概述简介

阿里云HBase安全包括多方面的措施，主要构成部分有：网络隔离，白名单，身份认证，权限控制，数据加密等，具体介绍可参考文章底部链接。本文主要是阿里云HBase安全实战体验篇，介绍如何开通使用HBase安全功能，并涉及身份认证以及权限控制配合。

使用介绍

首先还是回顾一下我们使用云HBase的时候，会涉及哪些主要的安全防护：

云HBase安全使用场景

如上图所示，大部分用户使用HBase都是内部自己系统独享使用。HBase系统只作为业务系统的数据库访问，没有任何第3方伙伴需要访问这个数据库，那么这个时候该车联网创业公司其实像上图一样，利用网络隔离和白名单控制就达到生产环境要求了。

后来随着业务的发展，创业公司需要挖掘这些轨迹隐患的更多内在含义，与某第三方数据挖掘公司合作，要求第三方每天访问此HBase存储的轨迹数据，并按需求生成报表。这个时候，HBase就涉及到多责任方访问的安全问题，那么他就要开启这个云HBase安全服务，避免不必要的误操作或者越权纷争等。 

如下图：车连网公司只给第三方数据挖掘公司一个只读账号，只让他访问特定的轨迹数据，而不能进行其他任何操作。![](https://upload-images.jianshu.io/upload_images/11380499-e93dc8c5de6522ab.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)

综上所述，如果HBase是用户自己独享使用的，可以不开启云HBase 底层安全防护；如果你想让除了你以外的其他业务方、不同部门员工来访问HBase数据库实例的时候，或许应该要考虑开启云HBase安全来进行身份认证和权限控制，实践效果更佳。

阿里云HBase安全功能之初体验

阿里云HBase安全，主要由alibaba和Intel合作开发的HAS(Hadoop authortication service)实现的安全认证，支持kerberos协议并简化了使用方式；同时配合使用HBase ACL实现用户权限控制，可以控制精确到列级别。下面我们一步步体验一下功能。

申请安装安全集群

开通后，HBase的访问都需要提供用户名密码，客服会给你HBase管理员的初始账户密码，比如我这里初始管理账户的用户密码是root/123456。另外，客服会给你最新的alihbase-1.1.4 client 安全版本tar包。

验证安全访问

接下来访问HBase只能像MySQL一样，提供账户密码才能访问。我们来先验证一下安全HBase的访问效果。解压alihbase-1.1.4-rc2-bin.tar.gz，修改conf目录下的hbase-site.xml，添加以下配置：其中 zk地址替换为自己的zk访问地址。

<property>
    <name>hbase.zookeeper.quorum</name>
    <value>zk1,zk2,zk3</value>
  </property>
  <property>
    <name>username</name>
    <value>root</value>
  </property>
  <property>
    <name>password</name>
    <value>123456</value>
  </property>

当我们没有使用正确的用户名或者密码不对的时候，访问会报错如下：

修改root管理员密码

在上述验证通过情况下，执行脚本 bin/hasopt.sh脚本进入账户管理命令行：

修改成功后，后续的root访问就必须使用最新的密码了。也可以使用
resetown root <old_password> <new_password>
命令行修改正在使用的root用户密码。

用户管理

如上述，我们可以使用用户管理命令行对用户进行管理，初始我们只有root管理员账户，可以使用管理工具对用户进行管理，具体命令功能说明如表：

权限控制管理

上述我们使用的root管理员用户进行访问，它是hbase实例的superuser。接下来我们继续就着上述车联网创业公司的例子，分别给不同部门使用人员分配不同的权限：

如上，我们就可以简单的从不部门基本权限控制他们的访问hbase动作了。HBase ACL最小支持列级别粒度的权限控制。但是为了方便维护，建议用户设计权限控制方案的时候，可以简洁一点。HBase 权限控制主要使用两个命令管理，grant和revoke命令，具体使用方法如下：

grant <user> <permissions> [<@namespace> [<table> [<column family> [<column qualifier>]]]For example:
    hbase> grant 'bobsmith', 'RWXCA'
    hbase> grant '@admins', 'RWXCA'
    hbase> grant 'bobsmith', 'RWXCA', '@ns1'
    hbase> grant 'bobsmith', 'RW', 't1', 'f1', 'col1'
    hbase> grant 'bobsmith', 'RW', 'ns1:t1', 'f1', ‘col1’   revoke <user> [<@namespace> [<table> [<column family> [<column qualifier>]]]]For example:
    hbase> revoke 'bobsmith'
    hbase> revoke '@admins'
    hbase> revoke 'bobsmith', '@ns1'
    hbase> revoke 'bobsmith', 't1', 'f1', 'col1'
    hbase> revoke 'bobsmith', 'ns1:t1', 'f1', 'col1'

最小支持列级别控制权限。

小结

当我们有多用户访问安全风险的时候，使用云HBase安全，推荐开启云HBase安全功能，对用户的访问进行身份认证和权限控制，有效的进行公司间或部门间的合作时，对HBase的访问控制管理。阿里云HBase安全支持：

1. 非开启安全集群可以升级到开启安全集群

2. 开启状态实例申请回滚到非开启状态

3. 申请临时关闭身份认证

4. 阿里云hbase间跨域访问，典型的如copytable，本地client跨域安全访问两集群等

5. 用户管理

6. 权限管理，HBase ACL最小支持列级别权限控制
   相关材料
   云HBase企业级安全解析直播分享历史视频：
   文章回顾：https://yq.aliyun.com/articles/411306
   PDF下载：https://yq.aliyun.com/download/2459

原文地址：阿里云HBase安全系列-初体验

更多技术交流，可关注微信交流群，微信公众号等：

或参考文章： HBase中文社区官网、交流群

1. 微信群

扫描添加小编微信好友（或搜索微信号： Mr_wanyue 添加），回复： HBase 加群

2. 钉钉群：

扫一扫添加

扫描关注