Что касается безопасности Hadoop через Kerberos

1) Док Apache использует слово «токен» в то время как общий документ через Интернет использует термин «Билет».

Являются ли токены и билеты одинаковыми?

2) Апач документ также «узлы DataNode не применять никакого контроля доступа на доступах к его блокам данных.

Это делает возможным несанкционированный клиент для чтения блока данных в пор, как она может поставить его Идентификатор блока. Также возможно, чтобы кто-либо написал произвольные блоки данных в DataNodes. "

Мои мысли по этому поводу: -

Я могу принести Id блок из пути к файлу с помощью команды: -

[email protected]:/opt/hadoop/hadoop-1.0.2/bin$ ./hadoop fsck /hadoop/mapred/system/jobtracker.info -files -blocks

FSCK начатое Hadoop от /127.0.0.1 для пути/Hadoop/mapred /system/jobtracker.info в Пн Июл 09 06:57:14 EDT 2012 /hadoop/mapred/system/jobtracker.info 4 байта, 1 блок (ы): OK 0. blk_-9148080207111019586_1001 len = 4 repl = 1

Поскольку у меня было разрешено обращаться к файлу jobtracker .info, я смог найти свой blockID, используя указанную выше команду.
Я думаю, что если я добавлю какое-то смещение к этому идентификатору блока и напишу в этот datanode.

Как я могу явно указать blockID во время записи файла в HDFS. (Что такое команда?)
Любой другой способ записи произвольных блоков данных в DataNodes?

Скажите, пожалуйста, если мой подход неправильный?

источник

2013-02-28 Rohit Sarewar

Вы нашли какой-либо надлежащий полный способ защиты кластера хаопов? –

Являются ли токены и билеты такими же?

Нет. Билеты выдаются Kerberos, а затем серверы в токенах Hadoop (NameNode или JobTracker) для обеспечения аутентификации в кластере Hadoop. Hadoop не полагается на Kerberos для аутентификации запущенных задач, например, но использует свои собственные токены, которые были выпущены на основе билетов Kerberos.

Док Apache также «узлы DataNode не применять никакого контроля доступа на доступов к его блоков данных.

Я предполагаю, что вы принимаете, что с JIRA, где был обеспечен контроль доступа (https://issues.apache.org/jira/browse/HADOOP-4359) через BlockAccessTokens. Предполагая, что это включено - что должно быть в защищенном кластере - невозможно получить доступ к блоку в datanode без такого токена, который выдается NameNode после аутентификации и авторизации через собственную файловую систему Kerberos и HDFS разрешения.

источник

2013-02-28 07:00:55

Спасибо, Якоб за то, что помог мне, Для моего второго вопроса «Дополнение к Apache также говорит:« Датаноды не ............................. ...., когда управление доступом не включено. Мне нужно знать ... Как я могу получить доступ к Datanode и записывать данные в арбитраж? –

Как я могу получить доступ к Datanode и записать данные произвольно?

Я не уверен, что вы имеете в виду здесь. Вы имеете в виду, когда у пользователя нет разрешения? Поскольку Якоб упомянул , вы не получите действительный BlockAccessToken, если у пользователя нет прав доступа к данным на основе разрешений файловой системы, если у вас есть безопасный кластер Hadoop.

источник

2014-11-23 03:22:13

Что касается безопасности Hadoop через Kerberos

ответ

Смежные вопросы