智慧教育平台中基于Ranger的安全防护方法和系统

摘要

本发明提出了一种应用于智慧教育平台的基于Ranger的安全防护方法，所述方法包括：构建基于策略的访问权限模型；通过策略同步和决策逻辑控制插件的扩展接入；通过所述访问权限模型对用户的服务访问请求进行控制和安全审计，确定是否针对用户的服务访问请求存在policy能够决策访问；如果没有policy能决策访问，则认为用户没有权限拒绝访问，选择拒绝访问，或，将决策下放给系统自身的访问控制层进行访问权限处理。本发明所述系统包括与所述方法步骤对应的模块。

说明书

技术领域

本发明提出了一种应用于智慧教育平台的基于Ranger的安全防护方法和系统，属于智慧教育技术领域。

背景技术

Hadoop是一个由Apache基金会所开发的分布式系统基础架构。用户可以在不了解分布式底层细节的情况下，开发分布式程序。充分利用集群的威力进行高速运算和存储。Hadoop实现了一个分布式文件系统（Hadoop Distributed File System），其中一个组件是HDFS。HDFS有高容错性的特点，并且设计用来部署在低廉的（low-cost）硬件上；而且它提供高吞吐量（high throughput）来访问应用程序的数据，适合那些有着超大数据集（largedata set）的应用程序。HDFS放宽了（relax）POSIX的要求，可以以流的形式访问（streamingaccess）文件系统中的数据。现阶段，由于开源 Hadoop 生态系统的认证、权限管理、加密、审计等功能均通过对相关组件的配置来完成，无配置检查和效果评价机制。同时，大规模的分布式存储和计算架构也增加了安全配置工作的难度，对安全运维人员的技术要求较高，一旦出错，会影响整个系统的正常运行。

发明内容

本发明提供了一种应用于智慧教育平台的基于Ranger的安全防护方法和系统，用以解决现有Hadoop系统因缺乏权限管理，使Hadoop系统应用到智慧教育平台系统中导致智慧教育平台系统安全性能较低的问题：

