分布式存储系统之Ceph集群CephX认证和授权

　　前文我们了解了Ceph集群存储池操作相关话题，回顾请参考https://www.cnblogs.com/qiuhom-1874/p/16743611.html；今天我们来聊一聊在ceph上认证和授权的相关话题；

　　我们知道ceph作为一个分布式存储系统，用户想要在其上面存储数据，首先得通过认证以后，才能正常使用ceph；那么对于ceph来讲，它是怎么认证用户的呢？除了认证，我们知道不是所有用户都能在ceph上创建存储池，删除存储池等；这也意味着每个用户都有一定的权限，在自己的权限范围内操作，ceph才算得上是一个安全的存储系统；那么ceph的认证和授权到底是怎么做的呢？

　　CephX认证机制

　　Ceph使用cephx协议对客户端进行身份认证，其过程大致是这样的；每个mon都可以对客户端进行身份验证并分发密钥；这意味着认证靠mon节点完成，不会存在单点和性能瓶颈；mon会返回用于身份验证的数据结构，其中包含获取Ceph服务时用到的session key；所谓session key就是客户端用来向mon请求所需服务的凭证；session key是通过客户端的密钥进行加密传输；当mon收到客户端认证请求后，首先生成session key，然后用客户端的密钥加密session key，然后发送给客户端，客户端用自己的密钥将其解密，拿到session key；客户端有了session key以后，它就可以用这个session key向mon请求服务，mon收到客户端的请求（携带session key），此时mon会向客户端提供一个ticket（入场卷，票据）然后用session key加密后发送给客户端；随后客户端用session key解密，拿着这个凭证到对应osd完成认证；

　　以上过程，我们需要注意，客户端的密钥是通过mon节点在创建用户帐号时就会生成，所以mon节点有对应客户端的密钥，所以通过客户端的密钥加密，客户端可以用自己的密钥解密；其次mon节点生成的session key 是有记录的，所以对于不同客户端来说，都有不同的记录；并且该session key是有时间限制的；过期即便是对应客户端，也没法正常使用；所以客户端拿着对应session key向mon请求服务，对应mon都是认可的，所以mon会发放ticket；最后我们要知道，MON和OSD都是共享客户端的密钥和session key，以及mon发放的ticket，所以客户端拿着mon发放的ticket，对应osd是认可的；这也意味着不管是那个mon节点发放的ticket，对应所有mon节点和osd都是知道的；简单讲就是集群组件之间共享同一个secret；

　　CephX身份验证MDS和OSD

　　提示：简要过程是客户端请求创建用户，mon创建用户并返回与共享密钥给客户端；客户端向mon发起认证，认证成功，mon会返回一个session key；在规定时效范围内，客户端拿着session key向mon请求ticket，mon生成ticket并用对应session加密，客户端收到对应mon返回的数据用session key解密，拿到ticket；随后客户端拿着对应当ticket去mds或者osd进行数据存取操作，对应组件会被认证通过，因为mon和mds、osd之间都是共享secret；

　　这里需要注意，CephX身份验正功能仅限制Ceph的各组件之间，它不能扩展到其它非Ceph组件；其次它并不解决数据传输加密的问题；什么意思呢？我们知道ceph的客户端接口有rbd、cephfs和radosgw；对于ceph来讲，它并不关心什么样的客户端通过rbd、cephfs、radosgw接口量访问数据；它只关心rbd、cephfs、radosgw这些客户端接口程序能够正常认证通过；简单讲就是数据最后“一公里”它不负责，至于用rbd、cephfs、radosgw这些接口的客户端是谁，怎么传输数据它管不着；

　　认证与授权相关术语

　　无论Ceph客户端是何类型，Ceph都会在存储池中将所有数据存储为对象；Ceph用户需要拥有存储池访问权限才能读取和写入数据；Ceph用户必须拥有执行权限才能使用Ceph的管理命令；

