ECS: CAS 클라이언트 IP 제한

소개:

• 이 기능은 고객이 CAS 버킷에 액세스하지 못하도록 클라이언트 IP를 제한하고자 할 때 사용할 수 있습니다. 제한 목록에 설정된 IP만 관련 사용자에 액세스할 수 있습니다. 
• 기본적으로 사용자에 대해 설정된 제한은 없습니다. 
• CAS 사용자 IP 제한은 모든 VDC에서 사용자에게 적용됩니다.
• 사용자의 기본 IP 제한은 10이며 구성할 수 있습니다. 

CAS 클라이언트 IP 제한 구성 단계:

1. CAS 사용자 생성
2. 사용자에게 액세스 권한을 제공하려는 IP 목록을 사용하여 .xml 파일을 만듭니다. CAS 사용자에 대한 액세스를 시도하는 다른 IP는 실패해야 합니다. FP_AUTHENTICATION_FAILED_ERR
3. 다음으로 PUT 특정 사용자에 대한 IP 제한을 설정하는 명령
4. 다음으로 GET 사용자에 대한 제한 집합을 가져오거나 보는 명령
5. 변경 후 EDIT 사용자에 대해 이전에 설정된 제한, IP를 사용하여 xml 파일을 편집하고 PUT
6. 변경 후 DELETE 이전에 설정된 제한 사항인 경우 <ip_restrictions>127.127.127.127</ip_restrictions> xml 파일에서 PUT

IP 제한이 설정된 경우 샘플 xml 파일: (이 두 IP만 CAS 사용자 access_user에 액세스할 수 있음)

cat new.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_param>
<ip_restrictions>127.127.127.127</ip_restrictions>
<ip_restrictions>127.128.128.128 </ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions_param>

아래는 REST 명령을 PUT, GET, LIST및 DELETE operations, 루트 사용자에게는 액세스 토큰을 사용해야 합니다.

본보기:

admin@ecsnode1:~> TOK=$(curl -iks https://localhost:4443/login -u root:*** | grep X-SDS-AUTH-TOKEN); echo $TOK
X-SDS-AUTH-TOKEN: BAAcc1pZcEkxK3MyUU4xZy9ocEdnUXp0MHl2aTk0PQMAjAQASHVybjpzdG9yYWdlb3M6VmlydHVhbERhdGFDZW50ZXJEYXRhOjdlNWQ0YzFkLTkzNjEtNDBkNS1iMWE4LTUwNzE5NDEwODRiZQIADTE2ODQ4MjYzOTk5OTIDAC51cm46VG9rZW46ODYzMzEyZDEtYzA3NC00MWFjLThlMjAtZDUzZmQ3Njk2MjVhAgAC0A8=
admin@ecsnode1:~> 

사용자 IP 제한을 설정하려면 다음을 수행합니다.

PUT /object/user-cas/ip-restrictions/{namespace_name}/{user_name}

예:

curl -ks -H 'Accept:application/xml' -H 'Content-Type:application/xml' -X PUT -d @new.xml -H "$TOK" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user

응답 본문 예 1: (사용자에 대해 설정된 IP 제한이 없는 경우 기본적으로)

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions>

응답 본문 예 2: (아래 제공된 클라이언트 IP만 사용자에게 액세스할 수 있음)

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_param>
<ip_restrictions>128.128.128.128</ip_restrictions>
<ip_restrictions>127.127.127.127</ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions_param>

사용자 IP 제한을 가져오려면 다음을 수행합니다.

GET /object/user-cas/ip-restrictions/{namespace_name}/{user_name}

예:

curl -ks -H "$TOK" -H "Content-Type: application/json" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user | xmllint -format -

응답 본문 예: (아래 제공된 클라이언트 IP만 사용자에게 액세스할 수 있음)

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<ip_restrictions>127.127.127.127</ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions>

응답 본문 예 2: (GET IP 제한이 설정되지 않은 경우 기본적으로 사용자의 경우)

curl -ks -H "$TOK" -H "Content-Type: application/json" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user | xmllint -format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<user_name>access_user</user_name>

사용자와 함께 IP 제한을 나열하려면 다음을 따르십시오.