本发明提出的一种应用于智慧教育平台的基于Ranger的安全防护方法，所述方法包括：

构建基于策略的访问权限模型；

通过策略同步和决策逻辑控制插件的扩展接入；

通过所述访问权限模型对用户的服务访问请求进行控制和安全审计，确定是否针对用户的服务访问请求存在policy能够决策访问；

如果没有policy能决策访问，则认为用户没有权限拒绝访问，选择拒绝访问，或，将决策下放给系统自身的访问控制层进行访问权限处理。

进一步地，通过所述访问权限模型对用户的服务访问请求进行控制和安全审计，包括：

RangerAdmin根据用户的服务访问需求进行服务策略的规划，分配相应的资源给相应的用户或组，存储在db中；

Agent Plugin按照预设的策略拉取时间从RangerAdmin中拉取策略；

在拉取到相应的策略后，根据策略执行访问决策树，并实时记录访问审计和策略执行过程；

根据用户黑名单和白名单执行策略优先级。

进一步地，所述安全防护方法还包括：根据用户的服务访问频率，对所述策略拉取时间进行调整，具体包括：

根据前一日系统的用户访问次数和频率，设置当天的用户访问的频率阈值；

实时监控用户的服务访问频率，判断所述服务访问频率是否超过预设的频率阈值；

当用户的服务访问频率高于预设的频率阈值时，通过拉取时间调整模型对所述预设的策略拉取时间进行调整。

进一步地，根据前一日系统的用户访问次数和频率，设置当天的用户访问的频率阈值，包括：

根据将前一日系统的运行时间，设置5个时间段，其中，每个时间段的时间长度通过如下公式获得：

其中，

获取系统前一天每个时间段内的用户访问个数，并根据系统前一天的用户访问个数及对应的时间段的时间长度获取每个时间段对应的用户访问频率；

根据前一天每个时间段对应的用户访问频率，结合频率阈值设置模型获取当天的用户访问的频率阈值。

进一步地，所述频率阈值设置模型为：

其中，

进一步地，所述拉取时间调整模型如下：

其中，

进一步地，所述根据用户黑名单和白名单执行策略优先级，包括：

黑名单优先级高于白名单；

黑名单排除优先级高于黑名单；

白名单排除优先级高于白名单。

一种应用于智慧教育平台的基于Ranger的安全防护系统，所述系统包括：

构建模块，用于构建基于策略的访问权限模型；

控制模块，用于通过策略同步和决策逻辑控制插件的扩展接入；

确定模块，用于通过所述访问权限模型对用户的服务访问请求进行控制和安全审计，确定是否针对用户的服务访问请求存在policy能够决策访问；

判断模块，用于如果没有policy能决策访问，则认为用户没有权限拒绝访问，选择拒绝访问，或，将决策下放给系统自身的访问控制层进行访问权限处理。

进一步地，所述确定模块包括：

分配模块，用于RangerAdmin根据用户的服务访问需求进行服务策略的规划，分配相应的资源给相应的用户或组，存储在db中；

拉取模块，用于Agent Plugin按照预设的策略拉取时间从RangerAdmin中拉取策略；

记录模块，用于在拉取到相应的策略后，根据策略执行访问决策树，并实时记录访问审计和策略执行过程；

执行模块，用于根据用户黑名单和白名单执行策略优先级。

进一步地，所述系统还包括时间调整模块；所述时间调整模块，用于根据用户的服务访问频率，对所述策略拉取时间进行调整；其中，所述时间调整模块包括：

阈值设置模块，用于根据前一日系统的用户访问次数和频率，设置当天的用户访问的频率阈值；

实时监控模块，用于实时监控用户的服务访问频率，判断所述服务访问频率是否超过预设的频率阈值；

调整模块，用于当用户的服务访问频率高于预设的频率阈值时，通过拉取时间调整模型对所述预设的策略拉取时间进行调整。

本发明有益效果：

本发明提出的一种应用于智慧教育平台的基于Ranger的安全防护方法和系统，能够有效提高智慧教育平台的安全防护效率和安全防护力度，并且，能够有效提高智慧教育平台的权限管控力度和权限管控效果。在智慧教育平台的访问用户量较多的情况下，能够有效提高智慧教育平台的大数据安全性，避免因权限管控效率不高和力度不够导致的智慧教育系统的数据被窃取的问题发生。

附图说明

图1为本发明所述方法的流程图；

图2为本发明所述系统的系统框图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

本发明提出的一种应用于智慧教育平台的基于Ranger的安全防护方法，如图1所示，所述方法包括：

S1、构建基于策略的访问权限模型；

S2、通过策略同步和决策逻辑控制插件的扩展接入；

S3、通过所述访问权限模型对用户的服务访问请求进行控制和安全审计，确定是否针对用户的服务访问请求存在policy能够决策访问；

S4、如果没有policy能决策访问，则认为用户没有权限拒绝访问，选择拒绝访问，或，将决策下放给系统自身的访问控制层进行访问权限处理。

上述技术方案的工作原理为：Ranger的目标是提供统一的授权管理框架，核心是以通过Hook具体后台服务的流程框架的方式，深度侵入代码，添加授权验证逻辑的方式来实现权限管控，其拥有以下的特点：

第一、基于策略(Policy-based)的访问权限模型；

第二、通用的策略同步与决策逻辑，方便控制插件的扩展接入；

第三、内置常见系统(如HDFS、YARN、HBase等12个)的控制插件，且可扩展；

第四、内置基于LDAP、File、Unix的用户同步机制，且可扩展；

第五、统一的中心化的管理界面，包括策略管理、审计查看、插件管理等。

其中，Ranger主要由以下三个组件构成：

RangerAdmin: 以RESTFUL形式提供策略的增删改查接口，同时内置一个Web管理页面。

AgentPlugin: 嵌入到各系统执行流程中，定期从RangerAdmin拉取策略，根据策略执行访问决策树，并且记录访问审计。插件的实现原理将在后文详细介绍。