　　用户：所谓用户是指个人或系统参与者（例如应用）；通过创建用户，可以控制谁（或哪个参与者）能够访问Ceph存储集群、以及可访问的存储池及存储池中的数据；Ceph支持多种类型的用户，但可管理的用户都属于Client类型；区分用户类型的原因在于，MON、OSD和MDS等系统组件也使用cephx协议，但它们非人为客户端；通过点号来分隔用户类型和用户名，格式为TYPE.ID，例如client.admin等

　　授权和使能：Ceph基于“使能(caps)”来描述用户可针对MON、OSD或MDS使用的权限范围或级别；通用语法格式：daemon-type 'allow caps' [...]；MON使能，包括r、w、x和allow profile cap，例如：mon 'allow rwx'，以及mon 'allow profile osd'等；OSD使能包括r、w、x、class-read、class-write和profile osd；此外，OSD 使能还允许进行存储池和名称空间设置；MDS使能只需要allow，或留空；

　　使能的意义

　　allow：需先于守护进程的访问设置指定，仅对MDS表示rw之意，其它的表示字面意义；

　　r：读取权限，访问MON以检索CRUSH时依赖此使能；

　　w：对象写入权限；
　　x：调用类方法（读取和写入）的能力，以及在MON上执行auth操作的能力；
　　class-read：x能力的子集，授予用户调用类读取方法的能力；
　　class-write：x的子集，授予用户调用类写入方法的能力；
　　*：授予用户对特定守护进程/存储池的读取、写入和执行权限，以及执行管理命令的能力；

　　profile osd：授予用户以某个OSD身份连接到其他OSD或监视器的权限，授予OSD权限，使OSD能够处理复制检测信号流量和状态报告；

　　profile mds：授予用户以某个MDS身份连接到其他MDS或监视器的权限；

　　profile bootstrap-osd：授予用户引导OSD的权限，授权给部署工具，使其在引导OSD时有权添加密钥；

　　profile bootstrap-mds：授予用户引导元数据服务器的权限，授权给部署工具，使其在引导元数据服务器时有权添加密钥；

　　Ceph用户管理

　　Ceph集群管理员能够直接在Ceph集群中创建、更新和删除用户；创建用户时，可能需要将密钥分发到客户端，以便将密钥添加到密钥环；所谓密钥环，我们就可以理解为存放密钥的一个文件，该文件可以同时存放一个或多个用户的密钥信息；有点类似我们生活中的钥匙环，我们可以在上面挂一个或多个钥匙；

　　列出用户命令：ceph auth list

[root@ceph-admin ~]# ceph auth list
installed auth entries:

