Gerenciamento de usuário do cluster

Você pode habilitar a autenticação para nós de cluster de duas maneiras: usar a autenticação interna do CycleCloud ou integrar nós a um serviço de diretório, como Active Directory ou LDAP.

O usuário do agente de VM

Cada VM do Azure que o CycleCloud inicia e gerencia tem um usuário administrador chamado cyclecloud. O agente de VM cria esse usuário. Você pode encontrar a chave privada SSH para o cyclecloud usuário em /opt/cycle_server/.ssh/cyclecloud.pem no servidor de aplicativos CycleCloud. Essa chave é exclusiva para cada instalação e é gerada durante o processo de instalação.

O cyclecloud usuário existe localmente em cada VM. Trate-o como um usuário de serviço com acesso de administrador, mas talvez você o ache útil para solução de problemas.

Para se conectar a um nó como cyclecloud, execute o comando a seguir:

ssh -i /opt/cycle_server/.ssh/cyclecloud.pem cyclecloud@${NODE-IP-Address}

Como alternativa, você pode usar a CLI do CycleCloud:

cp /opt/cycle_server/.ssh/cyclecloud.pem ~/.ssh 
cyclecloud connect [node] -c [cluster] -u cyclecloud

Gerenciamento de usuário interno

O CycleCloud inclui um sistema de gerenciamento de usuário interno que cria contas de usuário local em cada VM. O sistema cria essas contas de usuário local para cada usuário com permissões de autenticação para o cluster. Além disso, os usuários com a permissão de administrador do nó têm privilégios de administrador (sudo) para cada VM no cluster. Você pode conceder essas permissões por meio da propriedade do cluster, compartilhando explicitamente permissões para o cluster ou atribuindo usuários a uma função que concede acesso à autenticação global. Para obter mais informações sobre como atribuir funções aos usuários, consulte o Gerenciamento de Usuários do CycleCloud.

Você pode ver a lista de usuários com acesso de autenticação aos nós na página do cluster em Usuários. Selecionar o link de exibição abre uma caixa de diálogo com mais informações.

Essa caixa de diálogo mostra cada usuário e o status do gerenciamento de usuário em cada nó no cluster. Ele exibe erros ou avisos ao configurar usuários, como um conflito UID ou um nome de usuário não permitido. Como o daemon jetpackd gerencia usuários em cada nó, você pode fazer alterações nos clusters em execução.

Entrar nos nós

A autenticação do usuário usa chaves SSH. A chave pública de cada usuário vem do CycleCloud e é configurada em cada VM. Se um usuário não tiver uma chave pública, a conta de usuário local ainda será criada, mas o usuário não poderá entrar até que uma chave seja adicionada manualmente.

Para clusters com um servidor NFS, o diretório pessoal de cada usuário está no NAS sob o diretório base /shared/home. Para clusters sem um servidor NFS, o diretório base /home é local para cada VM no cluster.

Revogando o acesso

Se você conceder a um usuário acesso de autenticação por meio de uma permissão compartilhada, remova essa permissão compartilhada usando o link do Access na página do cluster. Se um usuário tiver a função Dedmin do Nó Global ou Usuário do Nó Global , um administrador deverá remover essas funções na guia Usuários da página Configurações .

Desabilitar o sistema de gerenciamento de usuário interno

Cada instalação do CycleCloud permite o sistema de gerenciamento de usuário interno por padrão. Essa configuração se aplica a toda a instalação. Todos os clusters gerenciados pelo servidor CycleCloud têm essa configuração habilitada. Para desabilitá-lo, vá para a seção CycleCloud da página Configurações . A caixa pop-up tem uma opção para Autenticação de Nó. Selecione Desabilitado na lista suspensa para garantir que o sistema não crie nenhuma conta de usuário local além do usuário do agente da VM.

Sistemas de gerenciamento de usuários de terceiros

Para clusters de produção corporativos, recomendamos gerenciar o acesso do usuário por meio de um serviço de diretório, como LDAP, Active Directory ou NIS. Você pode implementar essa integração configurando o PAM e o NSS nas imagens de VM usadas em cada nó ou criando projetos do CycleCloud executados durante a fase de instalação de software para cada nó.

O Serviço de Domínio do Azure Active Directory fornece um serviço gerenciado para servidores do Active Directory. Você pode encontrar instruções para ingressar em um domínio do Linux aqui.