CSM Authorization Proxy 镜像文档

镜像概述和主要用途

CSM Authorization Proxy 是 Dell EMC Container Storage Modules (CSM) 的核心组件之一，作为授权代理服务运行。其主要功能是接收并处理对容器存储资源的访问请求，通过验证请求者身份和检查预定义策略，决定是否授予访问权限。该镜像旨在增强容器化环境中存储资源的访问安全性，确保只有经过授权的实体（用户、应用或服务）能够访问特定存储资源，适用于需要严格访问控制的企业级容器存储部署。

核心功能和特性

• 基于策略的授权控制：通过加载和执行JSON或YAML格式的授权策略，实现对存储资源访问的精细化控制。
• 多租户支持：支持Kubernetes多租户环境，可基于命名空间、服务账户等租户标识实施隔离的授权规则。
• 访问请求验证：集成身份认证结果（如来自CSM Authentication组件的令牌），验证请求者身份合法性。
• 审计日志记录：记录所有授权决策（允许/拒绝）及关键请求元数据，支持安全审计和合规性检查。
• 高可用性：支持多实例部署，通过负载均衡实现服务高可用，避免单点故障。
• 动态策略更新：支持热加载策略文件，无需重启服务即可更新授权规则。

使用场景和适用范围

• 企业级Kubernetes集群：在多团队共享的Kubernetes环境中，控制不同团队对存储资源的访问范围。
• 多租户存储环境：为租户分配独立存储资源池，并通过授权策略限制跨租户访问。
• 合规性要求高的场景：***、***等行业需满足数据访问审计和最小权限原则的存储部署。
• 混合云存储管理：统一管理跨本地和云环境的容器存储资源授权策略。

使用方法和配置说明

部署方式

Docker Run 部署

docker run -d \
  --name csm-auth-proxy \
  -p 8080:8080 \
  -v /host/policies:/app/policies \
  -v /host/logs:/app/logs \
  -e AUTH_SERVICE_URL="[***]" \
  -e POLICY_PATH="/app/policies" \
  -e LOG_LEVEL="info" \
  -e LISTEN_PORT="8080" \
  dell/csm-authorization-proxy:latest

Docker Compose 部署

version: '3.8'
services:
  csm-auth-proxy:
    image: dell/csm-authorization-proxy:latest
    container_name: csm-auth-proxy
    ports:
      - "8080:8080"
    volumes:
      - /host/policies:/app/policies
      - /host/logs:/app/logs
    environment:
      - AUTH_SERVICE_URL="[***]"
      - POLICY_PATH="/app/policies"
      - LOG_LEVEL="info"
      - LISTEN_PORT="8080"
    restart: unless-stopped

配置参数说明

环境变量

策略文件格式

策略文件需为 JSON 或 YAML 格式，放置于 POLICY_PATH 指定的目录下。示例策略（allow-pod-storage.yaml）：

apiVersion: authorization.csm.dell.com/v1
kind: StorageAccessPolicy
metadata:
  name: allow-frontend-pod-access
spec:
  subjects:
    - kind: ServiceAccount
      name: frontend-sa
      namespace: prod
  resources:
    - kind: PersistentVolumeClaim
      name: frontend-data
      namespace: prod
  actions:
    - get
    - list
    - create
    - delete

启动验证

服务启动后，可通过访问 http://<host>:<port>/health 端点验证运行状态，返回 {"status": "healthy"} 表示服务正常。

注意事项

• 策略文件需符合 CSM 授权策略规范，否则服务启动时将忽略无效策略并记录错误日志。
• 生产环境中建议启用 TLS 加密（配置 TLS_ENABLED=true 及证书路径），并限制容器文件系统访问权限。
• 高并发场景下，建议通过水平扩展部署多个实例，并配合负载均衡器使用。