Ranger基本原理

Ranger为各组件提供了基于PBAC（Policy-Based Access Control）的权限管理插件，用于替换组件自身原来的鉴权插件。Ranger插件都是由组件侧自身的鉴权接口扩展而来，用户在Ranger WebUI上对指定service设置权限策略，Ranger插件会定期从RangerAdmin处更新策略并缓存在组件本地文件，当有客户端请求需要进行鉴权时，Ranger插件会对请求中携带的用户在策略中进行匹配，随后返回接受或拒绝。

UserSync周期性从LDAP/Unix中同步数据到RangerAdmin中，其中安全模式从LDAP中同步，非安全模式从Unix中同步。同步模式默认采取增量模式，每次同步周期UserSync只会更新新增或者变更的用户和用户组，当用户或者用户组被删除时，UserSync不会同步该变更到RangerAdmin，即RangerAdmin中不会同步删除。为了提高性能，UserSync也不会同步没有所属用户的用户组到RangerAdmin中。

Ranger插件在每次鉴权时自动记录审计日志，包括访问者用户名、访问资源路径、访问操作类型（如读、写、执行）、鉴权结果（允许/拒绝）、访问时间戳、客户端IP地址等信息。审计日志默认存储在组件本地文件中。管理员可通过Ranger WebUI的“Audit”页面集中查看所有组件的审计记录，支持按用户、资源、时间范围等条件检索。

Ranger支持RangerAdmin双主，两个RangerAdmin同时提供服务，任意一个RangerAdmin故障不会影响Ranger的功能。双主之间通过共享数据库（存储策略和审计数据）实现数据一致性，Ranger插件在拉取策略时会自动选择可用的RangerAdmin节点，当主节点不可达时自动切换到备用节点，无需人工干预。

Ranger提供Load-Balance能力，通过浏览器访问Ranger WebUI时Load-Balance会自动选择当前负载较小的RangerAdmin来提供服务。Ranger插件采用本地策略缓存机制，鉴权时直接使用本地缓存进行策略匹配，无需每次请求都访问RangerAdmin，大幅降低鉴权延迟和对RangerAdmin的访问压力。策略缓存定期刷新，确保策略更新的及时性。