Zookeeper在Linux下的安全策略

Zookeeper在Linux下的安全策略

一 网络与主机层防护

• 边界与端口最小化：仅开放必要端口，默认客户端端口为2181，集群内部通信端口为2888/3888；使用主机防火墙（如 firewalld/iptables）仅允许受信任网段/IP访问这些端口，并尽量将服务置于管理网/VPC内网，避免公网直连。必要时可更改默认端口以降低被扫描概率。
• 系统加固：以最小权限运行进程（专用系统用户）、目录与文件权限最小化（如数据目录仅属zookeeper用户）、及时打补丁/升级；启用SELinux/AppArmor等强制访问控制并按需配置策略模块，减少被提权与越权访问风险。

二 身份与访问控制

• 传输层认证：启用SASL/Kerberos，服务端在 zoo.cfg 中配置认证提供者并强制客户端认证，例如：
  aclProvider.1=org.apache.zookeeper.server.auth.SASLAuthenticationProvider
  requireClientAuthSchemes.1=sasl
  客户端连接时携带认证信息（如 SASL/DIGEST）。
• 细粒度授权：对 znode 设置ACL，优先移除或收紧world:anyone权限，按业务最小权限分配；示例：
  setAcl /path world:anyone:r
  setAcl /path user1:user1:rw
  结合 IP 白名单、digest 认证等多因素控制，降低横向与越权风险。

三 加密与数据保护

• 传输加密：启用SSL/TLS保护客户端与服务端、以及集群节点间通信。示例（zoo.cfg）：
  secureClientPort=2281
  zookeeper.ssl.keyStore.location=/path/to/keystore
  zookeeper.ssl.keyStore.password=keystore_password
  zookeeper.ssl.trustStore.location=/path/to/truststore
  zookeeper.ssl.trustStore.password=truststore_password
  客户端需相应启用安全端口与信任库配置。
• 数据存储：对敏感数据在写入前加密，避免在 znode 中存放明文凭据；结合密钥管理服务（KMS/HSM）进行密钥生命周期管理。

四 审计监控与运维

• 审计与日志：开启审计日志记录关键操作（如鉴权成功/失败、ACL 变更、敏感路径访问），集中到**安全信息与事件管理（SIEM）**进行关联分析；确保日志目录与文件权限受控，防止被篡改或删除。
• 运行监控与自检：启用四字命令与健康检查（如ruok、stat、envi），结合进程/端口/连接数/延迟等指标设置告警；对异常连接、ACL 频繁变更、失败认证激增等场景及时处置。

五 配置与变更管理

• 基线化配置：对zoo.cfg进行安全基线管理（如 clientPort、dataDir、server.X、initLimit、syncLimit 等），并禁用不必要的特性与服务；将管理端口与客户端端口分离，必要时更改默认端口。
• 变更与回滚：采用灰度/蓝绿发布策略，变更前备份配置与数据（快照/导出 znode 树），变更后在预发/小流量环境充分验证 ACL、SASL/TLS、审计与监控告警是否正常。