6.2. Active Directory 및 Ceph Object Gateway 구성

프로세스

1. Ceph Object Gateway에 대한 LDAP 사용자를 만들고 binddn 을 기록합니다. Ceph 개체 게이트웨이는 ceph 사용자를 사용하므로 사용자 이름으로 ceph 를 사용하는 것이 좋습니다. 사용자에게 디렉터리를 검색할 수 있는 권한이 있어야 합니다. Ceph Object Gateway는 rgw_ldap_binddn 에 지정된 대로 이 사용자에게 바인딩합니다.

2. 사용자 생성이 작동하는지 테스트합니다. 여기서 ceph 는 People 의 사용자 ID이고 example.com 은 도메인이므로 사용자를 검색할 수 있습니다.

   # ldapsearch -x -D "uid=ceph,ou=People,dc=example,dc=com" -W -H ldaps://example.com -b "ou=People,dc=example,dc=com" -s sub 'uid=ceph'

3. 각 게이트웨이 노드에서 사용자 시크릿에 대한 파일을 생성합니다. 예를 들어 시크릿은 /etc/bindpass 가 부여된 파일에 저장할 수 있습니다. 보안을 위해 이 파일의 소유자를 ceph 사용자 및 그룹으로 변경하여 전역에서 읽을 수 없도록 합니다.

4. rgw_ldap_secret 옵션을 추가합니다.

   구문

   ceph config set client.rgw OPTION VALUE

   예제

   [ceph: root@host01 /]# ceph config set client.rgw rgw_ldap_secret /etc/bindpass

5. 바인딩 암호 파일을 Ceph Object Gateway 컨테이너에 패치하고 Ceph Object Gateway 사양을 다시 적용합니다.

   예제

   service_type: rgw
   service_id: rgw.1
   service_name: rgw.rgw.1
   placement:
     label: rgw
     extra_container_args:
     - -v
     - /etc/bindpass:/etc/bindpass

   참고

   /etc/bindpass 는 Red Hat Ceph Storage에서 자동으로 제공되지 않으며 가능한 모든 Ceph Object Gateway 인스턴스 노드에서 콘텐츠를 사용할 수 있는지 확인해야 합니다.

1. 액세스 키를 내보냅니다.

   구문

   export RGW_ACCESS_KEY_ID="USERNAME"

2. 시크릿 키를 내보냅니다.

   구문

   export RGW_SECRET_ACCESS_KEY="PASSWORD"

3. 토큰을 내보냅니다. LDAP의 경우 ldap 를 토큰 유형(ttype)으로 사용합니다.

   예제

   radosgw-token --encode --ttype=ldap

   Active Directory의 경우 ad 를 토큰 유형으로 사용합니다.

   예제

   radosgw-token --encode --ttype=ad

   결과적으로 액세스 토큰인 base-64로 인코딩된 문자열이 생성됩니다. 액세스 키 대신 S3 클라이언트에 이 액세스 토큰을 제공합니다. 시크릿 키는 더 이상 필요하지 않습니다.

4. 선택 사항: 추가 편의를 위해 S3 클라이언트에서 환경 변수를 사용하는 경우 base-64로 인코딩된 문자열을 RGW_ACCESS_KEY_ID 환경 변수로 내보냅니다.

   예제

   export RGW_ACCESS_KEY_ID="ewogICAgIlJHV19UT0tFTiI6IHsKICAgICAgICAidmVyc2lvbiI6IDEsCiAgICAgICAgInR5cGUiOiAibGRhcCIsCiAgICAgICAgImlkIjogImNlcGgiLAogICAgICAgICJrZXkiOiAiODAwI0dvcmlsbGEiCiAgICB9Cn0K"

절차.

1. RGW_ACCESS_KEY_ID 환경 변수를 사용하여 Ceph Object Gateway 클라이언트를 구성합니다. 또는 base-64로 인코딩된 문자열을 복사하여 액세스 키로 지정할 수 있습니다. 다음은 구성된 S3 클라이언트의 예입니다.

   예제

   cat .aws/credentials
   
   [default]
   aws_access_key_id = ewogICaGbnjlwe9UT0tFTiI6IHsKICAgICAgICAidmVyc2lvbiI6IDEsCiAgICAgICAgInR5cGUiOiAiYWQiLAogICAgICAgICJpZCI6ICJjZXBoIiwKICAgICAgICAia2V5IjogInBhc3M0Q2VwaCIKICAgIH0KfQo=
   aws_secret_access_key =

   참고

   시크릿 키는 더 이상 필요하지 않습니다.

2. aws s3 ls 명령을 실행하여 사용자를 확인합니다.

   예제

   [root@host01 ~]# aws s3 ls --endpoint http://host03
   
   2023-12-11 17:08:50 mybucket
   2023-12-24 14:55:44 mybucket2

3. 선택 사항: radosgw-admin 사용자 명령을 실행하여 디렉터리의 사용자를 확인할 수도 있습니다.

   예제

   [root@host01 ~]# radosgw-admin user info --uid dir1
   {
       "user_id": "dir1",
       "display_name": "dir1",
       "email": "",
       "suspended": 0,
       "max_buckets": 1000,
       "subusers": [],
       "keys": [],
       "swift_keys": [],
       "caps": [],
       "op_mask": "read, write, delete",
       "default_placement": "",
       "default_storage_class": "",
       "placement_tags": [],
       "bucket_quota": {
           "enabled": false,
           "check_on_raw": false,
           "max_size": -1,
           "max_size_kb": 0,
           "max_objects": -1
       },
       "user_quota": {
           "enabled": false,
           "check_on_raw": false,
           "max_size": -1,
           "max_size_kb": 0,
           "max_objects": -1
       },
       "temp_url_keys": [],
       "type": "ldap",
       "mfa_ids": []
   }