GET /object/user-cas/ip-restrictions/

예: (각 사용자에 대한 IP 제한 나열)

curl -ks -H "$TOK" -H "Content-Type: application/json" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions | xmllint -format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_list>
<userIpRestriction>
<user_name>tsouser</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>tsouser2</user_name>
</userIpRestriction>
<userIpRestriction>
<ip_restrictions>10.245.xx.xx</ip_restrictions>
<ip_restrictions>10.247.xx.xx</ip_restrictions>
<ip_restrictions>10.245.xx.xx</ip_restrictions>
<ip_restrictions>10.247.xx.xx</ip_restrictions>
<ip_restrictions>10.243.xx.xx</ip_restrictions>
<user_name>clientuser</user_name>                >>>these are the restrictions set for this user
</userIpRestriction>
<userIpRestriction>
<user_name>gctest</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>casgcuser2</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>user2</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>gcu2</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>casgcuser1</user_name>               >>>all these users doesn't have any restrictions set 
</userIpRestriction>
</user_ip_restrictions_list>

사용자에 대해 설정된 IP 제한을 삭제하려면 다음을 수행합니다.

.xml에서 IP 제한 항목을 제거하고 PUT

cat new.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_param>
<user_name>clientuser</user_name>
</user_ip_restrictions_param>

명령:

curl -ks -H 'Accept:application/xml' -H 'Content-Type:application/xml' -X PUT -d @new.xml -H "$TOK" https://10.245.130.65:4443/object/user-cas/ip-restrictions/clientns/clientuser

응답 본문 예:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<user_name>clientuser</user_name>
</user_ip_restrictions>

아래 예는 작업 중 기능의 동작을 보여줍니다. PUT및 GET제한 사항이 있거나 없는 사용자에 대한 액세스:

cat new.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_param>
<ip_restrictions>127.127.127.127</ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions_param>

PUT:

curl -ks -H 'Accept:application/xml' -H 'Content-Type:application/xml' -X PUT -d @new.xml -H "$TOK" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user

GET:

curl -ks -H "$TOK" -H "Content-Type: application/json" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user | xmllint -format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<ip_restrictions>127.127.127.127</ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions>

JCASS를 사용하여 127.127.127.127에서 풀에 액세스하려고 시도했으며 다음에 액세스 할 수 있습니다.

CASScript>po 10.245.xx.xx?name=access_user,secret=centera@1234

Attempting to connect to: 10.245.xx.xx?name=access_user,secret=centera@1234

Connected to: 10.245.xx.xx?name=access_user,secret=centera@1234

CASPool Properties:
Connection String: 10.245.xx.xx?name=access_user,secret=centera@1234
Cluster Time: 2020.07.07 06:32:24 GMT
Buffer Size: 16384
Prefetch Buffer Size: 32768
Connection Timeout: 120000
Multi-Cluster Failover Enabled: True
Collision Avoidance Enabled: False

IP 제한 목록(허용 목록)에 없는 IP에서 풀에 액세스하려고 했습니다. 아래 오류와 함께 풀에 대한 액세스가 실패해야 합니다.

CASScript>po 10.245.xx.xx?name=access_user,secret=centera@1234

Attempting to connect to: 10.245.xx.xx?name=access_user,secret=centera@1234

SDK Error Occurred:

     Error Number: -10153
     System Error: 0
     Error:        FP_AUTHENTICATION_FAILED_ERR
     Error Class:  null
     Trace:        HPPAuthCRTransaction.run<FPConnection::authenticate<Cluster.authenticate<Cluster::updateClusterInfo()<ClusterCloud::updateClusterInfo(e9f1a3c9-5cb1-3a76-a589-f639de9ad2e4)<ClusterCloud::getClusterInfo(0,ClusterInformation&,2)<FPPool::Open(10.245.130.64?name=access_user,secret=centera@1234)<_FPPool_Open(10.245.130.64?name=access_user,secret=centera@1234)<FPPool_Open8(10.245.130.64?name=access_user,secret=centera@1234)