8.5. Ceph 对象网关和多因素身份验证

先决条件

• Linux 系统。
• 访问命令行 shell.

先决条件

• 一个正在运行的 Red Hat Ceph Storage 集群。
• 已安装 Ceph 对象网关。
• 在 Ceph 监控节点上具有 root 访问权限。
• 生成了用于一次性密码生成器和 Ceph 对象网关 MFA 的 secret。

流程

• 创建新的 MFA TOTP 令牌：

  语法

  radosgw-admin mfa create --uid=USERID --totp-serial=SERIAL --totp-seed=SEED --totp-seed-type=SEED_TYPE --totp-seconds=TOTP_SECONDS --totp-window=TOTP_WINDOW

  将 USERID 设置为设置 MFA 的用户名，将 SERIAL 设置为代表 TOTP 令牌 ID 的字符串，并将 SEED 设置为用于计算 TOTP 的十六进制或 base32 值。以下设置是可选的：将 SEED_TYPE 设置为 hex 或 base32，将 TOTP_SECONDS 设置为超时，或者将 TOTP_WINDOW 设置为验证令牌时要检查的 TOTP 令牌数量。

  示例

  [root@host01 ~]# radosgw-admin mfa create --uid=johndoe --totp-serial=MFAtest --totp-seed=492dedb20cf51d1405ef6a1316017e

先决条件

• 一个正在运行的 Red Hat Ceph Storage 集群。
• 已安装 Ceph 对象网关。
• 在 Ceph 监控节点上具有 root 访问权限。
• 使用 radosgw-admin mfa create 创建 MFA TOTP 令牌。

流程

• 测试 TOTP 令牌 PIN 以验证 TOTP 是否正常工作：

  语法

  radosgw-admin mfa check --uid=USERID --totp-serial=SERIAL --totp-pin=PIN

  将 USERID 设置为设置 MFA 的用户名称，将 SERIAL 设置为代表 TOTP 令牌 ID 的字符串，然后将 PIN 设置为一次性密码生成器中的最新 PIN。

  示例

  [root@host01 ~]# radosgw-admin mfa check  --uid=johndoe --totp-serial=MFAtest --totp-pin=870305
  ok

  如果您是第一次测试 PIN，则可能会失败。如果失败，请重新同步令牌。请参阅 Red Hat Ceph Storage 对象网关配置和管理指南 中的 重新同步多因素身份验证令牌。

先决条件

• 一个正在运行的 Red Hat Ceph Storage 集群。
• 已安装 Ceph 对象网关。
• 在 Ceph 监控节点上具有 root 访问权限。
• 使用 radosgw-admin mfa create 创建 MFA TOTP 令牌。

先决条件

• 一个正在运行的 Red Hat Ceph Storage 集群。
• 已安装 Ceph 对象网关。
• 在 Ceph 监控节点上具有 root 访问权限。
• 使用 radosgw-admin mfa create 创建 MFA TOTP 令牌。

流程

• 列出 MFA TOTP 令牌：

  语法

  radosgw-admin mfa list --uid=USERID

  将 USERID 设置为设置 MFA 的用户名称。

  示例

  [root@host01 ~]# radosgw-admin mfa list --uid=johndoe
  {
      "entries": [
          {
              "type": 2,
              "id": "MFAtest",
              "seed": "492dedb20cf51d1405ef6a1316017e",
              "seed_type": "hex",
              "time_ofs": 0,
              "step_size": 30,
              "window": 2
          }
      ]
  }

先决条件

• 一个正在运行的 Red Hat Ceph Storage 集群。
• 已安装 Ceph 对象网关。
• 在 Ceph 监控节点上具有 root 访问权限。
• 使用 radosgw-admin mfa create 创建 MFA TOTP 令牌。

流程

• 显示 MFA TOTP 令牌：

  语法

  radosgw-admin mfa get --uid=USERID --totp-serial=SERIAL

  将 USERID 设置为设置 MFA 的用户名，并将 SERIAL 设置为代表 TOTP 令牌 ID 的字符串。

先决条件

• 一个正在运行的 Red Hat Ceph Storage 集群。
• 已安装 Ceph 对象网关。
• 在 Ceph 监控节点上具有 root 访问权限。
• 使用 radosgw-admin mfa create 创建 MFA TOTP 令牌。