文档首页> MapReduce服务 MRS> 用户指南> 安全性说明> 集群(未启用Kerberos认证)安全配置建议
更新时间:2022-05-13 GMT+08:00
分享

集群(未启用Kerberos认证)安全配置建议

Hadoop社区版本提供两种认证方式Kerberos认证(安全模式)和Simple认证(普通模式),在创建集群时,MRS支持配置是否启用Kerberos认证。

在安全模式下MRS集群统一使用Kerberos认证协议进行安全认证。

而普通模式下MRS集群各组件使用原生开源的认证机制,一般为Simple认证方式。而Simple认证,在客户端连接服务端的过程中,默认以客户端执行用户(例如操作系统用户“root”等)自动完成认证,管理员或业务用户不显示感知认证。而且客户端在运行时,甚至可以通过注入UserGroupInformation来伪装成任意用户(包括superuser),集群资源管理接口和数据控制接口在服务端无认证和鉴权控制,很容易被黑客利用和攻击。

所以在普通模式下,必须通过严格限定网络访问权限来保障集群的安全。操作建议如下:

  • 尽量将业务应用程序部署在同VPC和子网下的ECS中,避免通过外网访问MRS集群。
  • 配置严格限制访问范围的安全组规则,禁止对MRS集群的入方向端口配置允许Any或0.0.0.0的访问规则。
  • 如需从集群外访问集群内组件原生页面,请参考创建连接MRS集群的SSH隧道并配置浏览器进行配置。
分享:

    相关文档

    相关产品

close