mds.ceph-mon02
        key: AQDT1y9jaMUZDRAA79b3XSXqBbXUlNsT0RLeiw==
        caps: [mds] allow
        caps: [mon] allow profile mds
        caps: [osd] allow rwx
osd.0
        key: AQD3+i1j5IJQCxAAOjQdvckg8TskXu7c4MbPAA==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.1
        key: AQAo7C1j+dEDEBAAAA47bD+nZQZuV4kJjnqACA==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.2
        key: AQA77C1j5ot+DhAAJ+Y1KwgI2zsxRHmTUkfing==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.3
        key: AQBM7C1jdIuHEhAAYBA9gzC4J+kZUxkMzhjq4g==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.4
        key: AQBq7C1jZrNZKhAAK+TvnPgK0jAWIwz0PYFT/g==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.5
        key: AQB57C1jVcczERAAxJ3iqvKS/2kfE4HlFQHIWQ==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.6
        key: AQCP7C1jB80KGhAA9iXzAg+9ANWjgPb2ZdWdhw==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.7
        key: AQCe7C1jbx4rNxAANOB3PPLxRXi/st1UYiTWqQ==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.8
        key: AQCz7C1jUGzQIhAAj6aTVM6rNsTO3Lp08rePzg==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
osd.9
        key: AQDA7C1jwXTrEBAATszxwOKepUHzZ5WKwIMu7w==
        caps: [mgr] allow profile osd
        caps: [mon] allow profile osd
        caps: [osd] allow *
client.admin
        key: AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps: [mds] allow *
        caps: [mgr] allow *
        caps: [mon] allow *
        caps: [osd] allow *
client.bootstrap-mds
        key: AQB94C1jRPwjJhAAZsfgne6whasyCmSCgefocw==
        caps: [mon] allow profile bootstrap-mds
client.bootstrap-mgr
        key: AQB94C1jvQQkJhAA9y2LmEvBTG0Mjew8k0ecdw==
        caps: [mon] allow profile bootstrap-mgr
client.bootstrap-osd
        key: AQB94C1jDg4kJhAAhQPCebi6JfF9HZo4q39WGA==
        caps: [mon] allow profile bootstrap-osd
client.bootstrap-rbd
        key: AQB94C1jkxYkJhAAEUjId8hdDCA67PX+SQXAYw==
        caps: [mon] allow profile bootstrap-rbd
client.bootstrap-rgw
        key: AQB94C1jPx4kJhAAXIwArGEkQ76tQG1NnJ0Wmw==
        caps: [mon] allow profile bootstrap-rgw
client.rgw.ceph-mon01
        key: AQD0zS9jI7e4BRAA7fvC/02D6j2YoGHZwveQCQ==
        caps: [mon] allow rw
        caps: [osd] allow rwx
mgr.ceph-mgr01
        key: AQDi5S1jgpYLHRAAWHJeiwwD86AVg0YzUOPCmQ==
        caps: [mds] allow *
        caps: [mon] allow profile mgr
        caps: [osd] allow *
mgr.ceph-mgr02
        key: AQDk5S1jY6tkBhAAXPIK4N+bia3W6IoqlJRehw==
        caps: [mds] allow *
        caps: [mon] allow profile mgr
        caps: [osd] allow *
mgr.ceph-mon01
        key: AQDD9C1ja0vhOBAAnUkp5RcLBkZl8qfb4qXXLw==
        caps: [mds] allow *
        caps: [mon] allow profile mgr
        caps: [osd] allow *
[root@ceph-admin ~]#

　　提示：该命令是列出集群上所有用户信息，即非人为用户和普通用户；也可以是ceph auth ls命令来列出所有用户信息；

　　检索特定用户命令格式：ceph auth get TYPE.ID或者ceph auth export TYPE.ID

[root@ceph-admin ~]# ceph auth get client.admin
exported keyring for client.admin
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[root@ceph-admin ~]# ceph auth export client.admin
export auth(auid = 18446744073709551615 key=AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA== with 4 caps)
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[root@ceph-admin ~]#

　　提示：如果我们需要将上述信息导出到文件，可以使用-o来指定文件，或者输出重定向到方式；

[root@ceph-admin ~]# ceph auth get client.admin -o client.admin.keyring
exported keyring for client.admin
[root@ceph-admin ~]# ls
ceph-deploy-ceph.log  client.admin.keyring
[root@ceph-admin ~]# cat client.admin.keyring
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[root@ceph-admin ~]# ceph auth export client.admin > client.admin.cluster.keyring
export auth(auid = 18446744073709551615 key=AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA== with 4 caps)
[root@ceph-admin ~]# ls
ceph-deploy-ceph.log  client.admin.cluster.keyring  client.admin.keyring
[root@ceph-admin ~]# cat client.admin.cluster.keyring
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[root@ceph-admin ~]#

　　添加用户命令格式：auth add <entity> {<caps> [<caps>...]}

[root@ceph-admin ~]# ceph auth add client.testuser mon 'allow r' osd 'allow rw'
added key for client.testuser
[root@ceph-admin ~]# ceph auth get client.testuser
exported keyring for client.testuser
[client.testuser]
        key = AQAoaThjCJLsBhAA8gwl/UQkjjSF+DwB6oB/wg==
        caps mon = "allow r"
        caps osd = "allow rw"
[root@ceph-admin ~]#

