面试题：HBase搜索集成安全配置之基础认证

Question

在HBase搜索集成的安全配置中，简述基于Kerberos的认证机制如何配置，以及它对HBase搜索集成起到怎样的安全保障作用？

Answer 1

基于Kerberos的认证机制配置步骤

1. 安装Kerberos服务器
   • 在相关服务器上安装Kerberos服务器软件，如在CentOS系统上可使用yum install krb5-server krb5-libs krb5-workstation命令进行安装。
   • 配置/var/kerberos/krb5kdc/kdc.conf文件，设置KDC服务相关参数，例如：

   [kdcdefaults]
   kdc_ports = 88
   kdc_tcp_ports = 88
   [realms]
   EXAMPLE.COM = {
       # 数据库类型
       database_name = /var/kerberos/krb5kdc/principal
       admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
       acl_file = /var/kerberos/krb5kdc/kadm5.acl
       key_stash_file = /var/kerberos/krb5kdc/stash
       default_principal_flags = +preauth
   }
   

   • 配置/etc/krb5.conf文件，设置客户端与服务器相关信息，示例如下：

   [libdefaults]
   default_realm = EXAMPLE.COM
   dns_lookup_realm = false
   dns_lookup_kdc = false
   ticket_lifetime = 24h
   renew_lifetime = 7d
   forwardable = true
   [realms]
   EXAMPLE.COM = {
       kdc = master.example.com:88
       admin_server = master.example.com:749
   }
   [domain_realm]
   

.example.com = EXAMPLE.COM example.com = EXAMPLE.COM

2. **创建Kerberos主体**
- 使用`kadmin.local`命令进入Kerberos管理界面，创建HBase相关主体，如：

addprinc -randkey hbase/[e-mail] addprinc -randkey solr/[e-mail]

- 生成keytab文件，例如：

xst -k /etc/security/keytabs/hbase.service.keytab hbase/[e-mail] xst -k /etc/security/keytabs/solr.service.keytab solr/[e-mail]

3. **配置HBase**
- 修改`hbase - site.xml`文件，添加以下配置：
```xml
<property>
    <name>hbase.security.authentication</name>
    <value>kerberos</value>
</property>
<property>
    <name>hbase.security.authorization</name>
    <value>true</value>
</property>
<property>
    <name>hbase.kerberos.principal</name>
    <value>hbase/[e-mail]</value>
</property>
<property>
    <name>hbase.kerberos.keytab.file</name>
    <value>/etc/security/keytabs/hbase.service.keytab</value>
</property>

4. 配置Solr（若HBase搜索集成使用Solr）
   • 修改solr - config.sh文件，添加Kerberos相关配置：

   KERBEROS_PRINCIPAL=solr/[e-mail]
   KERBEROS_KEYTAB=/etc/security/keytabs/solr.service.keytab
   

   • 在Solr的solr - home目录下的core - config.xml文件中添加权限相关配置，例如：

   <security>
       <kerberos>
           <loginContextName>Client</loginContextName>
           <principal>${solr.kerberos.principal:solr/[e-mail]}</principal>
           <keytab>${solr.kerberos.keytab:/etc/security/keytabs/solr.service.keytab}</keytab>
       </kerberos>
   </security>
   

对HBase搜索集成的安全保障作用

1. 身份验证
   • Kerberos通过票据（ticket）机制，确保只有经过授权的用户或服务能够访问HBase搜索集成。例如，客户端在访问HBase搜索服务时，需要向Kerberos服务器获取有效的票据，服务端验证票据的合法性后才允许访问，防止非法用户的访问。
2. 数据保密性
   • 在传输过程中，Kerberos支持数据加密。客户端与HBase搜索服务之间的通信数据可以通过Kerberos密钥进行加密，防止数据在网络传输过程中被窃取或篡改，保障了数据的保密性。
3. 服务授权
   • Kerberos可以与HBase的授权机制相结合，确定哪些用户或服务具有对特定HBase表或搜索操作的权限。只有具有相应权限的主体才能执行诸如查询、写入等操作，进一步增强了系统的安全性。