1 大(dà)數(shù)據平台安全方案
1.1 安全需求
九方認為(wèi)大(dà)數(shù)據平台，通(tōng)常包含以下★ ✔ (xià)4個(gè)方面的(de)需求：
1. 邊界安全（認證）：對(duì)于Hadoop集群，會(huì)有(yǒu)各種不(bù)同類型的(de®δ)訪問(wèn)，包括對(duì)數(shù↓)據的(de)訪問(wèn)，對(duì)組件(jiàn)服務的(de)β✘£訪問(wèn)等等。對(duì)于這(zhè)些(xi±±≠♥ē)訪問(wèn)，需要(yào)通(tōng)過認證技(jì> )術(shù)來(lái)驗證哪些(xiē)用(y≠≠±òng)戶，或者進程能(néng)夠被允許訪問(wèn)群。
2. 數(shù)據保護（數(shù)據加密）： σ 大(dà)數(shù)據平台，存放(fàng)著(zhe)海(hǎi)量的(γ×↕<de)數(shù)據。這(zhè)些(xiē✔↕®♠)數(shù)據在存儲，傳輸的(de)過程中都(dōu)應該♦πΩ♣是(shì)得(de)到(dào)保護的(de)，或者是(shì)加密的(d₽®e)。
3. 訪問(wèn)控制(zhì)（授權）：為(wèi)不(bù)同的σ↓ε≠(de)用(yòng)戶，應用(yòng)設定不(bù)同∞≠☆α的(de)權限，聲明(míng)這(zhè)些(xiē)用(yòng)戶以及應♣±¶¶用(yòng)能(néng)夠對(duì)集群的(de)數(∞♠shù)據進行(xíng)的(de)操作(zuò)。
4. 數(shù)據可(kě)視(shì)化(huà)：數(shù)據能(néng)夠被監管，數(shù)據從(cóng)哪裡(lǐ)來(lái)，✔ " 怎麽被使用(yòng)，最終去(qù)向哪裡(lǐ)等等信息都(dōu)↓ 需要(yào)被記錄。
1.2 Hadoop集群安全之路(lù)
由于安全本身(shēn)的(de)複雜(zá)性，以及會(huì)涉及到(dà©o)的(de)大(dà)量低(dī)對(duì)集群配置的(deα↕ ₹)改動。九方推薦安全的(de)實施，應該是(shì)緊随著(zhe♥♥)新集群搭建完成之後，集群剛剛完成搭建，相(xiàng)應的(de)配置會(hφλuì)比較簡單，不(bù)會(huì)涉及到(dào)應用(yòng®☆"$)的(de)适配。九方建議(yì)分(fēn)階段啓用(yòng)安全功能(néng)。
Phase 0：沒有(yǒu)安全功能(néng)©£♠的(de)集群。但(dàn)是(shì)這(zhè)≠ §個(gè)集群已經完成基本組件(jiàn)的(de)安裝，&♠ε是(shì)一(yī)個(gè)能(néng)夠工(gōng)≈&£作(zuò)的(de)集群，高(gāo)可(kě)用(yòng)等基本功能(n'×éng)已經具備。
Phase 1：具備基本安全功能(néng)的(de)集群。集群啓用(yòn g)了(le)認證，授權以及審計(jì)的(deγ☆<)功能(néng)。啓用(yòng)認證，隻有(yǒu₽σ)獲得(de)登陸信息的(de)用(yòng)戶才εΩ↕能(néng)夠訪問(wèn)集群。啓用(yòng)䶶授權，給用(yòng)戶分(fēn)配權限。啓用(yòng♦"♣)審計(jì)，記錄那(nà)些(xiē)用(yòng)戶在集群裡(lǐ)σ≠面做(zuò)了(le)怎樣的(de)操作($<♠☆zuò)。
Phase2：具備高(gāo)級安全功能(néng)的(de)集★₹群。對(duì)于部分(fēn)關鍵的(de)數(sh↕♣≈ù)據進行(xíng)加密。使用(yòng)秘鑰管理(lǐ)系∏δ統對(duì)加密秘鑰進行(xíng)管理ε&β(lǐ)。
Phase3：具備完整安全功能(néng)的(dλ<↓e)集群。集群所有(yǒu)的(de)數(shù)據都(dōu☆α∞ )進行(xíng)了(le)加密，加密包括at-rest的(de)加密ε γ↕以及傳輸過程中的(de)加密。密鑰管理(lǐ)系統支持高(gāo)可(kě$©)用(yòng)容錯(cuò)。審計(jì)功能(nén g)接入工(gōng)業(yè)級的(de)審計(jì)集中↑♥平台。
2 安全實現(xiàn)架構
上(shàng)圖是(shì)推薦的(de)安全架構。
安全參考架構集中于四個(gè)關鍵要(yào)素中：
· 邊界安全：保護集群服務訪問(wèn)，且僅向外(wài)部企業(yè)用(yòn≠♥₽g)戶、應用(yòng)程序和(hé)網絡公開(kā σ≥¥i)特定接口（防火(huǒ)牆與認證）；
· 訪問(wèn)控制(zhì)：控制(zhì)數(shù)據用(yòng)戶和(hé)應用(y☆ €βòng)程序可(kě)以訪問(wèn)以及其可(kě)以£≥使用(yòng)什(shén)麽計(jì)★×ε算(suàn)機(jī)資源（授權與多(d✘↓♦uō)租戶）；
· 數(shù)據可(kě)視(shì)化(huà)：報(bào)告數(shù)據在何處及其如(rú)何使用(yòng÷&)（審計(jì)與血緣關系）；
· 數(shù)據保護：保護敏感數(shù)據的(de)可(k₹δ≤≤ě)見(jiàn)性（加密）。