CDP集群安全指南-静态数据加密

[一]静态数据加密的架构

CDP 支持两种加密组件，这些组件可以组合成独特的解决方案。在选择密钥管理系统（KMS）时，您需要决定哪些组件能够满足企业的密钥管理和加密需求。

CDP 加密组件

以下是 Cloudera 用于静态数据加密的组件描述：

1. Ranger Key Management System (KMS)
   Ranger 扩展了 Hadoop 原生 KMS 的功能，允许将密钥存储在安全的数据库中。它是一个支持 HDFS TDE（透明数据加密）的密码密钥管理服务，但并非通用密钥管理系统。与 Hadoop KMS 不同，Hadoop KMS 将密钥存储在基于文件的 Java Keystore 中，仅能通过 KeyProvider API 访问。

2. Navigator Encrypt
   提供透明的静态数据加密和保护，无需对应用程序进行更改。

CDP​​​​​​​ 加密解决方案

您可以通过以下任意解决方案部署加密组件来实现静态数据加密：

1. 仅使用 Ranger KMS（本文演示使用这种方式）

   • 仅由 Ranger KMS 和提供密钥存储的后端数据库组成。
   • Ranger KMS 提供企业级密钥管理。

2. Ranger KMS + HSM（硬件安全模块）

   • 包含 Ranger KMS（带数据库）和与后端硬件安全模块（HSM）的集成。
   • Ranger KMS 提供企业级密钥管理。
   • HSM 提供加密区密钥保护，仅存储加密主密钥。

[二]静态数据加密的要求

熵要求

加密操作依赖熵来确保随机性，而随机性是防止攻击者预测或破解加密过程的关键。如果随机数缺乏足够的熵，整个加密系统的安全性就会受到威胁。因此，熵在加密中起着至关重要的作用。您可以通过运行以下命令来检查 Linux 系统上的可用熵：

cat /proc/sys/kernel/random/entropy_avail