HBase 在 Debian 上的安全設置方法

1. 啟用Kerberos認證（HBase安全基礎）
Kerberos是HBase實現身份驗證的核心機制，確保只有合法用戶能訪問集群。在Debian上需完成以下步驟：

• 安裝Kerberos軟件包：通過apt安裝必要組件，命令為sudo apt-get update && sudo apt-get install krb5-config krb5-user libkrb5-dev。
• 配置Kerberos參數：編輯/etc/krb5.conf文件，設置default_realm（如YOUR.REALM）和realms段中的kdc（密鑰分發中心）、admin_server（管理員服務器）地址，例如：

  [libdefaults]
    default_realm = YOUR.REALM
  [realms]
    YOUR.REALM = {
      kdc = kdc.your.realm
      admin_server = kdc.your.realm
    }
  

• 生成HBase的Keytab文件：使用kadmin.local命令創建HBase的principal（如hbase/_HOST@YOUR.REALM）并導出keytab文件，命令為：

  kadmin.local -q "addprinc hbase/_HOST@YOUR.REALM"
  kadmin.local -q "ktadd -k /etc/security/keytabs/hbase.service.keytab hbase/_HOST@YOUR.REALM"
  

• 配置HBase識別Kerberos：修改hbase-site.xml，添加以下關鍵屬性：

  <property>
    <name>hbase.security.authentication</name>
    <value>kerberos</value>
  </property>
  <property>
    <name>hbase.security.authorization</name>
    <value>true</value>
  </property>
  <property>
    <name>hbase.security.kerberos.login.keytab</name>
    <value>/etc/security/keytabs/hbase.service.keytab</value>
  </property>
  <property>
    <name>hbase.security.kerberos.login.principal</name>
    <value>hbase/_HOST@YOUR.REALM</value>
  </property>
  

2. 配置防火墻限制訪問（網絡層防護）
通過iptables限制對HBase服務端口的訪問，僅允許可信IP或系統訪問必要端口（如HBase Master的60000端口、RegionServer的60020端口）：

# 允許HBase Master Web UI（默認60010）
sudo iptables -A INPUT -p tcp --dport 60010 -j ACCEPT
# 允許HBase RegionServer Web UI（默認60030）
sudo iptables -A INPUT -p tcp --dport 60030 -j ACCEPT
# 允許SSH（用于遠程管理，默認22）
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 拒絕其他所有入站流量
sudo iptables -A INPUT -j DROP
# 保存規則（Debian需安裝iptables-persistent）
sudo service iptables save
sudo service iptables restart

3. 設置用戶權限與ACL（細粒度訪問控制）
通過HBase Shell或Apache Ranger實現用戶權限管理，控制用戶對表、列族的訪問：

• 創建用戶與組：在Debian系統中創建Linux用戶（如hbase_user1），并將其加入對應組（如hbase_users）：

  sudo adduser hbase_user1
  sudo usermod -aG hbase_users hbase_user1
  

• 配置HBase ACL：使用HBase Shell授予權限，例如授予hbase_user1對test_table表的讀寫權限：

  hbase shell
  grant 'hbase_user1', 'RW', 'test_table'
  # 授予組權限（需開啟HBase的組映射功能）
  grant 'hbase_users', 'R', 'test_table'
  

• 可選：使用Apache Ranger：通過Ranger實現更細粒度的權限控制（如基于列、行的權限），需額外安裝并配置Ranger插件。

4. 啟用數據加密（傳輸與存儲安全）
通過SSL/TLS加密數據傳輸，防止數據被竊聽或篡改：

• 生成SSL證書：使用keytool生成密鑰庫（Keystore）和信任庫（Truststore），命令為：

  keytool -genkeypair -alias hbase -keyalg RSA -keystore /path/to/hbase.keystore.jks -validity 365
  keytool -exportcert -alias hbase -keystore /path/to/hbase.keystore.jks -file hbase.crt
  keytool -importcert -alias hbase -file hbase.crt -keystore /path/to/hbase.truststore.jks
  

• 配置HBase啟用SSL：修改hbase-site.xml，添加以下屬性：

  <property>
    <name>hbase.rpc.ssl.enabled</name>
    <value>true</value>
  </property>
  <property>
    <name>hbase.rpc.ssl.keystore.path</name>
    <value>/path/to/hbase.keystore.jks</value>
  </property>
  <property>
    <name>hbase.rpc.ssl.keystore.password</name>
    <value>your_keystore_password</value>
  </property>
  <property>
    <name>hbase.rpc.ssl.truststore.path</name>
    <value>/path/to/hbase.truststore.jks</value>
  </property>
  <property>
    <name>hbase.rpc.ssl.truststore.password</name>
    <value>your_truststore_password</value>
  </property>
  

5. 其他安全加固措施

• 定期更新組件：使用apt更新HBase、Kerberos、Debian系統及相關依賴，及時修復安全漏洞：

  sudo apt update && sudo apt upgrade -y
  

• 啟用審計日志：配置HBase審計日志記錄用戶操作（如訪問表、修改數據），便于后續安全審計。修改hbase-site.xml添加：

  <property>
    <name>hbase.security.audit.log.enabled</name>
    <value>true</value>
  </property>
  <property>
    <name>hbase.security.audit.log.path</name>
    <value>/var/log/hbase/audit.log</value>
  </property>
  

• 強化系統用戶權限：確保HBase運行用戶（如hbase）對數據目錄（如/usr/local/hbase/data）有讀寫權限，且其他用戶無不必要的訪問權限：

  sudo chown -R hbase:hbase /usr/local/hbase/data
  sudo chmod -R 750 /usr/local/hbase/data