Linux环境中Hadoop如何进行安全管理 - 问答

Linux环境下Hadoop安全管理实践

一身份与访问控制

启用强认证：将 Hadoop 切换为 Kerberos 认证，配置 core-site.xml：hadoop.security.authentication=kerberos；各服务需创建 服务主体（如 hdfs/namenode.example.com@EXAMPLE.COM）并分发 keytab。RPC、HDFS、YARN 等均通过 SASL/GSSAPI（Kerberos） 完成认证；Web UI 与 REST 接口启用 SPNEGO。完成后使用 kinit 获取票据验证访问。
服务级授权：开启 Service-Level Authorization，在 core-site.xml 设置 hadoop.security.authorization=true，并在 hadoop-policy.xml 配置如 security.job.submission.protocol.acl 等 ACL，控制用户/组对提交作业、访问服务的能力；变更可通过 dfsadmin –refreshServiceAcl 动态生效。
队列与作业 ACL：在 mapred-site.xml 启用 mapred.acls.enabled=true，在 mapred-queue-acl.xml 配置队列的 acl-submit-job/acl-administer-job；在 mapred-site.xml 设置 mapreduce.job.acl-view-job/acl-modify-job 控制作业查看与修改权限。
文件系统权限与 ACL：在 hdfs-site.xml 开启 dfs.permissions.enabled=true 与 dfs.namenode.acls.enabled=true；使用 hdfs dfs -chmod/-chown/-setfacl 管理目录与文件权限，对敏感目录设置精细化 ACL。
统一授权治理：引入 Apache Ranger（或 Sentry）实现 RBAC/ABAC 与集中审计，对 HDFS、YARN、Hive 等组件进行细粒度策略管理与合规审计。

二加密与数据安全

传输加密：为 RPC、HDFS DataTransfer、HTTP/Web UI、WebHDFS/HttpFS 启用 SASL/SSL/TLS 或 SPNEGO，防止窃听与中间人攻击；确保服务主体与证书配置正确。
静态加密：在 HDFS 启用 透明数据加密（TDE）/加密区域（Encryption Zones），通过 HDFS KMS 集中管理密钥，对敏感目录设置加密，读写过程对用户透明。
数据完整性与可靠性：HDFS 写入时生成 校验和 并在读取时校验；配合多副本机制提升容错与可用性。

三网络安全与主机加固

网络与端口治理：仅开放必要端口，使用 firewalld/iptables 或云 安全组 实施最小暴露面；不同安全域间通过 VLAN/安全组 隔离。
服务间安全：集群内服务通信启用 SASL 认证与授权，避免未授权服务互访。
SSH 安全：禁用密码登录，启用 SSH 密钥 登录，必要时更改默认端口并考虑 MFA；运维通道与业务通道分离。
暴露面控制：避免将集群 直接暴露公网，通过跳板机/堡垒机与内网访问策略降低攻击面。

四审计监控与合规

审计日志：启用 HDFS 审计日志（如 dfs.namenode.audit.log.maxsize/rotation.period），记录用户、操作类型与时间；集中到 rsyslog/ELK 等系统进行留存与检索。
作业与队列审计：结合 Job ACL 与队列 ACL，追踪作业提交、查看、修改与终止等行为，满足合规要求。
监控与告警：部署 Prometheus/Grafana 等监控体系，对异常访问、权限变更、失败登录、证书过期等进行实时告警。

五快速落地清单

规划与准备：确定 Kerberos Realm/KDC，为所有节点与用户创建主体并分发 keytab；梳理业务账号、队列与数据分级。
启用认证与授权：在 core-site.xml/hdfs-site.xml/mapred-site.xml 开启 Kerberos、Service ACL、DFS 权限/ACL、队列 ACL；必要时集成 Ranger。
配置加密：为 RPC/HTTP/数据传输 启用 SASL/TLS/SPNEGO；对敏感目录创建 HDFS 加密区域 并配置 KMS。
网络与主机：收紧 防火墙/安全组，服务最小化端口开放；加固 SSH 与系统基线。
审计与监控：开启 审计日志 与 集中监控/告警，定期演练与审计策略有效性。

0 赞

0 踩