Princípios de KrbServer e LdapServer
Visão geral
Para gerenciar as permissões de controle de acesso em dados e recursos em um cluster, recomenda-se que o cluster seja instalado no modo de segurança. No modo de segurança, uma aplicação de cliente deve ser autenticada e uma sessão segura deve ser estabelecida antes que a aplicação acesse qualquer recurso no cluster. O MRS usa o KrbServer para fornecer autenticação Kerberos para todos os componentes, implementando um mecanismo de autenticação confiável.
O LdapServer oferece suporte ao protocol LDAP (Lightweight Directory Access Protocol) e permite armazenar dados de usuários e grupos de usuários para autenticação Kerberos.
Arquitetura
A função de autenticação de segurança para logon do usuário depende do Kerberos e do LDAP.
Figura 1 inclui três cenários:
- Efetuar logon no Manager Web UI do MRS
- Efetuar logon em uma IU da Web de componente
- Acessar entre componentes
|
Nome da conexão |
Descrição |
|---|---|
|
Manager |
Gerenciador de cluster. |
|
Manager WS |
WebBrowser |
|
Kerberos1 |
Serviço KrbServer (plano de gerenciamento) implementado no Manager do MRS, ou seja, Kerberos do OMS |
|
Kerberos2 |
Serviço KrbServer (plano de serviço) implementado no cluster |
|
LDAP1 |
Serviço LdapServer (plano de gerenciamento) implementado no Manager do MRS, ou seja, LDAP do OMS |
|
LDAP2 |
Serviço LdapServer (plano de serviço) implementado no cluster |
Modo de operação de dados do Kerberos1 no LDAP: as instâncias ativas e em espera do LDAP1 e as duas instâncias em espera do LDAP2 podem ser acessadas no modo de balanceamento de carga. As operações de gravação de dados podem ser executadas apenas na instância do LDAP1 ativa. As operações de leitura de dados podem ser executadas em LDAP1 ou LDAP2.
Modo de operação de dados do Kerberos2 no LDAP: as operações de leitura de dados podem ser executadas em LDAP1 e LDAP2. As operações de gravação de dados podem ser executadas apenas na instância do LDAP1 ativa.
Princípio
Autenticação de Kerberos
Leitura e gravação de dados do LDAP
Sincronização de dados do LDAP
- Sincronização de dados do LDAP do OMS antes da instalação do cluster
Figura 4 Sincronização de dados do LDAP do OMS
Direção de sincronização de dados antes da instalação do cluster: os dados são sincronizados do LDAP ativo do OMS para o LDAP em espera do OMS.
- Sincronização de dados do LDAP após a instalação do cluster
Figura 5 Sincronização de dados do LDAP
Direção da sincronização de dados após a instalação do cluster: os dados são sincronizados do LDAP do OMS ativo para o LDAP do OMS em espera, o LDAP do componente em espera e o LDAP do componente em espera.