　　提示：ceph add 是添加用户的规范方法，它能够创建用户、生成密钥并添加指定的caps；这里需要注意我指定的用户是有type.id组成，一般普通用户都是client类型，后面的ID就是用户名称；

　　ceph auth get-or-create：简便方法，创建用户并返回密钥文件格式的密钥信息，或者在用户存在时返回用户名及密钥文件格式的密钥信息；

[root@ceph-admin ~]# ceph auth get-or-create client.testuser mon 'allow *' osd 'allow rw pool=rbdpool'
Error EINVAL: key for client.testuser exists but cap mon does not match
[root@ceph-admin ~]# ceph auth get-or-create client.testuser mon 'allow r' osd 'allow rw'       [client.testuser]
        key = AQAoaThjCJLsBhAA8gwl/UQkjjSF+DwB6oB/wg==
[root@ceph-admin ~]# ceph auth get-or-create client.tom mon 'allow *' osd 'allow rw pool=rbdpool'
[client.tom]
        key = AQBcajhj8INfChAAKKFCESxmbHFJqAwiRE4ufg==
[root@ceph-admin ~]#  ceph auth get client.tom
exported keyring for client.tom
[client.tom]
        key = AQBcajhj8INfChAAKKFCESxmbHFJqAwiRE4ufg==
        caps mon = "allow *"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：使用ceph auth get-or-create命令添加用户，如果用户存在，但授权不匹配，它会提示我们用户存在，但是权限不匹配；如果用户存在，权限信息也都匹配，则返回对应用户的key；如果用户不存在，则创建对应用并返回用户的key；

　　ceph auth get-or-create-key：简便方法，创建用户并返回密钥信息，或者在用户存在时返回密钥信息；

[root@ceph-admin ~]# ceph auth get-or-create-key client.testuser mon 'allow r' osd 'allow *' 
Error EINVAL: key for client.testuser exists but cap osd does not match
[root@ceph-admin ~]# ceph auth get-or-create-key client.testuser mon 'allow r' osd 'allow rw'
AQAoaThjCJLsBhAA8gwl/UQkjjSF+DwB6oB/wg==
[root@ceph-admin ~]# ceph auth get-or-create-key client.jerry mon 'allow r' osd 'allow rw'        
AQDDazhjLbMTIhAADsXyBkPS079vU7dqGs2E+A==
[root@ceph-admin ~]# ceph auth get client.jerry
exported keyring for client.jerry
[client.jerry]
        key = AQDDazhjLbMTIhAADsXyBkPS079vU7dqGs2E+A==
        caps mon = "allow r"
        caps osd = "allow rw"
[root@ceph-admin ~]#

　　提示：该命令和上面的get-or-create类似，都是用户存在，如果权限匹配则返回对应用户的key，如果不匹配则告诉我们用户存在，但权限不匹配；如果不存在则创建，并返回对应用户的key；不同的是返回key的格式不同；get-or-create是返回keyring文件中的格式；而get-or-create-key则返回key的值，没有key = ；

　　注意：典型的用户至少对 Ceph monitor 具有读取功能，并对 Ceph OSD 具有读取和写入功能；另外，用户的 OSD 权限通常应该限制为只能访问特定的存储池，否则，他将具有访问集群中所有存储池的权限；

　　列出用户的密钥格式命令：ceph auth print-key TYPE.ID

[root@ceph-admin ~]# ceph auth print-key client.jerry
AQDDazhjLbMTIhAADsXyBkPS079vU7dqGs2E+A==[root@ceph-admin ~]#

　　导入用户命令：ceph auth import

[root@ceph-admin ~]# ll
total 16
-rw-r--r-- 1 root root 1568 Sep 25 11:40 ceph-deploy-ceph.log
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.cluster.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.keyring
-rw-r--r-- 1 root root  164 Oct  2 00:43 client.test.keyring
[root@ceph-admin ~]# cat client.test.keyring 
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]# ceph auth get client.test
Error ENOENT: failed to find client.test in keyring
[root@ceph-admin ~]# ceph auth import -i client.test.keyring
imported keyring
[root@ceph-admin ~]# ceph auth get client.test              
exported keyring for client.test
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：从keyring文件导入用户需要用到-i选项来指定对应导入的keyring文件；

　　修改用户caps命令：ceph auth caps TYPE.ID daemon 'allow [r|w|x|*|...] [pool=pool-name] [namespace=namespace-name]' ...

