Zookeeper安全防护措施有哪些

Zookeeper安全防护措施清单

一 网络与访问控制

• 限制访问面：仅开放必要端口，默认客户端端口为2181，集群内部通信常用3888等；通过防火墙/IP 白名单仅允许受信任网段与主机访问。
• 端口与协议最小化：避免暴露管理端口到公网；必要时可更改默认端口以降低被扫描概率。
• 主机与系统加固：为运行账户设置最小权限；配置文件（如zoo.cfg）、数据与日志目录设置严格的文件系统权限；启用SELinux/AppArmor等强制访问控制并按需放行。

二 身份与授权

• 启用强认证：
  • 基于用户名/密码的Digest认证（服务端存储为“username:BASE64(SHA1(username:password))”）；
  • 基于SASL/Kerberos的企业级认证（配合 JAAS 配置）；
  • 基于客户端IP的白名单式认证；
  • 可按需组合多种机制（如“Digest + IP”）提升安全门槛。
• 细粒度授权：使用ACL对每个znode设置权限（如cdrwa），常用 scheme 含world、ip、auth、digest、sasl；遵循最小权限原则，避免使用OPEN_ACL_UNSAFE，对根与应用根节点设置更严格 ACL，并定期审计 ACL 设置。
• JAAS 配置要点：在jaas.conf中分别定义 Server/Client 登录模块（如 DigestLoginModule），并在zoo.cfg启用 SASL 认证提供者与相关参数，启动脚本中通过**-Djava.security.auth.login.config**指定 JAAS 文件路径。

三 加密与数据安全

• 传输加密：启用SSL/TLS保护客户端与服务端、以及集群节点间通信；可配置双向认证（mTLS）、证书信任链与主机名校验；为客户端与命令行工具提供keystore/truststore并开启安全端口（如2281）。
• 存储加密：对极敏感数据建议在客户端侧加密后再写入 Zookeeper，密钥由外部KMS/密钥库集中管理；如需服务端透明加密，需结合企业版或外部加密方案实现。

四 审计与运行安全

• 审计与日志：启用访问与操作审计日志，记录会话建立、鉴权、ACL 变更、节点创建/删除等关键事件，便于合规与溯源。
• 配置与进程安全：优化zoo.cfg（如数据目录、客户端连接限制等）；关闭不必要的服务与特性；为JVM/GC/文件句柄等设置合理参数；启用监控与告警（连接数、延迟、异常重启等）。
• 补丁与备份：定期更新 Zookeeper 与依赖组件修复漏洞；制定配置与数据备份/恢复流程并定期演练。

五 快速加固清单与示例

• 快速清单
  • 仅在内网开放2181/3888，配置iptables/firewalld白名单；
  • 启用SASL/Kerberos或Digest认证，统一认证方式；
  • 为所有 znode 设置ACL，根节点仅管理员可变更；
  • 启用SSL/TLS（双向认证），客户端与运维工具统一使用安全端口与证书；
  • 打开审计日志，接入集中监控/告警；
  • 定期升级补丁、备份数据与配置，并验证恢复流程。
• 示例
  • Digest 身份标识生成：java -cp zookeeper-server-*.jar org.apache.zookeeper.server.auth.DigestAuthenticationProvider user:password
    输出形如：user: BASE64(SHA1(user:password))，用于 ACL 或 addauth。
  • 设置节点 ACL（仅管理员可读写）：
    setAcl /app config digest:admin:ABASE64HASH:cdrwa（将 ABASE64HASH 替换为实际摘要）。