CentOS HDFS的安全性如何设置 - 问答

CentOS 上 HDFS 安全性设置

一系统层加固

账户与登录安全
- 检查并锁定不必要的UID 0账户，清理无用账户；为root设置自动登出（例如在 /etc/profile 设置 TMOUT）；通过 /etc/pam.d/su 限制仅特定组可 su；为 /etc/passwd、/etc/shadow、/etc/group、/etc/gshadow 设置不可更改属性（如 chattr +i）；强制口令复杂度（如 /etc/login.defs PASS_MIN_LEN ≥ 10）。
节点通信与基础运维
- 全集群启用 NTP 时间同步；仅放通必要端口并配置 firewalld/iptables；节点间使用SSH 免密登录仅用于受控运维场景，密钥妥善保管；保持 CentOS 与 Hadoop 的安全补丁为最新。

二身份与访问控制

启用 Kerberos 强认证
- 在集群各节点部署 KDC，正确配置 /etc/krb5.conf、kdc.conf、kadm5.acl；为 NameNode、DataNode、ResourceManager、HDFS 客户端分发 keytab 并使用 kinit 获取票据，确保只有授权主体可访问 HDFS。
启用 HDFS 权限与 ACL
- 打开权限校验与相关开关：
  - dfs.permissions.enabled = true（启用权限检查）
  - dfs.namenode.acls.enabled = true（启用 ACL）
  - dfs.permissions.superusergroup（指定超级用户组）
  - dfs.web.ugi（Web 接口运行身份，避免使用超级用户）
- 常用命令：
  - 权限设置：hdfs dfs -chmod 750 /data
  - 属主属组：hdfs dfs -chown alice:data /data
  - ACL 细粒度：hdfs dfs -setfacl -m user:bob:rwx /data；查看 hdfs dfs -getfacl /data
- 目录基线：为用户主目录设置合适权限，例如 /user 常用 1777（粘滞位，防误删）。

三加密与数据保护

传输加密
- 为 HDFS 客户端与 DataNode/NameNode 之间的通信启用 SSL/TLS，防止链路窃听与中间人攻击。
存储加密
- 启用 HDFS 透明数据加密（TDE），对落盘数据进行加密，即使物理介质被访问也难以泄露明文。
完整性与可用性
- 启用 校验和 校验（如 MD5/SHA-1）保障数据在传输与落盘过程中的完整性；制定并定期演练备份与恢复策略，必要时进行异地备份。

四审计监控与运维安全

五快速检查清单

领域	关键动作	验证命令或位置
账户与登录	清理 UID 0、限制 su、root TMOUT、shadow 不可改、补丁更新	grep ‘:<0>:’ /etc/passwd；cat /etc/pam.d/su；grep TMOUT /etc/profile；lsattr /etc/shadow；yum/dnf update
时间网络	全集群 NTP、仅放通必要端口	timedatectl status；firewall-cmd --list-ports
Kerberos	部署 KDC、分发 keytab、kinit 成功	klist；HDFS 操作需票据
HDFS 权限	启用权限与 ACL、设置属主/权限/ACL	hdfs dfs -getfacl /data；hdfs dfs -ls -e /data
加密	启用传输加密与 TDE	客户端/服务端配置与密钥管理检查
审计与监控	审计日志开启、集中存储与告警	审计日志目录与轮转策略；监控平台告警规则

以上步骤按“系统加固 → 身份与访问控制 → 加密与完整性 → 审计监控与运维”的顺序实施，可在 CentOS 上显著提升 HDFS 的安全性与可运维性。

0 赞

0 踩