[root@ceph-admin ~]# ceph auth get client.test
exported keyring for client.test
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]# ceph auth caps client.test mds 'allow rw' mgr 'allow r' mon 'allow rw'   
updated caps for client.test
[root@ceph-admin ~]# ceph auth get client.test
exported keyring for client.test
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow rw"
        caps mgr = "allow r"
        caps mon = "allow rw"
[root@ceph-admin ~]# ceph auth caps client.test mds 'allow rw' mgr 'allow r' mon 'allow rw' osd 'allow rw pool=rbdpool'
updated caps for client.test
[root@ceph-admin ~]# ceph auth get client.test
exported keyring for client.test
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow rw"
        caps mgr = "allow r"
        caps mon = "allow rw"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：该命令会覆盖用户现有权限因此建立事先使用ceph auth get TYPE.ID命令查看用户的caps；若是为添加caps，则需要先指定现有的caps；若为删除某些权限，则对应权限不指定即可；

　　删除用户命令：ceph auth del TYPE.ID

[root@ceph-admin ~]# ceph auth del client.test
updated
[root@ceph-admin ~]# ceph auth del client.tom
updated
[root@ceph-admin ~]# ceph auth del client.jerry
updated
[root@ceph-admin ~]# ceph auth del client.testuser
updated
[root@ceph-admin ~]# ceph auth get client.testuser
Error ENOENT: failed to find client.testuser in keyring
[root@ceph-admin ~]#

　　Keyring

　　客户端访问Ceph集群时，客户端会于本地查找密钥环，默认情况下，Ceph会使用以下四个密钥环名称预设密钥环；

　　• /etc/ceph/cluster-name.user-name.keyring：保存单个用户的keyring
　　• /etc/ceph/cluster.keyring：保存多个用户的keyring
　　• /etc/ceph/keyring
　　• /etc/ceph/keyring.bin

　　cluster-name是为集群名称，user-name是为用户标识（TYPE.ID）， client.admin用户的在名为ceph的集群上的密钥环文件名为ceph.client.admin.keyring；

　　管理keyring

　　创建keyring命令：ceph-authtool --create-keyring /path/to/kerying

[root@ceph-admin ~]# ceph-authtool --create-keyring ./client.abc.keyring
creating ./client.abc.keyring
[root@ceph-admin ~]# cat ./client.abc.keyring
[root@ceph-admin ~]#

　　提示：创建keyring文件，里面没有任何内容，我们需要用ceph auth add 添加用户，然后通过ceph auth get或export命令将对应用户信息导入到对应keyring文件即可；这里说一下keyring文件的命名规则，keyring文件一般应该保存于/etc/ceph目录中，以便客户端能自动查找；创建包含多个用户的keyring文件时，应该使用cluster-name.keyring作为文件名；创建仅包含单个用户的kerying文件时，应该使用cluster-name.user-name.keyring作为文件名；这个是规范的keyring命名方式；

　　将用户的keyring合并至一个统一的keyring文件中命令：ceph-authtool /etc/ceph/cluster-name.keyring --import-key /etc/ceph/cluster-name.user-name.keyring

