面试题答案
一键面试1. 用户认证
- 基于 Kerberos：HBase 可集成 Kerberos 实现用户身份认证。Kerberos 是一种网络认证协议，通过密钥分发中心（KDC）发放票据（Ticket）来确认用户身份。在 HBase 中配置 Kerberos 后，用户在访问 HBase 时需先获取 Kerberos 票据，HBase 服务端验证票据有效性后才允许用户连接。
- 用户名/密码认证：简单场景下，也可采用用户名和密码方式进行认证。但这种方式安全性相对较低，适合测试或内部简单环境。HBase 可通过自定义认证机制实现用户名/密码认证，将用户信息存储在数据库或配置文件中，在用户连接时进行验证。
2. 权限分配
- 基于角色的权限控制（RBAC）：
- 角色定义：根据不同用户类型或业务需求定义角色，如“数据分析师”“数据录入员”“管理员”等。每个角色具有特定的权限集合。例如，“数据分析师”角色可能只有读权限，“数据录入员”角色有写权限，“管理员”角色则拥有所有权限。
- 权限绑定：将读、写、删除等操作权限与角色进行绑定。在 HBase 中，可通过配置文件或管理工具为每个角色分配相应的 HBase 操作权限。例如，对于读权限，可允许角色对特定表或列族执行
GET操作；对于写权限，允许执行PUT操作；删除权限则允许执行DELETE操作。 - 用户角色关联：将用户与角色进行关联，一个用户可以属于多个角色。例如，某个高级数据分析师既属于“数据分析师”角色拥有读权限，又可能被赋予部分“管理员”角色权限以进行特定的维护操作。
- 细粒度权限控制：
- 按表和列族：不仅可以对整个表进行权限控制，还能细化到列族级别。例如，某些敏感数据存储在特定列族中，只有特定角色（如“高级管理员”）才有权限访问该列族的所有数据，而普通“数据分析师”角色只能访问其他列族的数据。
- 按版本：结合 HBase 的版本控制，可针对不同版本数据设置权限。比如，历史版本数据仅供审计人员或特定角色读取，新写入的版本数据允许“数据录入员”进行修改。在权限配置中，可通过版本号范围或时间戳等方式来定义对不同版本数据的访问权限。例如，设置某个角色只能读取最近一周内写入的版本数据。
3. 权限验证与审计
- 权限验证：在用户进行读、写、删除等操作时，HBase 服务端会根据已分配的权限进行验证。HBase 的 RegionServer 在接收到客户端请求时，会检查用户的身份和权限，判断该用户是否有权限执行此操作。如果权限不足，会返回权限错误信息。
- 审计日志：开启 HBase 的审计日志功能，记录所有用户的操作，包括操作类型（读、写、删除等）、操作对象（表、列族、版本等）、操作时间和用户身份等信息。通过审计日志，管理员可以追溯用户的操作历史，发现潜在的安全问题或违规操作。例如，若发现某个用户频繁尝试删除高敏感数据版本，可通过审计日志进一步调查该用户的行为。同时，审计日志也有助于合规性检查，确保系统操作符合安全策略和相关法规要求。