ClusterControl1.8.2の新しいユーザーとLDAP管理

新しいユーザー管理では、アクセス許可とアクセス制御は、読み取り（r）、書き込み（w）、および実行（x）と呼ばれる一連のアクセス制御リスト（ACL）テキストフォームによって制御されます。すべてのClusterControlオブジェクトと機能は、ディレクトリツリーの一部として構造化されています。これをCMONディレクトリツリー（CDT）と呼び、各エントリはユーザー、グループ、およびACLによって所有されます。 Linuxのファイルとディレクトリのアクセス許可に似ていると考えることができます。実際、ClusterControlアクセス制御の実装は、標準のPOSIXアクセス制御リストに従います。

例を示すために、次のコマンドを検討してください。 「s9stree」コマンドラインを使用して、クラスターのCmon Directory Tree（CDT）値を取得しました（UNIXではこれをls -alと想像してください）。この例では、以下に示すように、クラスター名は「PostgreSQL12」です（行頭の「c」で示されています）：

$ s9s tree --list --long
MODE        SIZE OWNER                      GROUP  NAME
crwxrwx---+    - system                     admins PostgreSQL 12
srwxrwxrwx     - system                     admins localhost
drwxrwxr--  1, 0 system                     admins groups
urwxr--r--     - admin                      admins admin
urwxr--r--     - dba                        admins dba
urwxr--r--     - nobody                     admins nobody
urwxr--r--     - readeruser                 admins readeruser
urwxr--r--     - s9s-error-reporter-vagrant admins s9s-error-reporter-vagrant
urwxr--r--     - system                     admins system
Total: 22 object(s) in 4 folder(s).

readeruserという読み取り専用ユーザーがいて、このユーザーがreadergroupというグループに属しているとします。リーダーユーザーとリーダーグループに読み取り権限を割り当て、CDTパスが「/ PostgreSQL12」（UNIXと同様に、常に「/」で始まる）の場合、次のように実行します。

$ s9s tree --add-acl --acl="group:readergroup:r--" "/PostgreSQL 12"
Acl is added.
$ s9s tree --add-acl --acl="user:readeruser:r--" "/PostgreSQL 12"
Acl is added.

これで、readeruserは、「PostgreSQL12」と呼ばれるデータベースクラスターの読み取り専用ユーザーとして、GUIおよびCLIを介してClusterControlにアクセスできます。上記のACL操作の例は、この記事で説明されているように、ClusterControlCLIから取得されたものであることに注意してください。 ClusterControl GUIを介して接続すると、次の新しいアクセス制御ページが表示されます。

ClusterControl GUIは、アクセス制御を処理するためのより簡単な方法を提供します。これは、権限、所有権、およびグループ化を構成するためのガイド付きアプローチを提供します。以前のバージョンと同様に、すべてのクラスターはチームによって所有されており、別のチームを指定して、読み取り、管理、または別のチームがClusterControlGUIまたはCLIインターフェイスの両方からクラスターにアクセスすることを禁止できます。

LDAP

以前のバージョン（1.8.1以前）では、LDAP認証は、一連のテーブル（dcps.ldap_settingsおよびdcps.ldap_group_roles）を介してフロントエンドコンポーネントによって処理されていました。 ClusterControl 1.8.2以降、すべてのLDAP構成とマッピングは、この構成ファイル/etc/cmon-ldap.cnf内に保存されます。

ClusterControl UIを介してLDAP設定とグループマッピングを構成することをお勧めします。このファイルを変更すると、コントローラープロセスへのリロードが必要になります。これは、UIを介してLDAPを構成するときに自動的にトリガーされます。ファイルに直接変更を加えることもできますが、次のコマンドを使用してcmonサービスを手動でリロードする必要があります。

$ systemctl restart cmon # or service cmon restart

次のスクリーンショットは、新しいLDAP詳細設定ダイアログを示しています。

以前のバージョンと比較すると、新しいLDAP実装は、Active Directory、OpenLDAP、FreeIPAなどの業界標準のディレクトリサービスをサポートするように、よりカスタマイズ可能です。また、属性マッピングもサポートしているため、電子メール、本名、ユーザー名など、ClusterControlユーザーデータベースにインポートできる値を表す属性を設定できます。

詳細については、LDAP設定ユーザーガイドをご覧ください。