Debian系统下Zookeeper权限管理指南
确保Zookeeper的关键目录（数据目录、日志目录）仅能被授权用户访问。首先创建专用目录并设置归属与权限：
# 创建数据与日志目录
sudo mkdir -p /var/lib/zookeeper/data /var/log/zookeeper
# 设置目录归属（以zookeeper用户为例）
sudo chown -R zookeeper:zookeeper /var/lib/zookeeper /var/log/zookeeper
# 设置目录权限（750：所有者可读写执行，组用户可读执行，其他用户无权限）
sudo chmod -R 750 /var/lib/zookeeper /var/log/zookeeper
避免以root用户运行Zookeeper，降低安全风险。编辑/etc/default/zookeeper文件，指定运行用户与组：
# 找到并修改以下行（若不存在则添加）
ZOOKEEPER_USER=zookeeper
ZOOKEEPER_GROUP=zookeeper
修改后重启服务使配置生效：
sudo systemctl restart zookeeper
Zookeeper通过ACL实现细粒度的节点级权限控制，支持多种权限类型（创建、读取、写入、删除、管理ACL）。
使用zkCli.sh工具连接Zookeeper服务器：
/path/to/zookeeper/bin/zkCli.sh -server localhost:2181
创建节点时直接指定ACL，例如为用户zookeeper分配cdrwa（创建、读取、写入、删除、管理ACL）权限：
create /secureNode "secureData" digest:zookeeper:BASE64_ENCODED_PASSWORD:cdrwa
注：
digest模式需将用户名:密码转换为Base64编码（如使用echo -n "zookeeper:password" | base64生成编码值）。
/secureNode的ACL：getAcl /secureNode
/secureNode的ACL，允许用户admin拥有全部权限：setAcl /secureNode digest:admin:NEW_BASE64_ENCODED_PASSWORD:cdrwa
若系统启用Kerberos，需配置Zookeeper使用SASL认证。编辑zoo.cfg文件，添加以下配置：
authProvider.1=org.apache.zookeeper.server.auth.SASLAuthenticationProvider
jaasLoginRenew=3600000
创建JAAS配置文件/etc/zookeeper/jaas.conf，内容如下：
Server {
com.sun.security.auth.module.Krb5LoginModule required
useKeyTab=true
keyTab="/etc/krb5.keytab"
principal="zookeeper/your.hostname@YOUR.REALM.COM";
};
通过JVM参数指定JAAS配置文件路径，编辑/etc/default/zookeeper文件，添加：
ZOOKEEPER_OPTS="-Djava.security.auth.login.config=/etc/zookeeper/jaas.conf"
重启Zookeeper服务使认证配置生效：
sudo systemctl restart zookeeper
开放Zookeeper默认端口（2181为客户端通信，2888/3888为集群通信），允许合法流量访问：
sudo ufw allow 2181/tcp
sudo ufw allow 2888/tcp
sudo ufw allow 3888/tcp
通过客户端操作验证权限是否生效：
/path/to/zookeeper/bin/zkCli.sh -server localhost:2181 -auth digest:user:BASE64_ENCODED_PASSWORD
create /secureNode "testData"
通过以上步骤，可在Debian系统上实现Zookeeper的多层级权限管理，保障数据安全与访问可控。
