centos hbase如何保障数据安全

CentOS 上 HBase 数据安全加固清单

一 身份与访问控制

• 启用 Kerberos 强认证：在 hbase-site.xml 设置
  hbase.security.authentication=kerberos；为 HMaster/RegionServer 配置主体与 keytab：hbase.master.kerberos.principal、hbase.regionserver.kerberos.principal，使用 kadmin 创建主体并导出 keytab（如：hbase/_HOST@REALM）。
• 启用 ACL 授权：设置 hbase.security.authorization=true，并在协处理器加载 AccessController（Master/RegionServer 的 coprocessor 配置项）。通过 HBase Shell 执行细粒度授权：grant ‘user1’,‘RW’,‘table1’；常用权限字符集为 R/W/C/A/X（读/写/创建/管理/执行）。
• 引入 Apache Ranger 做统一策略与审计：在 Ranger 中新增 HBase 服务，开启插件后，在 HBase 配置中追加 Ranger 授权协处理器并重启；随后在 Ranger Web UI 配置库/表/列级策略，实现更细粒度与可审计的访问控制。

二 加密与密钥管理

• 传输加密（RPC/HTTPS）：启用 SSL/TLS 保护节点间与客户端通信，配置 hbase.rpc.ssl.enabled=true 及 keystore/truststore 路径与口令，客户端连接使用 https/rpc ssl 参数。
• 静态加密（TDE）：对 HFile/WAL 进行透明加密，配置密钥提供器（JCEKS 等）与算法（如 AES/SM4），在列族上开启 ENCRYPTION 属性；注意对存量数据需执行 flush/disable/alter/enable/major_compact 重写 HFile 后才会以新密钥加密。
• 密钥生命周期：集中生成并分发 JKS 密钥库到所有节点，设置访问权限；定期轮换密钥并评估对业务的影响（密钥变更与重写 HFile 存在可用性风险，操作需谨慎、在维护窗口执行）。

三 网络安全与系统加固

• 边界与端口最小化：使用 firewalld/iptables 仅开放必要端口（如 SSH 22、HBase RPC/REST/Thrift 等），对管理口与数据口分区分域，云环境同步配置安全组白名单。
• 系统与账号安全：保持 CentOS 与 HBase/Hadoop 组件及时更新（yum update/cve 修复）；强化口令策略与 sudo 授权；限制 HBase 运行账户权限，保护配置文件与 keytab 文件权限（仅属主可读）；启用 auditd 记录关键操作并集中审计。

四 审计、备份与验证

• 审计与合规：启用 HBase 审计日志（事件如登录、表/列访问、权限变更），并接入集中日志平台（如 rsyslog/ELK）进行留存与告警；Ranger 可提供策略命中与访问审计视图。
• 备份与快速恢复：制定 定期快照/备份 与异地容灾策略（如 DistCp/HBase Replication），定期演练恢复流程与 RPO/RTO 评估。
• 加密与权限验证：对启用 HFile/WAL 加密 的表，插入数据后 flush，使用 hbase hfile 工具尝试读取应报加密异常；对 Ranger 策略，使用不同用户在 HBase Shell 验证列级权限是否按策略生效。