UserSync: 定期从LDAP/Unix/File中加载用户，上报给RangerAdmin。

本实施例提出的一种应用于智慧教育平台的基于Ranger的安全防护方法，其具体防护过程如下：首先，构建基于策略的访问权限模型；然后，通过策略同步和决策逻辑控制插件的扩展接入；随后，通过所述访问权限模型对用户的服务访问请求进行控制和安全审计，确定是否针对用户的服务访问请求存在policy能够决策访问；之后，如果没有policy能决策访问，则认为用户没有权限拒绝访问，选择拒绝访问，或，将决策下放给系统自身的访问控制层进行访问权限处理。

上述技术方案的效果为：能够有效提高智慧教育平台的安全防护效率和安全防护力度，并且，能够有效提高智慧教育平台的权限管控力度和权限管控效果。在智慧教育平台的访问用户量较多的情况下，能够有效提高智慧教育平台的大数据安全性，避免因权限管控效率不高和力度不够导致的智慧教育系统的数据被窃取的问题发生。

本发明的一个实施例，通过所述访问权限模型对用户的服务访问请求进行控制和安全审计，包括：

S301、RangerAdmin根据用户的服务访问需求进行服务策略的规划，分配相应的资源给相应的用户或组，存储在db中；

S302、Agent Plugin按照预设的策略拉取时间从RangerAdmin中拉取策略；

S303、在拉取到相应的策略后，根据策略执行访问决策树，并实时记录访问审计和策略执行过程；

S304、根据用户黑名单和白名单执行策略优先级。其中，所述根据用户黑名单和白名单执行策略优先级，包括：黑名单优先级高于白名单；黑名单排除优先级高于黑名单；白名单排除优先级高于白名单。

上述技术方案的工作原理为：Ranger-Admin职责：管理员对于各服务策略进行规划，分配相应的资源给相应的用户或组，存储在db中

Agent Plugin职责：定期从RangerAdmin拉取策略、根据策略执行访问决策树、实时记录访问审计、策略执行过程：

策略优先级：黑名单优先级高于白名单、黑名单排除优先级高于黑名单、白名单排除优先级高于白名单

决策下放：如果没有policy能决策访问，一般情况是认为没有权限拒绝访问，然而Ranger还可以选择将决策下放给系统自身的访问控制层。

其具体过程为：首先、RangerAdmin根据用户的服务访问需求进行服务策略的规划，分配相应的资源给相应的用户或组，存储在db中；然后，Agent Plugin按照预设的策略拉取时间从RangerAdmin中拉取策略；之后，在拉取到相应的策略后，根据策略执行访问决策树，并实时记录访问审计和策略执行过程；最后，根据用户黑名单和白名单执行策略优先级。

上述技术方案的效果为：能够有效提高智慧教育平台的安全防护效率和安全防护力度，并且，能够有效提高智慧教育平台的权限管控力度和权限管控效果。在智慧教育平台的访问用户量较多的情况下，能够有效提高智慧教育平台的大数据安全性，避免因权限管控效率不高和力度不够导致的智慧教育系统的数据被窃取的问题发生。

