Trong hệ thống kiến trúc C/S truyền thốngkeonhacai tv, cơ chế bảo mật liên quan đến người dùng chủ yếu xoay quanh Xác thực & Phân quyền Xác thực là quá trình xác định người gửi yêu cầu (người A) có phải là người hợp lệ hay không; cấp quyền là việc kiểm tra người gửi yêu cầu (người B) có quyền thực hiện yêu cầu đó hay không.

Thông thường77vin, chủ thể được xác thực chính là chủ thể cần kiểm tra quyền hạn, tức là người A và người B là cùng một người. Mô hình này không gây ra vấn đề gì khi truy cập trực tiếp theo mô hình C/S, ví dụ như khi người dùng truy cập vào hệ thống web qua HTTP, thì người đăng nhập và người được kiểm tra quyền đều là cùng một người; hoặc khi truy cập cơ sở dữ liệu MySQL thông qua client JDBC, người đăng nhập và người được kiểm tra quyền cũng là cùng một người. Đây là kiến trúc truyền thống đơn giản nhất:

Tuy nhiênnhan dinh keo nha cai, trong thực tế, truy cập trực tiếp theo mô hình C/S thường chỉ xuất hiện trong các hệ thống có cấu trúc đơn giản, còn đa số các hệ thống hiện nay sử dụng mô hình C/S+ phức tạp hơn, trong đó máy chủ đồng thời đóng vai trò là khách hàng của dịch vụ phía dưới. Ví dụ như trong ứng dụng web thông thường, trình duyệt người dùng là thiết bị cuối (Client), máy chủ HTTP là máy chủ tầng ngoài (Server), đồng thời máy chủ HTTP cũng là khách hàng của cơ sở dữ liệu phía dưới (Client), còn cơ sở dữ liệu là máy chủ tầng hai (Server). Kiến trúc như sau:

Tuy nhiênkeonhacai tv, trong thực tế, truy cập trực tiếp theo mô hình C/S thường chỉ xuất hiện trong các hệ thống có cấu trúc đơn giản, còn đa số các hệ thống hiện nay sử dụng mô hình C/S+ phức tạp hơn, trong đó máy chủ đồng thời đóng vai trò là khách hàng của dịch vụ phía dưới. Ví dụ như trong ứng dụng web thông thường, trình duyệt người dùng là thiết bị cuối (Client), máy chủ HTTP là máy chủ tầng ngoài (Server), đồng thời máy chủ HTTP cũng là khách hàng của cơ sở dữ liệu phía dưới (Client), còn cơ sở dữ liệu là máy chủ tầng hai (Server). Kiến trúc như sau:

Thông thường77vin, kiến trúc này đủ để đáp ứng hầu hết các trường hợp, nhưng với những tình huống cần kết nối trực tiếp giữa người dùng cuối và hệ thống phía dưới, vẫn tồn tại một số vấn đề không thể tránh khỏi, chẳng hạn như hệ thống phía dưới không thể nhận biết được người dùng cuối, dẫn đến khó khăn trong việc cá nhân hóa trải nghiệm cho người dùng;

Giải pháp ba ： Cơ chế tự giả danh (doAs)

Trong môi trường Hadoop hiện naynhan dinh keo nha cai, người dùng có thể truy cập các dịch vụ nền tảng bằng nhiều cách khác nhau, ví dụ như truy cập trực tiếp dịch vụ Hive qua JDBC, truy cập HDFS qua RPC, hoặc gửi tác vụ Spark từ Ngoài ra, để nâng cao hiệu quả phát triển và tuân thủ quy chuẩn, nhiều công ty lớn cũng xây dựng các nền tảng phân tích dữ liệu thống nhất ở tầng trên, như Hue do Cloudera cung cấp hoặc Zeppelin Notebook của Apache. Vì vậy, Hadoop dần trở thành một hệ sinh thái phức tạp bao gồm cả kiến trúc C/S trực tiếp lẫn C/S+ phức tạp, như hình dưới đây:

Trong kiến trúc này77vin, do có cả truy cập trực tiếp từ người dùng cuối (kênh 1) lẫn truy cập qua đại diện (kênh 2), các dịch vụ Hadoop cần phải xử lý đồng thời Hỗ trợ kiểm soát bảo mật cho cả hai kênh truy cập này ， Đồng thời cũng Cần duy trì tính nhất quán trong hành vi (ngăn ngừa sai sót trong việc đánh giá quyền hạn).

Để tránh các vấn đề trong phương án thứ hainhan dinh keo nha cai, Hadoop đã bổ sung thêm một cơ chế gọi là impersonation (doAs). Nói ngắn gọn, cơ chế này mở rộng thêm một tình huống: khi máy chủ tầng trên (ví dụ như hệ thống web) cần cung cấp dịch vụ cá nhân hóa cho người dùng, thì máy chủ tầng dưới (như Hive) sẽ cho phép máy chủ tầng trên gắn thông tin người dùng cuối vào yêu cầu và thực hiện kiểm tra quyền theo tên người dùng đó.

Ví dụ cụ thểnhan dinh keo nha cai, các nền tảng phân tích dữ liệu trực quan như Hue trong doanh nghiệp thường đóng vai trò là máy chủ web tầng trên, cung cấp giao diện truy cập trực tiếp cho người dùng. Khi truy cập các dịch vụ dữ liệu lớn như Hive, chúng sẽ xác thực bằng tài khoản đặc biệt (gọi là tài khoản proxy), đồng thời đính kèm thông tin cá nhân của người dùng nghiệp vụ (ví dụ như Trương Tam) vào yêu cầu, và gửi xuống Hive. Hive sẽ thực hiện kiểm tra quyền dựa trên proxy Người dùng xác thực tài khoản dựa trên danh tínhkeonhacai tv, sau đó tiến hành đánh giá quyền hạn dựa trên Trương Tam danh tính.

người dùng đặc biệt người dùng cấp cao vì bản thân tài khoản này không nhất thiết có tất cả quyền hạnkeonhacai tv, điều này cũng tiềm ẩn rủ Do đó, trong Hadoop, những tài khoản đặc biệt này thường được Tham số tĩnh cấp dịch vụ (hadoop.proxyuser.admin.*) đặt bởi hệ thốngnhan dinh keo nha cai, đồng thời cũng giới hạn phạm vi có thể giả danh, như giới hạn địa chỉ IP mà người dùng có thể gửi yêu cầu, hoặc vai trò mà người dùng đang sở hữu, nhằm ngăn chặn nguy cơ tài khoản bị đánh cắp làm lộ toàn bộ hệ thống.