KingbaseES V8R6 数据库运维案例之 -- root用户securecmd连接'Permission denied'错误
案例分析：
在KingbaseES V8R6数据库在不支持ssh连接的系统环境，可以通过securecmdd服务建立主机之间的通讯，默认securecmdd服务建立用户之间的互信，通过publickey认证建立访问连接。在配置securecmdd服务后，默认kingbase和root用户都可以通过publickey建立连接。本案例描述了在建立root用户的连接时，出现‘permission denied’错误的解决方法。
适用版本：
KingbaseES V8R6
一、问题现象
用户在执行sys_backup.sh init时，出现以下故障：
执行建立主机连接的securecmd的执行语句，出现‘permission denied’错误。
二、问题分析
1、查看securecmdd服务目录和文件
securecmdd服务在部署和配置后，将建立以下的目录和文件：
# 目录属主和权限
[root@node102 ~]# ls -lhd /etc/.kes
drwxr-xr-x. 3 root root 65 Aug 10 2022 /etc/.kes
[root@node102 ~]# ls -lhd /root/.es
drwx------. 2 root root 40 Sep 28 2022 /root/.es
[root@node102 ~]# ls -lhd /home/kingbase/.es
drwx------. 2 kingbase kingbase 40 Sep 28 2022 /home/kingbase/.es
[root@node102 ~]# ls -lhd /root
dr-xr-x---. 10 root root 4.0K Apr 3 10:15 /root
[root@node102 ~]# ls -lhd /home/kingbase
drwx------. 31 kingbase kingbase 4.0K Apr 3 10:15 /home/kingbase
# 文件属主和权限
[root@node102 ~]# ls -lh /etc/.kes
total 8.0K
drwxr-xr-x. 2 root root 6 Mar 29 2022 empty
-rwxr-xr-x 1 root root 315 Aug 10 2022 securecmd_config
-rwxr-xr-x 1 root root 603 Aug 10 2022 securecmdd_config
[root@node102 ~]# ls -lh /root/.es
total 8.0K
-rw------- 1 root root 381 Sep 28 2022 accept_hosts
-rw------- 1 root root 1.7K Sep 28 2022 key_file
[root@node102 ~]# ls -lh /home/kingbase/.es
total 8.0K
-rw------- 1 kingbase kingbase 381 Sep 28 2022 accept_hosts
-rw------- 1 kingbase kingbase 1.7K Sep 28 2022 key_file
---如果以上目录和文件的权限出现问题，将在建立securecmd连接时会出现此类故障。
2、分析securecmd连接
如下图所示，分析securecmd连接过程，在建立publickey认证后，读取key_file私钥文件无响应，转为password认证，但输入root用户密码后，报’permission denied‘错误。
3、建立securecmdd服务debug分析
1）以debug方式启动securecmdd服务
[root@node101 ~]# /home/kingbase/cluster/R6HA/kha/kingbase/bin/sys_securecmdd -D -ddd
debug2: load_server_config: filename /etc/.kes/securecmdd_config
debug2: load_server_config: done config len = 560
debug2: parse_server_config_depth: config /etc/.kes/securecmdd_config len 560
debug3: /etc/.kes/securecmdd_config:1 setting Port 8899
debug3: /etc/.kes/securecmdd_config:3 setting HostKey ~/.es/key_file
debug3: /etc/.kes/securecmdd_config:4 setting AuthorizedKeysFile .es/accept_hosts
debug3: /etc/.kes/securecmdd_config:5 setting PidFile /var/run/sys_securecmdd.pid
......
debug2: fd 3 setting O_NONBLOCK
debug1: Bind to port 8899 on 0.0.0.0.
Server listening on 0.0.0.0 port 8899.
2）客户端建立连接
[root@node101 ~]# /home/kingbase/cluster/R6HA/kha/kingbase/bin/sys_securecmd root@127.0.0.1 'date'
root@127.0.0.1's password:
3）查看连接debug信息
如下图所示，出现/root的属主或权限错误：
4）检查/root的属主
如下图所示，/root的属主竟然是kingbase ！！！
三、问题解决
将/root的属主改为root.root后，问题解决。
四、权限错误案例
1、修改/root目录为777（默认550）
[root@node101 bin]# ls -lhd /root
drwxrwxrwx. 26 root root 4.0K Apr 3 11:51 /root
2、故障现象
[kingbase@node101 bin]$ ./sys_securecmd -vv root@127.0.0.1 'date'
OpenSSH_8.6p1, OpenSSL 1.0.2k 26 Jan 2017
debug2: resolve_canonicalize: hostname 127.0.0.1 is address
......
debug1: Authentications that can continue: publickey,password
debug1: Next authentication method: publickey
debug1: Offering public key: /home/kingbase/.ssh/id_rsa RSA SHA256:bDj4e2SR8hakpiI5ADaqqiYuh7KzknAD2hWbPGBRtUg
debug2: we sent a publickey packet, wait for reply
debug1: Authentications that can continue: publickey,password
......
debug2: we did not send a packet, disable method
debug1: Next authentication method: password
root@127.0.0.1's password:
debug2: we sent a password packet, wait for reply
debug1: Authentications that can continue: publickey,password
Permission denied, please try again.
root@127.0.0.1's password:
---如上所示，出现publickey连接的认证错误。
3、查看securecmd连接debug信息
如下图所示，debug信息出现/root属主或权限错误。
五、总结
对于securecmdd服务，在建立用户的publickey的认证访问后，经常会出现用户访问需要password认证或‘ permission denied’等故障问题。当出现类似问题，重点查看securecmdd相关目录和文件的权限及属主，以及kingbase和root用户宿主目录的权限和属主。
