侯磊Kerberos互信目錄0102Hadoop中的加密Kerberos互信Hadoop中的加密1Hadoop中的加密眾所周知，Hadoop是一個(gè)開(kāi)放源碼的項(xiàng)目，該項(xiàng)目包括了很多獨(dú)立開(kāi)發(fā)的模塊，這樣能夠非常方便地為核心模塊添加各種功能。安全模塊是一個(gè)相對(duì)青澀的模塊，而且Hadoop缺乏一致的安全模式。在默認(rèn)情況下，假定Hadoop處于可信任的環(huán)境中。隨著Hadoop的成熟，公司逐漸開(kāi)始關(guān)心他們存儲(chǔ)在基于Hadoop的環(huán)境中的越來(lái)越多的敏感業(yè)務(wù)數(shù)據(jù)的安全性。Hadoop中的加密與常規(guī)數(shù)據(jù)庫(kù)不同，在Hadoop中沒(méi)有中央認(rèn)證服務(wù)器或認(rèn)證機(jī)制。如果用戶可以訪問(wèn)運(yùn)行NameNode的服務(wù)器，并且具有Hadoop二進(jìn)制可執(zhí)行文件的適當(dāng)權(quán)限，則可能會(huì)讀取到他們未被授權(quán)訪問(wèn)的數(shù)據(jù)，甚至刪除該數(shù)據(jù)。在Hadoop中沒(méi)有基于角色的訪問(wèn)控制(RBAC)、對(duì)象級(jí)或其他粒度認(rèn)證功能。Hadoop中的加密由于數(shù)據(jù)存儲(chǔ)在多個(gè)DataNodes中，因此每個(gè)DataNode都是攻擊者的潛在入口點(diǎn)，所以必須保護(hù)集群中的所有節(jié)點(diǎn)。為了加密在Hadoop客戶端和DataNodes之間傳輸?shù)臄?shù)據(jù)，必須使用Kerberos或簡(jiǎn)單認(rèn)證和安全層(SASL)框架。DataNode和NameNode之間的通信也需要保護(hù)。加密是保護(hù)敏感數(shù)據(jù)的基本要求。如果未加密靜態(tài)和傳輸中的數(shù)據(jù)，則意味著攻擊者可以攔截節(jié)點(diǎn)間通信，并且可以訪問(wèn)存儲(chǔ)在磁盤(pán)上的私密信息。Kerberos互信2Kerberos互信在現(xiàn)實(shí)生活中，一個(gè)企業(yè)可能會(huì)使用多個(gè)域來(lái)分離企業(yè)的不同部分，或由于其他原因而使用多個(gè)域。這些域中的每一個(gè)域都擁有自己的KDC，每個(gè)KDC都認(rèn)識(shí)屬于自己域的主體。如果來(lái)自域A的用戶想要使用域B中的服務(wù)，顯然，必須為兩個(gè)域設(shè)定一個(gè)一起工作的方法。Kerberos互信是在兩個(gè)域之間建立信任關(guān)系的方式，這使得來(lái)自一個(gè)域的主體可以訪問(wèn)另一個(gè)域的服務(wù)。Kerberos互信假設(shè)組織內(nèi)有兩個(gè)不同的Kerberos域，可以將它們分別命名為SALES.EXAMPLE.COM和HR.EXAMPLE.COM?？梢耘渲眠@兩個(gè)域之間的信任關(guān)系，使SALES.EXAMPLE.COM的用戶能夠信任來(lái)自