10、Hadoop 安全认证与授权详解

Hadoop 安全认证与授权详解

1. 身份与认证基础

在 Hadoop 生态系统中，身份和认证是保障系统安全的基础环节。Hadoop 借助 Kerberos 主体名称来映射用户名，并获取用户的组成员信息。认证方式多样，Kerberos 是常用的典型方式，但使用委托令牌也是重要的认证途径。委托令牌能减少工作流中 Kerberos 认证路径的数量，减轻 Kerberos KDC 的负担。例如，在 Oozie 工作流执行 Hive 查询，最终转化为 MapReduce 作业处理文件的过程中，若没有委托令牌，每个步骤都需要 Kerberos 服务票据。

此外，还存在“模拟”的概念，即系统用户可以代表其他用户进行认证。这在实际应用中很常见，因为终端用户常通过中间工具访问服务。通过模拟，系统或服务可以像终端用户直接认证一样，与远程服务进行认证并获得访问权限。

示例配置如下，展示了如何配置 Oozie 使用多个 SPN：

<property>
    <name>oozie.authentication.kerberos.principal</name>
    <value>*</value>
</property>

2. HDFS 授权机制

HDFS 的授权是保证文件和目录访问安全的重要手段，它采用了与 POSIX 兼容文件系统类似的授权方案。具体来说，权限由三种不同类型的用户管理：所有者、组和其他用户。
- 所有者 ：文件或目录的特