搜索

[12919] 2018-07-08_基于Casbin的Docker权限管理访问控制插件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-07-08_基于Casbin的Docker权限管理访问控制插件 基 于 C a s b i n 的 D o c k e r 权 限 管 理 访 问 控 制 插 件 h s l u o y z   F r e e B u f   2 0 1 8 - 0 7 - 0 8 D o c k e r 是 目 前 主 流 的 一 种 容 器 技 术 。 为 了 解 决 多 用 户 同 时 访 问 是 目 前 主 流 的 一 种 容 器 技 术 。 为 了 解 决 多 用 户 同 时 访 问 D o c k e r 时 产 生 的 安 全 问 题 ， 时 产 生 的 安 全 问 题 ， D o c k e r 设 计 了 访 问 设 计 了 访 问 控 制 插 件 （ 控 制 插 件 （ A u t h o r i z a t i o n   P l u g i n ， 见 官 方 文 档 ） 这 一 机 制 ， 通 过 对 ， 见 官 方 文 档 ） 这 一 机 制 ， 通 过 对 D o c k e r 请 求 进 行 过 滤 ， 来 实 现 对 请 求 进 行 过 滤 ， 来 实 现 对 D o c k e r 的 的 权 限 管 理 。 权 限 管 理 。 这 里 需 要 注 意 ， D o c k e r 并 没 有 自 己 设 计 一 套 权 限 管 理 机 制 ， 而 是 设 计 了 一 套 权 限 管 理 插 件 的 机 制 ， 允 许 第 三 方 的 开 发 者 自 行 设 计 权 限 管 理 的 架 构 、 模 型 、 策 略 格 式 ， 然 后 通 过 统 一 的 插 件 接 口 接 入 D o c k e r ， 为 D o c k e r 提 供 权 限 管 理 的 服 务 ， 非 常 的 灵 活 。 这 个 插 件 机 制 的 设 计 思 想 其 实 很 简 单 ， 就 是 每 当 D o c k e r   d a e m o n 接 收 到 一 个 访 问 请 求 时 ， 就 会 把 这 个 请 求 的 c o n t e x t 信 息 （ 访 问 者 、 资 源 、 动 作 三 元 组 ） 发 送 给 A u t h o r i z a t i o n   P l u g i n ， A u t h o r i z a t i o n   P l u g i n 自 己 判 断 一 下 是 否 允 许 这 个 请 求 ， 然 后 向 D o c k e r   d a e m o n 返 回 结 果 ， a l l o w   o r   d e n y ， 即 是 否 允 许 这 个 请 求 的 访 问 。 具 体 的 插 件 接 口 格 式 ， 大 家 可 以 参 考 上 面 的 文 档 ， 这 里 不 再 赘 述 。 C a s b i n （ h t t p s : / / g i t h u b . c o m / c a s b i n / c a s b i n ） 作 为 目 前 G o l a n g 语 言 中 最 主 流 的 访 问 控 制 、 权 限 管 理 开 源 库 ， 也 实 现 了 一 个 D o c k e r 的 A u t h o r i z a t i o n   P l u g i n ， 叫 做 ： C a s b i n - a u t h z - p l u g i n 。 这 里 首 先 介 绍 一 下 C a s b i n 项 目 。 C a s b i n 是 一 个 国 产 开 源 项 目 ， 专 注 于 解 决 G o 语 言 中 的 权 限 管 理 问 题 。 C a s b i n 由 北 京 大 学 罗 杨 博 士 在 2 0 1 7 年 4 月 发 起 ， 罗 杨 博 士 的 研 究 方 向 为 云 计 算 访 问 控 制 ， 目 前 已 发 表 数 十 篇 相 关 学 术 论 文 ， 曾 经 在 I C W S 、 I E E E   C L O U D 、 I C I C S 等 多 个 顶 级 学 术 会 议 进 行 论 文 宣 讲 。 C a s b i n 项 目 则 是 其 研 究 成 果 的 落 地 。 目 前 经 过 一 年 多 的 发 展 ， C a s b i n 在 G i t H u b 上 已 经 2 5 0 0 +   s t a r s ， 已 成 为 G o 语 言 A c c e s s   C o n t r o l 领 域 排 名 第 一 的 项 目 。 下 面 则 是 C a s b i n 相 关 链 接 ： 源 码 ： h t t p s : / / g i t h u b . c o m / c a s b i n / c a s b i n 官 网 ： h t t p : / / c a s b i n . o r g / 在 线 策 略 编 辑 器 ： h t t p : / / c a s b i n . o r g / e d i t o r / 下 面 列 举 了 C a s b i n 项 目 主 要 的 一 些 特 点 ： 支 持 多 语 言 ： G o   +   J a v a ， J a v a 版 本 的 叫 做 j C a s b i n ， 保 持 与 C a s b i n 一 致 的 接 口 ； 获 美 国 身 份 管 理 与 认 证 创 业 公 司   A u t h 0   （ [ 2 0 