hadoop安全目录:
-
kerberos(已发布)
-
elasticsearch(已发布)https://blog.51cto.com/chenhao6/2113873
-
knox
-
oozie
-
ranger
-
apache sentry
简介:
从运维青铜到运维白银再到运维黄金,这里就要牵扯到方向问题也就是装备,根据自己的爱好,每个人都应该选择一个适合自己和喜欢自己的一个职业技术方向,如:大数据安全,开发运维,云计算运维等等。而掌握的越多前言技术也就是更多的装备,才能更好的在it行业混下去,毕竟it技术更新太快,初级篇和中级篇前面已介绍。
现在给大家介绍大数据安全的正式面目:
1.大数据基本组件
2. Hadoop安全背景
共享集群
按照业务或应用的规则划分资源队列,并分配给
特定用户
HDFS上存放各种数据,包括公共的、机密的
安全认证:确保某个用户是自己声称的那个用户
安全授权:确保某个用户只能做他允许的那些操作
3. 设备说明
服务 |
IP |
主机名 |
系统 |
Ambari Kerberos |
192.168.2.140 |
hdp140 |
CentOS 7.3 |
namenode |
192.168.2.141 |
hdp141 |
CentOS 7.3 |
datanode |
192.168.2.142 |
hdp142 |
CentOS 7.3 |
datanode |
192.168.2.143 |
hdp143 |
CentOS 7.3 |
4. kerberos基本概念:
Principal(安全个体):被认证的个体,有一个名字和口令
KDC(key distribution center ) : 是一个网络服务,提供ticket 和临时会话密钥
Ticket:一个票据,客户用它来向服务器证明自己的身份,包括客户标识、会话密钥、时间戳。
AS (Authentication Server): 认证服务器
TGS(Ticket Granting Server): 许可证服务器
TGT:Ticket-granting Ticket
5. kerberos认证过程:
6. 集群启用Kerberos认证
装KDC Server
1. 安装一个新的KDC Server(任意一个集群主机,这里hdp141为例)
# yum install krb5-server krb5-libs krb5-workstation
2. 打开KDC Server的配置文件
# vi /etc/krb5.conf
修改文件中的[realms]部分,将为属性kdc和admin_server设置的默认值“kerberos.example.com”替换成实际KDC server的主机名。在下面的例子中,“kerberos.example.com”被替换成了 “my.kdc.server”。
[realms]
EXAMPLE.COM = {
kdc = my.kdc.server
admin_server = my.kdc.server
}
3. (可选)自定义realms配置(EXAMPLE.COM修改为CESHI.COM,下面例子都为CESHI.COM)
# vi /etc/krb5.conf
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
default_realm = CESHI.COM
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
[realms]
CESHI.COM = {
kdc = hdp141
admin_server = hdp141
}
[domain_realm]
.vrv.com = CESHI.COM
vrv.com = CESHI.COM
# vi /var/kerberos/krb5kdc/kdc.conf
[kdcdefaults]
kdc_ports = 88
kdc_tcp_ports = 88
[realms]
CESHI.COM = {
#master_key_type = aes256-cts
acl_file = /var/kerberos/krb5kdc/kadm5.acl
dict_file = /usr/share/dict/words
admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:norma