13、Apache Sentry：Hadoop生态系统的授权解决方案

Apache Sentry：Hadoop生态系统的授权解决方案

1. 引言

在Hadoop生态系统项目的发展历程中，安全授权的实现方式多种多样。这使得管理员在多个组件间实施和维护统一的授权系统变得愈发困难。不同组件的授权控制粒度和执行水平各异，常常让管理员对用户在Hadoop环境中的实际操作权限感到困惑。正是这些问题催生了Apache Sentry（孵化中）的提案。

2. Sentry概述

Sentry旨在为Hadoop生态系统组件提供细粒度的基于角色的访问控制（RBAC），让管理员能更灵活地控制用户的访问权限。传统的HDFS授权控制局限于简单的POXIS风格权限和扩展ACL，而对于运行在HDFS之上的框架，如Hive、Cloudera Impala、Solr、HBase等，Sentry的目标是统一实现授权，让安全管理员无需深入了解每个组件的细节，就能轻松控制用户和组的访问权限。

3. Sentry概念

• Sentry绑定 ：每个利用Sentry进行授权的组件都必须有一个Sentry绑定。绑定是一个插件，组件通过它将授权决策委托给Sentry，并应用相关模型进行授权决策。例如，Hive和Impala使用SQL模型，Solr使用搜索模型，HBase和Accumulo使用BigTable模型。
• 策略引擎和策略提供者 ：Sentry使用策略引擎通过检查策略提供者来确定请求的操作是否被授权。策略提供者是存储策略的机制，如数据库或文本文件。
• 关键概念 ：