는 사용자의 영구 시크릿 키로 자체적으로 암호화되므로 사용자만 Ceph 모니터에서 서비스를 요청할 수 있습니다. 그러면 클라이언트는 세션 키를 사용하여 모니터에서 원하는 서비스를 요청하고 모니터는 실제로 데이터를 처리하는 OSD에 클라이언트를 인증할 티켓을 제공합니다. Ceph 모니터 및 OSD는 시크릿을 공유하므로 클라이언트는 모니터에서 제공하는 티켓을 클러스터의 OSD 또는 메타데이터 서버와 함께 사용할 수 있습니다. Kerberos, cephx 티켓 만료와 같이 공격자는 만료된 티켓 또는 세션 키를 사용할 수 없습니다. 이러한 형태의 인증으로 공격자는 통신 매체에 대한 액세스 권한이 다른 사용자의 ID로 전달되거나 다른 사용자의 적법한 메시지를 변경하는 것을 방지할 수 있습니다.

cephx 를 사용하려면 관리자가 먼저 사용자를 설정해야 합니다. 다음 다이어그램에서 client.admin 사용자는 명령줄에서 ceph auth get-or-create-key 를 호출하여 사용자 이름 및 시크릿 키를 생성합니다. Ceph의 auth 하위 시스템은 사용자 이름과 키를 생성하고 모니터를 사용하여 사본을 저장하고 사용자의 시크릿을 client.admin 사용자로 다시 전송합니다. 즉, 클라이언트와 모니터는 시크릿 키를 공유합니다.

View larger image