Ozone Security: 基于证书的Block Access Token认证

文章结构概述

• 引言

  • Block Access Token的功能

  • Block Access Token的创建过程

  • • 数字证书的生成

  • Block Access Token流程示意图

前言

HDFS系统中引入了Block Access Token机制，用以实现对DataNode数据块访问权限的安全管理。类似地，Ozone架构中也配置了一套相应的安全防护体系。然而，Ozone所采用的是基于X.509证书的安全框架，因此其在实现方式上与HDFS存在差异。接下来将简要探讨这一过程，重点说明Block Access Token是如何与该安全体系进行协同运作的。

Block Access Token的功能解析

首先需要明确Block Access Token的功能及其应用目的。
正如token这一术语所暗示的含义，其本质是一种“令牌”，即用于授权访问数据的凭证。此类令牌应当由数据管控中心向数据请求方发放，随后请求方需携带该凭证以获取目标数据的访问权限。在目标数据所在的节点处，系统将对所持令牌进行验证。若验证未通过，则数据访问请求将被系统拦截并拒绝。

Block Access Token生成机制

在Ozone的证书体系中，生成的block access token会包含对应的