CentOS下HBase安全设置

在CentOS下设置HBase的安全策略通常涉及以下几个步骤：

1. 安装和配置HBase

确保你已经正确安装了HBase。如果还没有安装，可以参考HBase官方文档进行安装。

2. 配置Kerberos

HBase支持通过Kerberos进行安全认证。以下是基本步骤：

• 安装Kerberos服务器：

  sudo yum install krb5-server krb5-utils
  

• 配置Kerberos服务器：

  编辑 /etc/krb5.conf 文件，添加你的KDC（Key Distribution Center）信息：

  [libdefaults]
    default_realm = YOUR-REALM.COM
  
  [realms]
    YOUR-REALM.COM = {
      kdc = kdc.your-realm.com
      admin_server = admin.your-realm.com
    }
  
  [domain_realm]
    .your-realm.com = YOUR-REALM.COM
    your-realm.com = YOUR-REALM.COM
  

• 创建Kerberos principal和keytab：

  sudo kadmin: addprinc hbase/_HOST@YOUR-REALM.COM
  sudo kadmin: ktadd -k /etc/security/keytabs/hbase.service.keytab hbase/_HOST@YOUR-REALM.COM
  

• 配置HBase使用Kerberos：

  编辑HBase的配置文件 /etc/hbase/conf/hbase-site.xml，添加以下内容：

  <property>
    name = hbase.security.authentication
    value = kerberos
  </property>
  <property>
    name = hbase.security.authorization
    value = true
  </property>
  <property>
    name = hbase.rpc.protection
    value = privacy
  </property>
  <property>
    name = hbase.client.operation.timeout
    value = 60000
  </property>
  <property>
    name = hbase.server.operation.timeout
    value = 60000
  </property>
  

3. 配置访问控制列表(ACL)

HBase支持基于用户和角色的访问控制列表。你可以使用HBase shell或Java API来设置ACL。

• 使用HBase shell设置ACL：

  hbase grant 'hbase', 'RW', 'table1'
  hbase grant 'user1', 'RW', 'table2'
  

• 使用Java API设置ACL：

  Configuration conf = HBaseConfiguration.create();
  Connection connection = ConnectionFactory.createConnection(conf);
  Admin admin = connection.getAdmin();
  AccessControlList acl = new AccessControlList("table1");
  acl.addPermission(new Permission(TableName.valueOf("table1"), "user1", "RW"));
  admin.setAccessControlList(acl, "default");
  admin.close();
  connection.close();
  

4. 配置防火墙和安全组

确保你的CentOS服务器上的防火墙和安全组允许HBase所需的端口通信。默认情况下，HBase使用TCP端口9090和RPC端口8020。

• 配置防火墙：

  sudo firewall-cmd --zone public --add-port 9090/tcp --permanent
  sudo firewall-cmd --zone public --add-port 8020/tcp --permanent
  sudo firewall-cmd --reload
  

• 配置安全组（如果你在云服务提供商上）：添加相应的入站规则以允许端口9090和8020的流量。

5. 验证配置

• 验证Kerberos认证：尝试使用Kerberos票据访问HBase。
• 验证ACL：确保用户具有正确的权限。