centos如何保护hdfs

在 CentOS 上“保护 HDFS”通常涉及系统层安全 + Hadoop 自身安全机制两方面。下面按实用优先级给你一个较完整的安全加固方案。

一、CentOS 系统层保护（基础）

1. 系统账户与权限

• 不要用 root 启动 HDFS

useradd hadoop
chown -R hadoop:hadoop /opt/hadoop
su - hadoop

• 限制 hadoop 用户权限（sudo 最小化）

2. 防火墙（firewalld）

只开放必要端口（如 8020、50070、50010 等）

firewall-cmd --permanent --add-port=8020/tcp
firewall-cmd --permanent --add-port=50070/tcp
firewall-cmd --reload

3. 禁用不必要服务

systemctl disable telnet vsftpd

4. SELinux（视情况）

• 测试环境可设为 permissive
• 生产环境建议开启并写策略

setenforce 1

二、HDFS 自身安全机制（核心）

1. 开启 HDFS 权限控制

hdfs-site.xml

<property>
  <name>dfs.permissions.enabled</name>
  <value>true</value>
</property>

2. 使用 Kerberos 认证（最重要）

防止伪造用户访问 HDFS

安装 KDC

yum install krb5-server krb5-workstation

创建 principal

kadmin.local
addprinc -randkey hdfs/node1@EXAMPLE.COM
ktadd hdfs/node1@EXAMPLE.COM

Hadoop 配置

core-site.xml

<property>
  <name>hadoop.security.authentication</name>
  <value>kerberos</value>
</property>

hdfs-site.xml

<property>
  <name>dfs.namenode.kerberos.principal</name>
  <value>hdfs/_HOST@EXAMPLE.COM</value>
</property>

三、数据保护

1. HDFS 透明加密（TDE）

保护静态数据

hdfs crypto -createZone -keyName mykey -path /secure

2. 数据副本

<property>
  <name>dfs.replication</name>
  <value>3</value>
</property>

3. 快照保护重要目录

hdfs dfsadmin -allowSnapshot /data
hdfs dfs -createSnapshot /data snap1

四、网络安全与审计

1. 绑定内网网卡

hdfs-site.xml

<property>
  <name>dfs.namenode.rpc-bind-host</name>
  <value>192.168.x.x</value>
</property>

2. 开启审计日志

log4j.properties

hadoop.security.audit.logger=INFO,RFAAUDIT

3. 使用 Hadoop Ranger / Sentry（企业级）

• 细粒度权限控制
• 用户/组/目录级 ACL

五、运维安全建议

• 定期更新 CentOS & Hadoop 补丁
• NameNode / DataNode 分离部署
• 禁止公网暴露 Web UI（50070）
• 使用 HTTPS（hdfs:// → https）

六、最小安全 Checklist（推荐）

✅ 非 root 启动
✅ 防火墙限制端口
✅ HDFS 权限开启
✅ Kerberos 认证
✅ 快照 + 副本
✅ 审计日志

如果你能告诉我：

• 是 测试 / 生产
• 是否已有 Kerberos
• Hadoop 版本（2.x / 3.x）

我可以给你更精确的一份配置示例。