17.7. 安全服务管理
安全服务 是一个 manila 实体，它抽象一组选项来为特定共享文件系统协议定义安全区，如 Active Directory 域或 Kerberos 域。安全服务包含 manila 创建加入给定域的服务器所需的所有信息。
使用 API，用户可以创建、更新、查看和删除安全服务。安全服务由以下假设设计：
- 项目提供安全服务的详细信息。
- 管理员关注安全服务：它们配置此类安全服务的服务器端。
-
在 manila API 中，
security_service与share_networks关联。 - 共享驱动程序使用安全服务中的数据来配置新创建的共享服务器。
在创建安全服务时，您可以选择以下身份验证服务之一：
- LDAP - 轻量级目录访问协议。用于通过 IP 网络访问和维护分布式目录信息服务的应用程序协议。
- Kerberos - 网络身份验证协议，以票据为基础，允许节点通过非安全网络进行通信，以安全的方式证明其身份。
- Active Directory - Microsoft 为 Windows 域网络开发的目录服务。使用 LDAP、Microsoft 的 Kerberos 版本和 DNS。
Manila 允许您使用这些选项配置安全服务：
- 在项目网络中使用的 DNS IP 地址。
- 安全服务的 IP 地址或主机名。
- 安全服务的域。
- 项目使用的用户或组名称。
- 指定用户的密码，如果您指定了用户名。
现有的安全服务实体可以与共享网络实体关联，该实体告知 manila 一组共享的安全性和网络配置。您还可以查看指定共享网络的所有安全服务列表，并将它们从共享网络中解除关联。
管理员和用户作为共享所有者可以通过 IP 地址、用户、组或 TLS 证书创建带有身份验证的访问规则来管理对共享的访问。身份验证方法取决于您配置和使用的共享驱动程序和安全服务。然后，您可以将后端配置为使用特定的身份验证服务，该服务可以在没有 manila 和 keystone 的客户端中运行。
不同共享驱动程序支持不同的身份验证服务。有关不同驱动程序支持功能的详情，请参考 https://docs.openstack.org/manila/latest/admin/share_back_ends_feature_support_mapping.html
对驱动程序的特定身份验证服务的支持并不意味着可以使用任何共享文件系统协议进行配置。支持的共享文件系统协议有 NFS、CEPHFS、CIFS、GlusterFS 和 HDFS。有关特定驱动程序及其安全服务配置的信息，请参阅驱动程序厂商的文档。
有些驱动支持安全服务，而其他驱动则不支持上述任何安全服务。例如，带有 NFS 或 CIFS 共享文件系统协议的通用驱动程序只支持通过 IP 地址进行身份验证的方法。
在大多数情况下，支持 CIFS 共享文件系统协议的驱动程序可以配置为使用 Active Directory 并通过用户身份验证管理访问权限。
- 支持 GlusterFS 协议的驱动程序可用于使用 TLS 证书进行身份验证。
- 使用支持使用 IP 地址进行 NFS 协议身份验证的驱动程序是唯一支持的选项。
- 由于 HDFS 共享文件系统协议使用 NFS 访问，因此也可以将其配置为使用 IP 地址进行身份验证。
生产 manila 部署的推荐配置是使用 CIFS 共享协议创建共享并添加到其 Microsoft Active Directory 目录服务中。使用这个配置，您将获取集中数据库，以及集成 Kerberos 和 LDAP 方法的服务。