1 8 年 5 月 1 7 日 ， 该 公 司 获 得 D 轮 5 5 0 0 万 美 元 融 资 ] ； ( h t t p : / / w w w . y i d i a n z i x u n . c o m / a r t i c l e / 0 J 5 V M I 4 t ) ） 的 赞 助 ， 并 且 有 进 一 步 合 作 意 向 ； 支 持 多 种 访 问 控 制 模 型 ： A C L 、 R B A C 、 A B A C 、 R E S T f u l ； 支 持 1 6 种 策 略 存 储 插 件 （ S t o r a g e   A d a p t e r ） ； 支 持 2 种 分 布 式 插 件 （ W a t c h e r ） ； 支 持 4 种 角 色 管 理 插 件 （ R o l e   M a n a g e r ） 。 目 前 ， C a s b i n 已 在 1 9 0 + 个 开 源 项 目 获 得 应 用 ， 知 名 的 有 ： I n t e l 的 R M D 项 目 ： I n t e l 公 司 的 资 源 管 理 服 务 ， 用 来 管 理 I n t e l   C P U 相 关 的 硬 件 资 源 ；
V M w a r e 的 D i s p a t c h 项 目 ： 部 署 S e r v e r l e s s 服 务 的 应 用 框 架 平 台 ； 法 国 电 信 公 司 O r a n g e 的 G o b i s 项 目 ： 轻 量 级 A P I 网 关 项 目 。 更 详 细 的 应 用 情 况 ， 大 家 可 以 在 这 里 看 到 ： h t t p s : / / g i t h u b . c o m / c a s b i n / c a s b i n # o u r - a d o p t e r s 。 另 外 ， 在 闭 源 、 商 业 项 目 上 的 使 用 ， 因 为 无 法 统 计 ， 并 没 有 计 入 。 但 是 据 作 者 了 解 ， C a s b i n 已 经 在 C i s c o （ 思 科 ） 、 V e r i z o n （ 美 国 电 信 ） 等 公 司 得 到 大 规 模 实 际 应 用 。 以 上 是 对 C a s b i n 项 目 的 介 绍 ， 本 文 下 面 部 分 主 要 介 绍 C a s b i n 的 D o c k e r 插 件 的 用 法 。 举 个 例 子 ： 当 你 执 行 d o c k e r   i m a g e s 这 条 命 令 时 ， 其 实 你 是 执 行 了 一 条 C L I 命 令 ， 以 i m a g e s 为 参 数 执 行 了 d o c k e r 这 个 c l i e n t 。 这 个 c l i e n t 会 向 D o c k e r   d a e m o n 发 送 一 个 类 H T T P 请 求 ： 其 中 / v 1 . 2 7 / i m a g e s / j s o n 就 是 访 问 的 U R L 路 径 ， G E T 就 是 H T T P   m e t h o d 。 C a s b i n 插 件 通 过 查 询 安 全 策 略 可 以 帮 助 你 决 定 是 否 允 许 某 用 户 以 G E T 动 作 访 问 / v 1 . 2 7 / i m a g e s / j s o n 路 径 。 实 际 上 ， C a s b i n 插 件 的 本 质 就 是 做 这 样 一 个 简 单 的 事 情 。 那 么 ， 该 如 何 判 断 是 否 允 许 某 个 请 求 呢 ， 这 个 具 体 逻 辑 就 要 涉 及 到 C a s b i n 的 原 理 了 ， 在 C a s b i n 插 件 的 例 子 中 ， 提 供 了 一 个 策 略 文 件 ： b a s i c _ p o l i c y . c s v ， 这 个 文 本 文 件 只 含 有 一 行 内 容 ： 下 面 是 一 个 禁 止 访 问 的 例 子 ： 我 们 可 以 看 到 ， 当 执 行 d o c k e r   i n f o 命 令 的 时 候 ， 提 示 了 禁 止 访 问 错 误 。 这 就 说 明 ， 我 们 的 C a s b i n 插 件 产 生 了 效 果 。 C a s b i n 其 实 远 比 上 面 的 例 子 复 杂 ， 首 先 ， 可 配 置 的 内 容 就 有 两 大 块 ： 模 型 文 件 和 策 略 文 件 。 在 C a s b i n 插 件 中 ， 模 型 文 件 的 内 容 是 ： 策 略 文 件 的 内 容 是 ： 模 型 文 件 ， 可 以 理 解 为 一 套 C a s b i n 自 己 的 脚 本 语 言 ， 被 C a s b i n 解 释 执 行 ， 作 为 权 限 判 断 的 逻 辑 。 策 略 文 件 则 提 供 具 体 的 安 全 策 略 的 文 本 。 你 可 以 把 C a s b i n 理 解 为 一 个 程 序 ， 那 么 模 型 文 件 就 是 这 个 程 序 的 代 码 段 ， 策 略 文 件 就 是 这 个 程 序 的 数 据 段 。 代 码 在 执 行 过 程 中 ， 接 受 输 入 ， 并 对 数 据 进 行 读 写 ， 最 终 产 生 输 出 ， 其 实 本 质 上 C a s b i n 的 访 问 控 制 就 是 这 样 一 个 过 程 。 