前言
etcd与 ZooKeeper 一样，作为分布式场景下的数据共享工具，被广泛使用。在涉及'数据'或'共享'的场景中，必须优先考虑数据安全问题。因此，如何保障数据的访问和共享安全，在 etcd的发展过程中逐步得到了提升和完善。
关于容器云场景下 etcd集群的安全机制，本文将介绍其安全机制并提供相关实践。
Q：如何保障容器云环境下 etcd 集群的数据安全
一、安全机制
etcd的安全机制是建立在 RBAC（基于角色的访问控制）模型的基础上。在 RBAC 中，用户（Who）、角色（How）、资源（What）通过不同的关联实现不同类型的权限控制。
身份认证必学必看
本文采用 etcd最新版本（V3）对身份认证相关功能进行说明，并通过 Docker 完成。如果你需要确认自己的 etcd版本，可以通过浏览器输入 http://[你的 etcd ip]:2379/version 查看。
1. 启动参数
使用 Docker 部署时，有必要了解 etcd常用的启动参数：
| 参数名称 | 参数说明 |
|---|---|
| TZ | 即 timezone，代表时区，国内选 Asia/Shanghai |
| ETCD_NAME | etcd 节点名称 |
| ETCD_DATA_DIR | etcd 容器的数据存储目录 |
| ETCD_ADVERTISE_CLIENT_URLS | 描述当前 etcd 节点的地址 |
| ETCD_INITIAL_ADVERTISE_PEER_URLS | 描述当前 etcd 节点的通信地址 |
| ETCD_LISTEN_PEER_URLS | 描述当前节点与其他节点通信的监听地址 |
| ETCD_INITIAL_CLUSTER_TOKEN | 初始化集群 token（集群的唯一性） |
| ETCD_INITIAL_CLUSTER | 初始化集群，定义有哪些成员 |
| ETCD_INITIAL_CLUSTER_STATE | 初始化集群状态，首次为 new（新建），否则为 existing（已存在） |
| ALLOW_NONE_AUTHENTICATION | 允许免密登录，设置为 yes |
2. 授权命令
启动完成后，可以借助 etcdctl实现用户、角色、资源的创建和授权等操作：
# 查看 etcd 用户列表
etcdctl user list
# 添加一个用户
etcdctl user add [USER_NAME]
# 查看 etcd 角色列表
etcdctl role list
# 添加一个角色
etcdctl role add [ROLE_NAME]
# 为角色赋予读写权限
etcdctl role grant-permission [ROLE_NAME] --prefix=true readwrite [DATA_DIR]
# 查看用户的角色
etcdctl user get [USER_NAME]
etcdctl user grant-role [USER_NAME] [ROLE_NAME]