[root@ceph-admin ~]# ll
total 16
-rw-r--r-- 1 root root 1568 Sep 25 11:40 ceph-deploy-ceph.log
-rw------- 1 root root    0 Oct  2 00:57 client.abc.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.cluster.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.keyring
-rw-r--r-- 1 root root  164 Oct  2 00:43 client.test.keyring
[root@ceph-admin ~]# cat client.test.keyring                                    
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]# ceph-authtool ./client.test.keyring --import-keyring ./client.admin.keyring  
importing contents of ./client.admin.keyring into ./client.test.keyring
[root@ceph-admin ~]# cat client.test.keyring   
[client.admin]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow *"
        caps osd = "allow *"
[client.test]
        key = AQB94C1jTO8jJhAAY4Zhy40wduyIONnRqxtkEA==
        caps mds = "allow *"
        caps mgr = "allow *"
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　使用ceph-authtool命令管理用户

　　ceph-authtool命令可直接创建用户、授予caps并创建keyring

　　命令使用帮助

[root@ceph-admin ~]# ceph-authtool -h
usage: ceph-authtool keyringfile [OPTIONS]...
where the options are:
  -l, --list                    will list all keys and capabilities present in
                                the keyring
  -p, --print-key               will print an encoded key for the specified
                                entityname. This is suitable for the
                                'mount -o secret=..' argument
  -C, --create-keyring          will create a new keyring, overwriting any
                                existing keyringfile
  -g, --gen-key                 will generate a new secret key for the
                                specified entityname
  --gen-print-key               will generate a new secret key without set it
                                to the keyringfile, prints the secret to stdout
  --import-keyring FILE         will import the content of a given keyring
                                into the keyringfile
  -n NAME, --name NAME          specify entityname to operate on
  -u AUID, --set-uid AUID       sets the auid (authenticated user id) for the
                                specified entityname
  -a BASE64, --add-key BASE64   will add an encoded key to the keyring
  --cap SUBSYSTEM CAPABILITY    will set the capability for given subsystem
  --caps CAPSFILE               will set all of capabilities associated with a
                                given key, for all subsystems
  --mode MODE                   will set the desired file mode to the keyring
                                e.g: '0644', defaults to '0600'
[root@ceph-admin ~]#

　　提示：-l或--list表示列出所有用户信息；-p表示打印对应用户的key信息，-C表示keyring文件，-g表示给指定用户生成key；-n用于指定用户名称；--cap 用于指定权限信息；--mode用于指定keyring文件的权限信息，默认是0600，即只有root或对应宿主拥有读写权限；

[root@ceph-admin ~]# ceph-authtool -C client.usera.keyring  -n client.usera --gen-key --cap mon 'allow r' --cap osd 'allow rw pool=rbdpool'
creating client.usera.keyring
[root@ceph-admin ~]# ll
total 20
-rw-r--r-- 1 root root 1568 Sep 25 11:40 ceph-deploy-ceph.log
-rw------- 1 root root    0 Oct  2 00:57 client.abc.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.cluster.keyring
-rw-r--r-- 1 root root  151 Oct  2 00:14 client.admin.keyring
-rw-r--r-- 1 root root  315 Oct  2 01:03 client.test.keyring
-rw------- 1 root root  121 Oct  2 01:25 client.usera.keyring
[root@ceph-admin ~]# ceph auth get client.usera
Error ENOENT: failed to find client.usera in keyring
[root@ceph-admin ~]# cat client.usera.keyring 
[client.usera]
        key = AQAIeDhjTnmLGhAAWgL3GqtJsPwmOD6CPbJO8Q==
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：使用这种方式添加用户，对应信息之存在于keyring文件中，并没有存在ceph集群，我们还需要将对应keyring文件中的用户信息导入到集群上；

[root@ceph-admin ~]# ceph auth add client.usera -i client.usera.keyring 
added key for client.usera
[root@ceph-admin ~]# ceph auth get client.usera
exported keyring for client.usera
[client.usera]
        key = AQAIeDhjTnmLGhAAWgL3GqtJsPwmOD6CPbJO8Q==
        caps mon = "allow r"
        caps osd = "allow rw pool=rbdpool"
[root@ceph-admin ~]#

　　提示：上述命令等同ceph auth import；