許多組織正在部署Hadoop以幫助發布他們的大數據項目。然而，Hadoop在默認情況下以非安全模式運行，這意味著組織的敏感數據面臨內部和外部威脅的風險。鑒于Hadoop中的數據的價值，其關鍵是組織在將其遷移到生產之前保護其大數據部署。
作為這種努力的一部分，組織應嚴格控制用戶對Hadoop集群中的節點的訪問。然而，同時，他們還需要一種集中管理訪問權限的方法，以避免額外的操作開銷和人工錯誤的風險。利用活動目錄(ActiveDirectory實現大數據身份和訪問管理可以解決這兩個問題。
利用Kerberos彌補Hadoop的缺陷
組織開發人員意識到在非安全模式下部署Hadoop的影響，許多已經實現了安全模式，包括結合Kerberos來驗證從一個節點到下一個節點的用戶和服務。雖然這是向正確方向邁出的一步，但它仍然給企業IT組織帶來了各種挑戰。
即使加入了Kerberos，Hadoop仍默認在非安全模式下運行。要使用Kerberos，組織必須經歷設置MITKerberos環境的耗時，容易出錯，多步驟的過程。一旦設置完成，組織需要一種方法來集中管理用戶訪問。沒有它，用戶帳戶必須在組織的多個Hadoop集群中的數百或數千個節點上設置。
即使加入了Kerberos，Hadoop仍默認在非安全模式下運行。要使用Kerberos，組織必須經歷設置MITKerberos環境的耗時，容易出錯，多步驟的過程。一旦設置，組織需要一種方法來集中管理用戶訪問。沒有它，用戶帳戶必須在組織的多個Hadoop集群中的數百或數千個節點上設置。
與法規遵從性要求一樣，Hadoop生態系統是高度動態的。每當環境或監管要求改變時，用戶訪問權限也必須改變，這使得訪問管理的工作越來越復雜。
最后，設置Kerberos環境還意味著創建一個對大多數組織的活動目錄環境來說是冗余的并行身份基礎結構。這意味著對用戶角色和職責的任何更改必須應用于兩個身份管理環境。
利用現有的身份基礎架構進行大數據安全認證
確保Hadoop生產部署的更好方法涉及使用利用現有活動目錄基礎架構的解決方案，該基礎架構已經提供Kerberos身份驗證功能。使用這種集中式跨平臺身份管理基礎架構解決方案，IT組織可以使用現有標識和組成員資格授予對Hadoop集群的訪問權限，而不必為每個Hadoop集群中的用戶創建新標識。
這種方法還允許組織利用現有的技能集和管理流程來設置用戶帳戶，并訪問大數據節點，幫助降低成本和錯誤風險，從而提高安全性。使用現有的活動目錄帳戶登錄還可以保護Hadoop環境，同時有助于以可重復，可擴展和可持續的方式證明其合規性。
如何運行
活動目錄部署通常很復雜，但統一的身份管理解決方案可以在復雜的活動目錄環境中簡化和簡化連接和管理非Windows系統的服務器。通過Hadoop集成，身份管理解決方案可以將Hadoop集群連接到現有的活動目錄基礎架構。一旦集群節點被集成，從一個節點到下一個節點的自動認證只需要添加新的服務帳戶。
統一身份管理解決方案還可以自動執行Hadoop服務帳戶管理。活動目錄的Kerberos和LDAP功能的強大功能擴展到Hadoop集群，從而為Hadoop管理員和最終用戶提供身份驗證。如果已經定義了特權并與活動目錄用戶關聯，則可以在Hadoop環境中重新使用這些特權。當用戶通過活動目錄登錄Hadoop時，他們將獲得與Hadoop生態系統外部相同的權限和限制。這種單點登錄功能有助于提高用戶工作效率和整體安全性。
除了在Windows，Linux和Unix各個系統的服務器上的訪問管理外，統一的身份管理解決方案還提供了權限管理和審核功能，可以擴展到整個組織，包括Hadoop環境。該解決方案可以控制訪問，管理權限，審核活動，并將所有內容關聯到單個活動目錄帳戶。系統還生成報告，指出誰有訪問權限以及誰在Hadoop集群，節點，以及服務上做了什么，以幫助滿足合規性和審計需求。
底線
安全性對于大數據部署至關重要，但必須以高效和可靠的方式應用。實施與組織現有活動目錄基礎結構集成的身份管理解決方案滿足這兩個要求。使用此方法，組織避免僅為Hadoop設置孤立的身份基礎設施，而是利用可信的解決方案為Hadoop群集訪問管理提供基于組的訪問控制。這為其Hadoop環境提供了嚴格實施的訪問控制和集中管理的最小特權安全策略。
要了解有關Centrify統一身份管理解決方案如何幫助組織保護大數據部署的更多信息，請下載“身份管理如何解決五種Hadoop安全風險的白皮書”。
京公網安備 11010502049343號