一种基于Kerberos和HDFS数据存储平台访问控制策略.docVIP

一种基于Kerberos和HDFS的数据存储平台访问控制策略 　　摘要：重点关注云存储在访问安全性和隐私安全性上的两个问题，设计面向多租户的安全数据存储机制和用户访问控制机制，并结合企业实际需求，向租户提供安全、按需、实时和可扩展的存储服务。基于Kerberos的多租户访问控制策略将提升云存储平台的安全性，简化HDFS权限管理的复杂度，提高云存储平台权限管理的交互性能。 　　关键词：HDFS；数据存储平台；访问控制策略 　　中图分类号：TP391.41 　　文献标识码：A 　　DOI： 10.3969/j.issn.1003-6970.2016.01.016 　　0 引言 　　Eole平台是自主研发的，基于Hadoop构建，具有数据存储、数据处理、访问控制、权限管理、资源隔离和资源调度等多种功能的云端大数据存储与处理平台，可以为中小型企业或者企业内部提供云端的数据存储与数据计算，并保证不同租户数据的安全性。在保证安全性时，有两点问题尤其值得关注：第一，企业及个人存储在平台上的数据是不允许公司内部其它部门或其它地域的用户访问的，更加不能被同平台的租户窃取和篡改；第二，租户的敏感信息如果在平台上明文存储，则平台管理员完全有可能监守自盗，造成租户敏感信息的泄。 　　EOLE云存储平台作为一种多租户的数据存储平台，在给企业带来收益的同时，也需要对其数据的安全性提供保障。中小型企业利用EOLE云存储平台来存放企业内部数据，则要求这些数据不能够被公司内部其它部门或其它地域的用户访问，更加不能被同平台的租户窃取和篡改。因而，实现多租户访问控制是构建云存储平台亟待解决的重要问题之一。 　　基于此，本文基于Kerberos和HDFS （HadoopDistribute File System）的特点，结合了基于角色的访问控制策略的基本思想和其它一些用户属性，提出了一种面向多租户的访问控制策略。首先介绍一下存储平台的整体设计，包括访问控制策略与各个子模块之间的关系；然后重点介绍多租户访问控制策略，最后对加上访问控制之后的存储平台进行了相关测试。 　　1 相关工作 　　目前，针对云存储环境中多租户数据安全问题，人们多数采用的是传统的访问控制策略。例如：Amazon S3仅提供访问控制列表（Access ControlList，以下称ACL）和bucket来进行访问控制，Amazon弹性云仅仅是在用户客户端通过SOAP overHTTPS加密协议来保证客户端与远端连接的安全性， PCS2.5 （ParaScale Cloud Storage）也仅提供可扩展的数据加密功能来加密处理拷贝和迁移过程中的数据。这些策略都十分简单，基本上没有进行访问控制。 　　其实，传统的访问控制模型已经不能满足新型的云计算架构要求，以传统的RBAC为例，云中的主体和客体的定义发生了很多变化，云计算中出现了以多租户为核心、大数据为基础的服务模式，所以在云计算的访问控制要对主体和客体的有关概念重新界定，这就导致了传统的访问控制模型要进行优化和更新，使其更适用于云计算环境。我国研究人员沈晴霓于2011年在著作中提出了一种面向多租户的访问控制策略，其定义了主客体的安全标签，并由此生成角色树，再根据权限公式来进行访问控制。这个方法安全性虽然很高，普适性较好，但是没有利用HDFS本身所具有的一些特性，实现起来对以HDFS为基础的存储平台性能影响很大。 　　本文则基于HDFS自身提供的Kerberos的身份验证机制，以及在资源访问控制方面的ACL，设计一个以RBAC为基础的灵活的，可以按需定制的访问控制策略，主要创新点在于利用安全标签来建设层级目录，充分利用HDFS已有的数据，不需要额外记录数据的权限。同时，权限划分可根据企业需求定制，分享数据有时效性保证，足以保证不同租户之间资源的强隔离性，租户内部各个部门之间的适度隔离性。 　　2 平台总体设计 　　2.1 总体架构 　　数据平台总体架构如图1所示。该存储平台基于HDFS构建，充分利用了HDFS低成本高效率的优点。目前，HDFS存在两个问题：第一，在管理用户及其权限时操作仍然复杂，交互性差，不够便捷；第二，在访问控制方面，用户权限管理粒度较低，权限划分比较简单。针对这两个问题，在用户和数据层之间加入了一层数据存储平台。该平台向上可提供统一的安全的数据访问服务，向下可将数据进行统一的管理。在该平台的结构中，所有数据访问操作都要经过安全保证模块保证安全，而该模块的核心则是访问控制模块。权限管理和用户管理中对用户和角色的权限定义决定了访问控制中对用户进行的访问控制策略，基于这些策略，用户可以在平台上存储数据，操作数据，分享数据。 　　3 访问控制策略 　　3.1 策略设计原则 　　灵活性：由于各个企业