10、Hadoop生态系统中的对象标签RBAC：模型、实现与扩展

Hadoop生态系统中的对象标签RBAC：模型、实现与扩展

1. Hadoop生态系统访问控制基础

在Hadoop生态系统中，用户的有效角色（effectiveR）是分配给所有成员组的角色的并集。用户对Hadoop服务的有效权限（effectiveHSprms）包括对Hadoop服务（HS）的直接权限以及通过组成员身份继承的权限。对于生态系统服务（ES）对象的最终权限集（effectiveESprms），是直接权限、通过组成员身份分配的权限以及有效角色分配的权限的并集。

用户创建的主体（subject）继承用户执行操作的所有权限。主体是否允许对ES服务中的对象执行操作，取决于对对象的直接权限或与对象关联的标签的权限。

此外，Apache Ranger提供上下文丰富器（context enrichers），用于根据位置、IP地址或其他属性向用户请求添加上下文信息，这些信息可作为环境属性纳入基于属性的模型中。这里假设数据已存在于Hadoop集群内，且为简化起见，忽略拒绝访问请求。

2. 提出Object - Tagged RBAC模型（OT - RBAC）

为了更好地实现Hadoop生态系统的访问控制，提出了Object - Tagged Role - Based Access Control模型（OT - RBAC）。与HeAC模型相比，该模型仅通过角色为用户分配对象和Hadoop服务权限，符合RBAC的基本原理。它还提供了一种将属性与RBAC相结合的新方法，除了NIST提出的策略外，还具有自身的特点。

OT - RBAC模型的概念模型如图3所示，形式定义如下表：
| 类别 | 具体内容 |
| -