Apache Ranger安全区介绍

本文主要介绍大数据安全管理系统Apache Ranger的安全区Security Zone，根据官方文档人工翻译而来。

介绍

        Apache Ranger为很多Hadoop组件服务和非Hadoop服务提供授权和访问审计服务，比如HDFS、Hive、 HBase、YARN、 Kafka、Storm、 Knox、Atlas、NiFi、Solr等。另外，Apache Ranger可为服务组件提供可伸缩的密钥管理服务，比如为HDFS提供用于数据传输加密的密钥管理服务。并且支持Hive数据仓库的数据脱敏和行过滤策略。

        Apache Ranger可以管理授权策略，交互式查看同一部署环境中跨组件的资源访问情况，从一个集中的管理台界面操作使得管理更简单。同时，Apache Ranger提供丰富的Rest API接口，使得与其它应用的集成更简单。

        在本文中，我们将介绍一种新的特性“安全区”，它将允许分配一个服务中的资源到多个区域中，以便更好地进行安全策略管理。可以使多个管理员基于已赋予管理权限的区域为服务设置安全策略。

例如，让我们考虑两个安全区“财务”和“销售”：

1. 安全区“财务”包含hive 仓库中名为“财务”的所有内容
2. 安全区“销售”包含hive 仓库中名为“销售”的所有内容
3. 用户和组的集合被指定为每个安全区的管理员
4. 用户只能在他们作为管理员的安全区中设置策略 
5. 安全区中定义的策略仅适用于区域中的资源
6. 可以扩展区域以包括来自多个服务（例如HDFS，Hive，HBase，Kafka等）的资源，从而允许安全区管理员为所在组织跨多个服务拥有的资源设置策略。

在本文中我们将了解到安全区更详细的信息。

Apache Ranger授权

在我们深入研究安全区之前，让我们先简要了解一下Ranger的授权模型：

- Ranger 管理台， 一个WEB应用，提供UI控制台界面用于创建安全策略和交互地查看访问审计日志

- Ranger授权插件在服务组件中执行资源访问授权，比如HDFS、 Hive、 HBase、YARN、Kafka等服务，并且生成访问审计日志

- Ranger授权插件根据配置通过REST API调用Ranger管理台获得安全策略，这些插件还定期从Ranger管理台拉取安全策略的变化信息。

- 每个服务(比如HDFS NameNode、HiveServer2)的安全策略在Ranger 管理台的“service”中定义。 Ranger授权插件根据配置使用指定服务的策略。

安全区

什么是安全区？

1. 安全区由一个或多个服务组件的资源设置组成。 安全区相关的例子如下:

区域: 财务 

服务: prod_hadoop; path=/finance/*, /taxes/*

服务: prod_hive; database=finance

服务: prod_kafka; topic=FIN_*

服务: test_hadoop; path=/finance/*, /taxes/*

区域: 销售

服务: prod_hadoop; path=/sales/*

服务: prod_hive; database=sales

服务: prod_kafka; topic=SALES_*

从上面可以看到，资源可以使用