一、概述　　

Hadoop開源技術(shù)框架在實際業(yè)務(wù)應(yīng)用中，其早期的安全機制飽受詬病，具體到HDFS應(yīng)用方面的問題，主要包括以下幾個方面：

1.用戶到服務(wù)器的認證問題

（1）Namenode上沒有用戶認證：用戶只要知道NameNode服務(wù)地址和端口信息，就可以訪問HDFS，并獲取文件namespace信息。

（2）Datanode上沒有認證機制：Datanode對讀入輸出并沒有認證，導(dǎo)致如果客戶端知道Blockid，就可以任意的訪問Datanode上的Block數(shù)據(jù)。

2.服務(wù)器到服務(wù)器的認證信息

（1）Namenode對Datanode沒有認證機制：非法用戶可以偽裝成Datanode，去接收Namenode的文件存儲任務(wù)。

二、hadoop的Security

針對用戶到服務(wù)器的認證問題，Hadoop在1.0.0版本以后增加了Security認證機制。該機制采用類Unix用戶管理機制，文件的創(chuàng)建用戶和超級用戶擁有對文件的所有權(quán)限，包括讀和寫，其他用戶擁有訪問權(quán)，無寫權(quán)限。具體來講就是，連接到hadoop 集群的用戶/組信息取決于客戶端環(huán)境，即客戶端主機中`whoami`和`bash –c groups`取到的用戶名和組名，沒有uid和gid，用戶屬組列表中只要有一個與集群配置的用戶組相同即擁有該組權(quán)限。

值得注意的是當前Hadoop的三個主要版本分支中并不是都實現(xiàn)了對其的支持，具體實施時需要注意不同版本的區(qū)別。

三、hadoop的kebores

Hadoop的Kebores認證機制，用來解決服務(wù)器到服務(wù)器的認證，主要涉及云盤系統(tǒng)后臺服務(wù)分布式集群安全問題，將另開專題討論。在此不作討論。

四、云盤系統(tǒng)客戶端文件安全保障

云盤系統(tǒng)客戶端HDFS文件安全保障主要涉及用戶對HDFS文件服務(wù)集群的安全訪問問題，包括某一個注冊用戶只能訪問屬于該用戶的空間和某一個用戶只能在HDFS空間上訪問指定大小的空間兩個問題。這里面是涉及一個用戶管理和空間管理的問題，在此不作詳細介紹。

針對問題一，我們可以通過改造現(xiàn)有HadoopThriftServer或者新增服務(wù)機制來解決，即客戶端登陸時，返回HDFS上該用戶的允許訪問路徑，用戶操作過程中進行訪問路徑檢測，非授權(quán)路徑自動過濾，不允許訪問。

針對問題二，提供用戶注冊機制，服務(wù)端根據(jù)用戶注冊的權(quán)屬組，調(diào)用FSadmin設(shè)置用戶文件夾的授權(quán)大小。

原文鏈接：http://www.cnblogs.com/hadoopdev/archive/2013/03/07/2947822.html

【編輯推薦】