加密HFile和WAL内容

sh ${BIGDATA_HOME}/FusionInsight_HD_8.3.1/install/FusionInsight-HBase-*/hbase/bin/hbase-encrypt.sh <path>/hbase.jks <type> <length> <alias>

• /<path>/hbase.jks表示生成的jks文件存储路径。
• <type>表示加密的类型，支持SMS4或AES。
• <length>表示密钥的长度，SMS4支持16位长度，AES支持128位长度。
• <alias>为密钥文件的别名，第一次生成时请使用缺省值“omm”。

例如，生成SMS4加密的密钥执行：

sh ${BIGDATA_HOME}/FusionInsight_HD_8.3.1/install/FusionInsight-HBase-*/hbase/bin/hbase-encrypt.sh /home/hbase/conf/hbase.jks SMS4 16 omm

生成AES加密的密钥执行：

sh ${BIGDATA_HOME}/FusionInsight_HD_8.3.1/install/FusionInsight-HBase-*/hbase/bin/hbase-encrypt.sh /home/hbase/conf/hbase.jks AES 128 omm

• 集群的操作用户需要有<path>/hbase.jks目录的“rw”权限，且要求目录已存在。
• 运行命令后需要再输入4遍相同的<password>。其中3中进行加密的密码与此步骤的密码相同。

• “hbase.crypto.keyprovider.parameters.uri”格式为：jceks://<key_Path_Name>。

  <key_Path_Name>填写密钥的存储路径，例如“/home/hbase/conf/hbase.jks”则对应参数值为“jceks:///home/hbase/conf/hbase.jks”。

• “hbase.crypto.keyprovider.parameters.encryptedtext”格式为：<encrypted_password>。

  <encrypted_password>填写创建密钥时的密文密码，参数值显示为密文。使用omm用户在安装HBase服务的节点，执行如下命令获取对应加密后的密码：

  sh ${BIGDATA_HOME}/FusionInsight_HD_8.3.1/install/FusionInsight-HBase-*/hbase/bin/hbase-encrypt.sh

  

  运行命令后需要输入<password>。该密码与1中手动输入的密码相同。

• 通过命令行创建表时，直接为列族设置加密方式为SMS4或AES。

  create '<table name>', {NAME => 'd', ENCRYPTION => '<type>'}

• 使用代码创建表时，在代码中添加如下信息设置加密方式为SMS4或AES。

  public void testCreateTable() 
  { 
      String tableName = "user"; 
      Configuration conf = getConfiguration();    
      HTableDescriptor htd = new HTableDescriptor(TableName.valueOf(tableName)); 
       
      HColumnDescriptor hcd = new HColumnDescriptor("d"); 
      //设置加密方式为SMS4或AES。 
      hcd.setEncryptionType("<type>"); 
      htd.addFamily(hcd); 
   
      HBaseAdmin admin = null; 
      try 
      { 
          admin = new HBaseAdmin(conf); 
           
          if(!admin.tableExists(tableName)) 
          { 
              admin.createTable(htd); 
          } 
      } 
      catch (IOException e) 
      { 
          e.printStackTrace(); 
      } 
      finally 
      { 
          if(admin != null) 
          { 
              try 
              { 
                  admin.close(); 
              } 
              catch (IOException e) 
              { 
                  e.printStackTrace(); 
              } 
          } 
      } 
  }

此时，您可以执行如下步骤对之前插入的数据进行加密。

1. 针对表执行flush动作，将内存中的数据导入到HFile中。

   flush'<table_name>'

2. 执行以下步骤修改表属性。

   disable'<table_name>'

   alter'<table_name>',NAME=>'<column_name>',ENCRYPTION => '<type>'

   enable'<table_name>'

3. 插入一条新的数据，然后flush表。
   

   必须要插入一条新的数据，HFile才会生成新的HFile，使得之前插入的未加密数据进行重写加密。

   put'<table_name>','id2','f1:c1','value222222222222222222222222222222222'

   flush'<table_name>'

4. 执行如下步骤重写HFile。
   major_compact'<table_name>'

   

   执行此步骤时，HBase表是被禁用的，不能提供表服务。请谨慎使用。

sh ${BIGDATA_HOME}/FusionInsight_HD_8.3.1/install/FusionInsight-HBase-*/hbase/bin/hbase-encrypt.sh <path>/hbase.jks <type> <length> <alias-new>

• <path>/hbase.jks:表示生成的hbase.jks文件的存储路径。该路径和文件名称需与加密HFile和WAL内容章节生成的密钥文件相同。
• <alias-new>：表示密钥文件的别名，请使用与旧密钥文件不同的名字。
• <type>表示加密的类型，支持SMS4或AES。
• <length>表示密钥的长度，SMS4支持16位长度，AES支持128位长度。

例如，生成SMS4加密的密钥执行：

sh ${BIGDATA_HOME}/FusionInsight_HD_8.3.1/install/FusionInsight-HBase-*/hbase/bin/hbase-encrypt.sh /home/hbase/conf/hbase.jks SMS4 16 omm_new

生成AES加密的密钥执行：

sh ${BIGDATA_HOME}/FusionInsight_HD_8.3.1/install/FusionInsight-HBase-*/hbase/bin/hbase-encrypt.sh /home/hbase/conf/hbase.jks AES 128 omm_new

• 集群的操作用户需要有<path>/hbase.jks目录的“rw”权限，且要求目录已存在。
• 运行命令后需要再输入3遍相同的<password>，该密码表示密钥文件的密码，请直接使用旧文件的密码，不会产生安全风险。

major_compact '<table_name>'

sh ${BIGDATA_HOME}/FusionInsight_HD_8.3.1/install/FusionInsight-HBase-*/hbase/bin/hbase-encrypt.sh <path>/hbase.jks <alias-old>

• <path>/hbase.jks:表示生成的“hbase.jks”文件的存储路径。该路径和文件名称需与加密HFile和WAL内容章节生成的密钥文件相同。
• <alias-old>：表示要删除的旧密钥文件的别名。

例如：

sh ${BIGDATA_HOME}/FusionInsight_HD_8.3.1/install/FusionInsight-HBase-*/hbase/bin/hbase-encrypt.sh /home/hbase/conf/hbase.jks omm

集群的操作用户需要有<path>/hbase.jks目录的“rw”权限，且要求目录已存在。