Ranger KMS: ключи Hadoop и права на операции

Ranger KMS предоставляет управление ключами для экосистемы Hadoop и контроль доступа к операциям с ними. Ключ шифрования данных и ключ, защищающий его, выполняют разные роли. Нельзя сводить внедрение KMS к созданию одной записи в веб-форме.

Перед настройкой

• Проверьте совместимые версии Hadoop, Ranger и backend хранения ключей.
• Настройте аутентификацию сервисов и защищённое соединение.
• Разделите права администратора ключей и приложений, которым разрешено использовать ключ.
• Определите резервное копирование ключевого хранилища и процедуру восстановления.

Создание и использование

Укажите провайдер ключей в конфигурации Hadoop по документации вашей версии. Через поддерживаемый интерфейс создайте тестовый ключ, затем проверьте доступ от разрешённого и запрещённого пользователя. При работе с HDFS encryption zones приложения не должны получать мастер-ключ в открытом виде для самостоятельного хранения.

Ротация и удаление

Ротация создаёт новую версию ключа; это не равнозначно немедленному перешифрованию всех прежних данных. Удаление ключа может сделать данные нечитаемыми. Поэтому удаление не должно быть обычным пунктом «изменить и сохранить»: нужны отдельные права и доказанное отсутствие зависимостей.

Проверьте журнал доступа без раскрытия самих секретов, отказ при недостаточных правах и восстановление тестового набора после перезапуска. До эксплуатации убедитесь, что резервная копия ключей действительно восстанавливается.