摘要：大數(shù)據(jù)分析的訪問控制需要基于策略的安全性，包括對于環(huán)境的安全管理以及用戶和角色的管理。大數(shù)據(jù)分析的安全性管理是具有挑戰(zhàn)性的。原因就在于：當您無法進行數(shù)據(jù)分析的時候，您可能需要復(fù)制數(shù)據(jù)。而一旦數(shù)據(jù)被復(fù)制，所有關(guān)于確保數(shù)據(jù)安全性方面的相應(yīng)的規(guī)定，包括誰有權(quán)限可以查看數(shù)據(jù)；或在什么情況下?lián)碛懈臄?shù)據(jù)的權(quán)限，也應(yīng)該隨著數(shù)據(jù)的復(fù)制一并被復(fù)制。但在今天，這幾乎是不可能的。
在Hadoop/Spark方面，我們只有基于角色的、有限的訪問控制列表(ACL)。但我相信有一條可以更進一步的道路：在更廣泛的安全市場采用已經(jīng)出現(xiàn)的基于策略的方法。為了探索這一方法要如何才能奏效，我們需要重新審視訪問控制的歷史，以及其如何演變，進而產(chǎn)生了基于策略的模型。
回顧訪問控制的歷史
盡管在最開始的時候，會有用戶名和密碼的身份驗證，以防止任何人的隨便進入訪問，理查德·斯托曼說。
但這樣的訪問身份驗證登錄系統(tǒng)存在一個固有的問題。即我們的用戶/密碼組合的數(shù)量會隨著新的應(yīng)用程序的不斷增加而趨于出現(xiàn)爆炸似增長，所以我們最終必須以不同的用戶名/密碼來登錄到每一款不同的應(yīng)用程序。更糟糕的是，一些應(yīng)用程序甚至要求了不同的密碼，以達到不同級別的安全性。
我們開始變得更加聰明，通過用戶名來區(qū)分我們的“角色”。例如，我們有一套“用戶名/密碼”，但為了訪問某些管理功能，則需要該用戶名/密碼具有“管理員”的作用。然而，鑒于每一款應(yīng)用程序都傾向于有自己的部署方式，所以您仍然需要記住越來越多的各種密碼列表。
我們甚至變得更聰明，創(chuàng)造了中央系統(tǒng)，最終成為LDAP、活動目錄等等。這些統(tǒng)一的用戶名/密碼被存儲在一個核心庫，并建立一個位置，能夠針對給定用戶的角色來查找相應(yīng)的用戶名/密碼——但這只是以一個問題代替了另一個問題。
在一個理想的世界中，每一款新的應(yīng)用程序都會在活動目錄中
查看角色列表，并將其映射到應(yīng)用程序角色中，所以便會有一個干凈、一對一的關(guān)系。但在現(xiàn)實中，大多數(shù)應(yīng)用程序?qū)τ诮巧睦斫舛际遣煌模@非常簡單，因為您可能是某一款應(yīng)用程序的管理員，但這并不意味著您應(yīng)該是另一款應(yīng)用程序的管理員。最終的結(jié)果是，您會有各種爆炸增長的角色，來取代爆炸似增長的用戶名/密碼組合。
這就引出了一個問題：最終要由誰來負責(zé)添加新的角色?其往往是承擔(dān)了行政職能或人力資源管理職能的IT管理人員。而由于從事這些諸如負責(zé)添加新的角色等瑣碎的工作任務(wù)的人員，對于相關(guān)的應(yīng)用程序并沒有很好的理解，使得這樣的工作往往最終成為了一個“經(jīng)理審查批準”或“橡皮圖章”了，而并非如他們所說那樣好。
許多仍然存在角色問題的應(yīng)用程序采用AD進行身份驗證，并讓應(yīng)用程序處理自己的本地角色的實現(xiàn)問題。關(guān)于這種方法有很多值得探討的地方，因為這很顯然，應(yīng)用程序的管理員知道誰應(yīng)該有什么權(quán)限級別的訪問。
同時，有明確的規(guī)則不適合于用戶/角色系統(tǒng)。在其最簡單的方面，例如，不能因為我是某家銀行的客戶，就意味著我可以從任何帳戶取錢，即使我有“可以從該銀行取錢”的角色。角色通常需要與數(shù)據(jù)相關(guān)聯(lián)，這就是為什么我們要用ACL映射到我們的數(shù)據(jù)存儲條目的原因所在了。也就是說，帳戶1234需要進行一個關(guān)聯(lián)，確定了我作為該1234帳戶的所有者，同時我的配偶作為一個授權(quán)的帳戶管理員。
然而，一些企業(yè)有比“這是您的嗎?”或者“您在這方面有什么權(quán)限?”更復(fù)雜的規(guī)則。相反，他們會使用您可能稱之為“基于環(huán)境”或“基于政策的”安全規(guī)則。換句話說，當我在美國本土的時候，我可能有取錢的權(quán)限。這在一個ACL或基于角色的模型是沒辦法表達的。相反，我們已經(jīng)有了跨基于策略的安全性。
當您只能在特定的時間執(zhí)行一些工作
基于策略的安全性通常存在于一個中央存儲庫，并且依賴于中央認證機制(LDAP、Kerberos等等)。所不同的是，并非保持一個簡單的角色(如可以取錢)，每個用戶都與一組策略相關(guān)聯(lián)。該策略是基于與用戶相關(guān)的一組屬性所制定的，其也被稱為基于屬性的訪問控制(ABAC)。這些政策不能集中強制執(zhí)行，因為他們是完全依賴于應(yīng)用程序的。