C a s b i n 插 件 的 安 装 步 骤 因 为 比 较 琐 碎 ， 这 里 就 不 在 介 绍 了 ， 大 家 可 以 去 G i t H u b 源 码 中 查 看 R E A D M E 文 档 即 可 ： h t t p s : / / g i t h u b . c o m / c a s b i n / c a s b i n - a u t h z - p l u g i n 最 后 ， 列 举 一 下 使 用 C a s b i n 插 件 进 行 D o c k e r 权 限 管 理 的 好 处 ： C a s b i n 权 限 管 理 灵 活 度 高 ， 可 定 制 性 强 ， 几 乎 能 满 足 任 何 苛 刻 、 复 杂 的 权 限 管 理 需 求 ， 这 样 就 省 的 开 发 者 自 己 编 写 一 / v 1 . 2 7 / i m a g e s / j s o n ,   G E T p ,   / v 1 . 2 7 / i m a g e s / j s o n ,   G E T $   d o c k e r   i m a g e s R E P O S I T O R Y                     T A G                                   I M A G E   I D                         C R E A T E D                           S I Z E h e l l o - w o r l d                   l a t e s t                             4 8 b 5 1 2 4 b 2 7 6 8                 3   m o n t h s   a g o                 1 . 8 4   k B $   d o c k e r   i n f o E r r o r   r e s p o n s e   f r o m   d a e m o n :   a u t h o r i z a t i o n   d e n i e d   b y   p l u g i n   c a s b i n - a u t h z - p l u g i n :   A c c e s s   d e n i e d   b y   c a s b i n   p l u g i n [ r e q u e s t _ d e f i n i t i o n ] r   =   o b j ,   a c t [ p o l i c y _ d e f i n i t i o n ] p   =   o b j ,   a c t [ p o l i c y _ e f f e c t ] e   =   s o m e ( w h e r e   ( p . e f t   = =   a l l o w ) ) [ m a t c h e r s ] m   =   r . o b j   = =   p . o b j   & &   r . a c t   = =   p . a c t p ,   / _ p i n g ,   G E T p ,   / v 1 . 2 7 / i m a g e s / j s o n ,   G E T
套 权 限 管 理 的 逻 辑 了 ， 方 便 开 发 者 把 精 力 集 中 在 其 他 业 务 逻 辑 的 部 分 。 C a s b i n 有 完 善 的 测 试 用 例 ， 产 生 的 结 果 正 确 性 有 保 证 。 自 己 手 写 权 限 控 制 的 逻 辑 ， 则 难 免 会 有 出 错 。 C a s b i n 应 用 广 泛 ， 基 本 支 持 了 所 有 的 G o l a n g   W e b 框 架 ， 如 B e e g o 、 G i n 、 R e v e l 、 E c h o 等 等 。 同 时 C a s b i n 还 包 含 J a v a 版 本 ： j C a s b i n 和 P H P 版 本 ： P H P - C a s b i n 。 帮 助 开 发 者 实 现 ： l e a r n   o n c e ,   u s e   e v e r y w h e r e C a s b i n 支 持 图 形 化 的 W e b 策 略 编 辑 ： C a s b i n   O n l i n e   E d i t o r   ( h t t p : / / c a s b i n . o r g / e d i t o r / ) 。 其 支 持 对 C a s b i n 模 型 和 策 略 的 编 辑 ， 并 且 支 持 语 法 高 亮 、 自 动 完 成 、 实 时 语 法 检 查 ， 在 线 模 拟 执 行 等 多 个 功 能 ， 基 本 达 到 了 I D E 的 级 别 ， 对 开 发 者 非 常 友 好 。 相 比 传 统 的 安 全 策 略 复 杂 的 配 置 过 程 ， 通 过 该 G U I 界 面 进 行 策 略 设 计 、 编 辑 ， 可 以 显 著 降 低 学 习 C a s b i n 难 度 。 下 面 是 C a s b i n   O n l i n e   E d i t o r 界 面 的 截 图 ： 最 后 ， 欢 迎 大 家 留 言 讨 论 ， 谢 谢 ！ * 本 文 作 者 ： 本 文 作 者 ： h s l u o y z ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理