分散ユーザー管理システム「etcdpasswd」の紹介 - Cybozu Inside Out | サイボウズエンジニアのブログ

こんにちは、アプリ基盤チーム兼Necoプロジェクト所属の @ueokande です。 本日はNecoで開発しているUNIXユーザーの管理ツールである「etcdpasswd」を紹介します。 github.com etcdpasswdは、etcdをバックエンドに持つ分散型のユーザー管理システムです。 etcdpasswdは自律型の分散システムで、一時的にホストがダウンしても、次回起動時にetcdのユーザーを参照して同期します。 etcdpasswdはLDAPのようなNSS (Name Service Switch) が外部サービスに問い合わせるのではなく、etcdpasswdが各ホストにある /etc/passwd を更新します。 なぜetcdpasswdなのか 現在のcybozu.comデータセンターでは、各ホストのユーザー追加・更新は、MySQLでユーザー管理されており、管理者が適用したタ

[kwhrtsk]

ローカルの/etc/passwdを更新するだけなので、LDAPみたいに中央管理サービスのダウンでログインできなくなる事が無いと。逆にこれetcdと接続できない時はrevoke出来ないってことだけどそこは割り切るってことかな。

[JULY]

素直に LDAP を冗長化するか、ローカルに LDAP サーバ持たせて同期させるようにするとか、と思ってしまう。

[bata64]

名前で機能が直感的に分かるのが良いと思います(小並感)

[n314]

サーバーが落ちたらログインできない、よりもサーバーが落ちたらログイン情報を更新できない、の方が使い勝手は良いよねえ…。

[kazuhooku]

これはよさげ / etcdに載せるってことは、shadow password相当の保護はない状態になるってことなのかな

[dekaino]

LDAPとかActiveDirectoryから先祖返りしてるよなー Sunのyp/NISの方がモダン

[TakayukiN627]

『Network Information Service、NIS』を思い出した。

[sonots]

agent 型だ

[ryuzee]

“etcdpasswdはSSHの公開鍵の埋め込みにも対応しており、etcdpasswd cert サブコマンドで利用できます”

[tmatsuu]

Watch APIでのリビジョン番号参照がとてもいいね。なるほどー

[june29]

「自動化」から「自律化」へ、という思考のスイッチがおもしろいと感じました。

[y-kawaz]

最近はそもそもパスワードとか使わなくね？

[akulog]

やや怖いけど便利そう

[auient]

“手順の自動化は不測の状態変更に弱く、その度に人間が対応していました。 Necoでは人が理想の状態を宣言し、それぞれのシステムは「自律化」することを目指しています。”

[iwanofsky]

いいかも

[yoshikidz]

あとで再読しよう。これ系の仕組みは色々使えそうな気がしてきた

[takatoshiono]

よさ

[wwolf]

すげー

[onionskin]

なんでこれ今まで無かったんだろう、というくらい筋良さそうな仕組み

[matsumoto_r]

“人間が対応していました。 Necoでは人が理想の状態を宣言し、それぞれのシステムは「自律化」することを目指しています。 それが安定した分散システムを構築するためにNecoでは必要なこと” 良い〜

[otsune]

認証のコア部分に近いところに手を付けると、DDoS耐性とか含めて穴を作りそうで怖いが、勇気はある

[alcus]

“etcd”

[k2wanko]

サーバー1台がダウンする可能性よりetcdクラスター全部がダウンする可能性のが低そうだし、ネットワークに障害が出てたらそもそもサーバーにログインできないだろうから、実運用上問題は少なそう

[reannkara]

システムの自律化

[udzura]

he-

[progrhyme]

おぉ

[wata88]

consul template っぽい感じだ

[DustOfHuman]

自動化→自律化