本发明的一个实施例，所述安全防护方法还包括：S5、根据用户的服务访问频率，对所述策略拉取时间进行调整，具体包括：

S501、根据前一日系统的用户访问次数和频率，设置当天的用户访问的频率阈值；

S502、实时监控用户的服务访问频率，判断所述服务访问频率是否超过预设的频率阈值；

S503、当用户的服务访问频率高于预设的频率阈值时，通过拉取时间调整模型对所述预设的策略拉取时间进行调整。其中，所述拉取时间调整模型如下：

其中，

根据前一日系统的用户访问次数和频率，设置当天的用户访问的频率阈值，包括：

S5011、根据将前一日系统的运行时间，设置5个时间段，其中，每个时间段的时间长度通过如下公式获得：

其中，

S5012、获取系统前一天每个时间段内的用户访问个数，并根据系统前一天的用户访问个数及对应的时间段的时间长度获取每个时间段对应的用户访问频率；

S5013、根据前一天每个时间段对应的用户访问频率，结合频率阈值设置模型获取当天的用户访问的频率阈值。

所述频率阈值设置模型为：

其中，

上述技术方案的效果为：通过上述拉取时间调整方式，能够在客户访问量较大的情况下，有效提高策略执行效率和策略执行速度，防止因用户访问量较大是，固定统一的策略拉取时间造成的策略执行效率降低的问题发生。同时，通过上述时间段划分公式来进行当前的时间段划分，能够通过系统往日的用户访问量对当天的用户频率监控时间进行智能划分，有效提高当前系统运行监控的时间段与用户访问量分配性。提高策略拉取时间调整的准确性，并提高策略拉取时间随着实际用户访问量的进行调整变化的准确性；另一方面，通过系统前一天的用户访问量对当天的用户访问频率的阈值进行智能化的设置，能够根据用户实际情况进行用户访问量频率阈值的设置，提高频率阈值与系统的实际用户访问情况的匹配度，进而提高策略拉取时间调整的及时性和准确性，提高策略拉取时间调整的灵活性。

本发明实施例提出了一种应用于智慧教育平台的基于Ranger的安全防护系统，如图2所示，所述系统包括：

构建模块，用于构建基于策略的访问权限模型；

控制模块，用于通过策略同步和决策逻辑控制插件的扩展接入；

确定模块，用于通过所述访问权限模型对用户的服务访问请求进行控制和安全审计，确定是否针对用户的服务访问请求存在policy能够决策访问；

判断模块，用于如果没有policy能决策访问，则认为用户没有权限拒绝访问，选择拒绝访问，或，将决策下放给系统自身的访问控制层进行访问权限处理。

其中，所述确定模块包括：

分配模块，用于RangerAdmin根据用户的服务访问需求进行服务策略的规划，分配相应的资源给相应的用户或组，存储在db中；

拉取模块，用于Agent Plugin按照预设的策略拉取时间从RangerAdmin中拉取策略；

记录模块，用于在拉取到相应的策略后，根据策略执行访问决策树，并实时记录访问审计和策略执行过程；

执行模块，用于根据用户黑名单和白名单执行策略优先级。

所述系统还包括时间调整模块；所述时间调整模块，用于根据用户的服务访问频率，对所述策略拉取时间进行调整；其中，所述时间调整模块包括：

阈值设置模块，用于根据前一日系统的用户访问次数和频率，设置当天的用户访问的频率阈值；

实时监控模块，用于实时监控用户的服务访问频率，判断所述服务访问频率是否超过预设的频率阈值；

调整模块，用于当用户的服务访问频率高于预设的频率阈值时，通过拉取时间调整模型对所述预设的策略拉取时间进行调整。

本实施例所述一种应用于智慧教育平台的基于Ranger的安全防护系统用于执行一种应用于智慧教育平台的基于Ranger的安全防护方法，其系统中的每个模块用于执行所述一种应用于智慧教育平台的基于Ranger的安全防护方法中的对应步骤。

上述技术方案的效果为：本实施例提出的一种应用于智慧教育平台的基于Ranger的安全防护系统，能够有效提高智慧教育平台的安全防护效率和安全防护力度，并且，能够有效提高智慧教育平台的权限管控力度和权限管控效果。在智慧教育平台的访问用户量较多的情况下，能够有效提高智慧教育平台的大数据安全性，避免因权限管控效率不高和力度不够导致的智慧教育系统的数据被窃取的问题发生。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。