CentOS环境下HDFS安全性保障
一 系统层加固
- 账户与登录安全：清理不必要的root直连与sudo滥用，限制su使用范围；为关键账户设置复杂度≥10位的口令策略（大小写字母、数字、特殊字符），并在**/etc/login.defs中设置如PASS_MIN_LEN 10**；对**/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow设置不可变属性（如chattr +i**）；设置TMOUT自动注销，减少会话暴露时间。
- 服务与端口最小化：仅开启HDFS必要端口（如NameNode 8020/50070、DataNode 50010/50075），使用firewalld/iptables按白名单限制来源IP；禁用不必要的系统服务与内核模块。
- 强化内核与访问控制：启用并合理配置SELinux；对HDFS数据目录设置最小权限（如700），仅允许hdfs用户访问；定期更新系统与Hadoop组件补丁，修复已知漏洞。
二 身份与访问控制
- 启用强认证：在生产环境启用Kerberos，将hadoop.security.authentication设为kerberos，并开启hadoop.security.authorization以配合授权策略，确保“先认证、后授权”。
- 启用权限与ACL：在hdfs-site.xml开启dfs.permissions.enabled=true与dfs.namenode.acls.enabled=true；在core-site.xml设置fs.permissions.umask-mode=022以统一新建文件/目录的默认权限；通过hdfs dfs -setfacl/-getfacl为用户/组配置细粒度ACL。
- 代理用户与委托：为需要代理提交作业的服务账号配置hadoop.proxyuser..hosts与hadoop.proxyuser..groups，遵循最小权限原则，避免使用通配“*”。
- 目录与进程隔离：确保dfs.namenode.name.dir.perm与dfs.datanode.data.dir.perm为700，仅hdfs用户可读写；服务进程以专用系统用户运行，避免以root直接启动。
三 加密与数据保护
- 传输加密：启用RPC/HTTPS/数据传输加密（如将dfs.encrypt.data.transfer设为true），防止节点间与客户端通信被窃听或篡改。
- 静态加密：对落地数据启用透明加密（TDE），结合HDFS KMS与KeyProvider管理密钥，确保磁盘被盗或介质外流时数据不可读。
- 完整性校验：启用HDFS内置校验和机制，定期校验关键数据一致性；对重要目录/表空间实施定期备份与异地容灾，并验证恢复流程可用性。
四 审计监控与运维安全
- 审计与日志：开启HDFS审计日志，记录用户身份、操作类型、时间、路径等关键要素，集中到syslog/SIEM进行留存与关联分析；对NameNode/DataNode日志设置合适的轮转与保留策略。
- 安全模式与块健康：在维护或异常恢复时合理使用安全模式（如hdfs dfsadmin -safemode enter/leave/get），保障元数据一致性与块副本健康。
- 监控告警与基线：部署主机与应用监控（如进程存活、磁盘/IO、NameNode/DataNode JMX指标），对异常访问、权限变更、失败登录等配置实时告警；建立安全基线与变更评审流程。
五 快速检查清单
| 领域 |
关键动作 |
验证命令/要点 |
| 系统加固 |
限制root直连、配置TMOUT、加固/etc文件、启用SELinux、最小化开放端口 |
查看/etc/shadow权限与chattr状态；firewall-cmd --list-all；getenforce |
| 认证授权 |
启用Kerberos；开启权限与ACL；配置代理用户 |
hdfs dfs -getfacl /path；grep hadoop.security.authentication core-site.xml |
| 加密 |
传输加密与TDE启用 |
核查dfs.encrypt.data.transfer；KMS/KeyProvider配置与轮换 |
| 审计监控 |
审计日志集中与告警；安全模式使用规范 |
审计日志落盘与检索；hdfs dfsadmin -safemode get |
| 备份恢复 |
定期备份与异地容灾演练 |
备份恢复演练记录与RPO/RTO评估 |
以上措施按“系统层→身份与访问控制→加密→审计监控”的顺序实施，可在CentOS上显著提升HDFS的机密性、完整性与可用性。