14、Hadoop集群安全保障：从认证到数据加密

Hadoop集群安全保障：从认证到数据加密

1. 安全集群的编程访问

在某些场景下，需要通过程序访问Hadoop。对于安全集群，客户端必须向Hadoop服务器进行身份验证，需提供有效的Kerberos票据。若运行程序的用户可以访问密钥表（keytab），有两种方式确保有有效的Kerberos票据用于向服务器认证：
- 使用工具缓存票据 ：像k5start这样的工具进程会使用密钥表，并在当前票据过期前定期缓存有效的Kerberos票据。程序会在缓存中查找并使用该票据。
- 程序自行获取票据 ：程序使用 UserGroupInformation.loginUserFromKeytab(principal, keytabFilePath) 方法获取票据，调用该方法时会获取Kerberos票据。

2. Hadoop中的服务级别授权

客户端认证通过后，其身份已知，此时可应用授权规则或策略来允许或限制对资源的访问。Hadoop有服务级别授权和资源级别授权两个级别。处理请求时，认证后会首先应用服务级别授权策略，它决定用户是否可以访问特定服务（如HDFS），通过与服务关联的访问控制列表（ACLs）来实施。资源级别授权更精细，通过与资源（如HDFS中的文件）关联的ACLs来实施。

2.1 启用服务级别授权

可通过在 core-site.xml 中进行以下配置启用服务级别授权：

<property>
    &l