# 安全架构设计
# 1. 网络安全：防火墙、VLAN隔离、VPN等
# 2. 系统安全：操作系统安全、补丁管理等
# 3. 认证与授权：Kerberos、LDAP等
# 4. 数据安全：数据加密、访问控制等
# 5. 审计与监控：安全审计、日志监控等

# 安全工具选型
# 1. 认证工具：Kerberos、LDAP
# 2. 授权工具：Ranger、Sentry
# 3. 加密工具：HDFS加密、SSL/TLS
# 4. 审计工具：Cloudera Navigator、Apache Atlas
# 5. 监控工具：Prometheus、Grafana

# Kerberos认证配置
# 1. 安装Kerberos
[root@fgedu.net.cn ~]# yum install -y krb5-server krb5-libs krb5-workstation

# 2. 配置Kerberos
[root@fgedu.net.cn ~]# vi /etc/krb5.conf
[libdefaults]
default_realm = FGEDU.NET.CN
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true

[realms]
FGEDU.NET.CN = {
kdc = fgedu.net.cn
admin_server = fgedu.net.cn
}

[domain_realm]
.fgedu.net.cn = FGEDU.NET.CN
fgedu.net.cn = FGEDU.NET.CN

# 3. 初始化Kerberos数据库
[root@fgedu.net.cn ~]# kdb5_util create -s

# 4. 创建Kerberos主体
[root@fgedu.net.cn ~]# kadmin.local
kadmin.local: addprinc -randkey hdfs/fgedu.net.cn
kadmin.local: addprinc -randkey yarn/fgedu.net.cn
kadmin.local: addprinc -randkey mapred/fgedu.net.cn
kadmin.local: addprinc fgedu

# 5. 导出密钥表
kadmin.local: xst -k /etc/security/keytabs/hdfs.keytab hdfs/fgedu.net.cn
kadmin.local: xst -k /etc/security/keytabs/yarn.keytab yarn/fgedu.net.cn
kadmin.local: xst -k /etc/security/keytabs/mapred.keytab mapred/fgedu.net.cn

# 6. 配置Hadoop使用Kerberos
[root@fgedu.net.cn ~]# vi /bigdata/app/hadoop/etc/hadoop/core-site.xml hadoop.security.authentication
kerberos hadoop.security.authorization
true

# 访问控制配置
# 1. 配置HDFS权限
[root@fgedu.net.cn ~]# hdfs dfs -chmod 755 /user
[root@fgedu.net.cn ~]# hdfs dfs -chown hdfs:hdfs /user

# 2. 配置YARN权限
[root@fgedu.net.cn ~]# vi /bigdata/app/hadoop/etc/hadoop/yarn-site.xml yarn.resourcemanager.security.enabled
true yarn.nodemanager.container-executor.class
org.apache.hadoop.yarn.server.nodemanager.LinuxContainerExecutor yarn.nodemanager.linux-container-executor.group
hadoop
# 3. 配置MapReduce权限
[root@fgedu.net.cn ~]# vi /bigdata/app/hadoop/etc/hadoop/mapred-site.xml mapreduce.jobtracker.kerberos.principal
mapred/fgedu.net.cn@FGEDU.NET.CN mapreduce.jobtracker.kerberos.keytab
/etc/security/keytabs/mapred.keytab

# 数据加密配置
# 1. 配置HDFS透明加密
[root@fgedu.net.cn ~]# vi /bigdata/app/hadoop/etc/hadoop/hdfs-site.xml dfs.encryption.key.provider.uri
kms://http@fgedu.net.cn:9600/kms dfs.encryption.zones.enabled
true
# 2. 创建加密区域
[root@fgedu.net.cn ~]# hdfs dfs -mkdir /encryption
[root@fgedu.net.cn ~]# hdfs crypto -createZone -keyName encryptionKey -path /encryption

# 3. 配置SSL/TLS
[root@fgedu.net.cn ~]# keytool -genkey -alias fgedu -keyalg RSA -keystore keystore.jks
[root@fgedu.net.cn ~]# vi /bigdata/app/hadoop/etc/hadoop/ssl-server.xml ssl.server.keystore.location
/bigdata/app/hadoop/conf/keystore.jks ssl.server.keystore.password
password