Trong hệ thống kiến trúc C/S truyền thốngLive Casino, cơ chế an ninh liên quan đến người dùng chủ yếu xoay quanh Xác thực & Phân quyền Xác thực là quá trình xác định người gửi yêu cầu (người dùng A) có phải là hợp lệ hay không; cấp quyền là việc kiểm tra người gửi yêu cầu (người dùng B) có đủ quyền hạn để thực hiện yêu cầu đó hay không.

Thông thườngcoi đá gà thomo c1, chủ thể được xác thực chính là chủ thể cần kiểm tra quyền hạn, tức là người dùng A và người dùng B là cùng một người. Mô hình này không gây ra vấn đề gì đối với các truy cập trực tiếp C/S, ví dụ như khi người dùng truy cập vào hệ thống web qua http, thì người đăng nhập và người được kiểm tra quyền cũng là cùng một người; hoặc khi truy cập trực tiếp cơ sở dữ liệu MySQL thông qua jdbc, người đăng nhập và người được kiểm tra quyền cũng là cùng một người. Kiến trúc truyền thống này là đơn giản nhất:

Tuy nhiênLive Casino, trong thực tế, truy cập C/S trực tiếp thường chỉ xuất hiện trong các kiến trúc dịch vụ đơn giản. Nhiều hệ thống hiện nay sử dụng kiến trúc phức tạp hơn, đó là mô hình C/S+ – nghĩa là máy chủ cũng đồng thời đóng vai trò là khách hàng của các dịch vụ phía dưới. Ví dụ, trong ứng dụng web thường thấy, trình duyệt người dùng là đầu cuối cuối cùng (Client), máy chủ http là máy chủ tầng ngoài cùng (Server), nhưng đồng thời máy chủ http cũng là một client của cơ sở dữ liệu phía dưới, còn cơ sở dữ liệu lại là máy chủ tầng thứ hai (Server). Kiến trúc như sau:

Tuy nhiên789bey, trong thực tế, truy cập C/S trực tiếp thường chỉ xuất hiện trong các kiến trúc dịch vụ đơn giản. Nhiều hệ thống hiện nay sử dụng kiến trúc phức tạp hơn, đó là mô hình C/S+ – nghĩa là máy chủ cũng đồng thời đóng vai trò là khách hàng của các dịch vụ phía dưới. Ví dụ, trong ứng dụng web thường thấy, trình duyệt người dùng là đầu cuối cuối cùng (Client), máy chủ http là máy chủ tầng ngoài cùng (Server), nhưng đồng thời máy chủ http cũng là một client của cơ sở dữ liệu phía dưới, còn cơ sở dữ liệu lại là máy chủ tầng thứ hai (Server). Kiến trúc như sau:

Nói chungcoi đá gà thomo c1, kiến trúc này có thể đáp ứng hầu hết các tình huống, tuy nhiên vẫn tồn tại một số vấn đề không thể tránh khỏi trong những trường hợp cần kết nối trực tiếp giữa người dùng cuối và hệ thống phía dưới, chẳng hạn như hệ thống phía dưới không thể nhận biết người dùng cuối, dẫn đến khó khăn trong việc tùy chỉnh theo từng cá nhân;

Giải pháp ba ： Cơ chế mạo danh (doAs)

Trong hệ sinh thái Hadoop hiện nay789bey, người dùng có thể truy cập các dịch vụ phía dưới bằng nhiều cách khác nhau, như truy cập trực tiếp Hive qua jdbc, truy cập HDFS qua rpc, hoặc gửi nhiệm vụ Spark thô Ngoài ra, vì lý do hiệu suất phát triển và chuẩn hóa, nhiều công ty lớn cũng xây dựng các nền tảng phân tích dữ liệu tập trung dễ sử dụng ở lớp trên, như Hue do Cloudera cung cấp hoặc Zeppelin Notebook của Apache. Do đó, Hadoop dần trở thành một hệ sinh thái phức tạp, bao gồm cả kiến trúc C/S trực tiếp lẫn kiến trúc C/S+ phức tạp, như hình bên dưới:

Trong kiến trúc này789bey, do vừa có truy cập trực tiếp từ người dùng cuối (kênh 1), vừa có truy cập gián tiếp thông qua máy chủ (kênh 2), các dịch vụ Hadoop cần phải xử lý đồng thời Tương thích với kiểm soát bảo mật cho cả hai kênh truy cập này ， Đồng thời cũng Cần duy trì tính nhất quán trong hành vi (ngăn ngừa sai sót trong việc đánh giá quyền hạn).

Để tránh các vấn đề trong phương án hai789bey, Hadoop đã bổ sung thêm một cơ chế đặc biệt gọi là impersonation (doAs). Nói đơn giản, đây là một kịch bản mở rộng dựa trên phương án hai: khi máy chủ phía trên (như hệ thống web) cần cung cấp dịch vụ tùy chỉnh cho người dùng, máy chủ phía dưới (như Hive) sẽ cho phép máy chủ phía trên đính kèm thông tin người dùng cuối vào yêu cầu và thực hiện kiểm tra quyền hạn dưới danh nghĩa người dùng đó.

Ví dụcoi đá gà thomo c1, các nền tảng phân tích dữ liệu trực quan như Hue trong doanh nghiệp thường hoạt động như máy chủ web tầng ngoài, cung cấp giao diện truy cập trực tiếp cho người dùng. Khi truy cập các dịch vụ dữ liệu lớn như Hive, chúng sẽ xác thực bằng một tài khoản cụ thể (như tài khoản proxy) và đồng thời đính kèm thông tin cá nhân của người dùng kinh doanh (như Trương Tam) vào yêu cầu, sau đó chuyển xuống Hive. Hive sẽ thực hiện kiểm tra quyền hạn dựa trên proxy Người dùng xác minh tài khoản theo danh tínhcoi đá gà thomo c1, sau đó thực hiện đánh giá quyền hạn theo danh tính Trương Tam của Trương Tam.

người dùng đặc biệt người dùng siêu cấp vì tài khoản này không nhất thiết có tất cả quyền hạn)789bey, điều này cũng tiềm ẩn rủi ro an ninh nhất định. Vì vậy, trong Hadoop, các tài khoản đặc biệt này thường được Tham số tĩnh cấp dịch vụ (hadoop.proxyuser.admin.*) đặt bởi hệ thống789bey, đồng thời cũng giới hạn phạm vi có thể giả danh, ví dụ như giới hạn địa chỉ IP mà người dùng có thể gửi yêu cầu, hoặc vai trò mà người dùng sở hữu, nhằm ngăn chặn nguy cơ tài khoản bị đánh cắp làm lộ toàn bộ hệ thống.