Ranger与Sentry权限管理对比
请对比Apache Ranger和Sentry两种大数据权限管理框架的架构差异、授权模型以及选型建议。
回答
编译有声
一、Apache Ranger：
架构：
- Admin Server：管理WebUI，配置策略
- Policy Engine：插件嵌入各组件（HDFS/Hive/HBase/Kafka）中执行鉴权
- User/Group Sync：同步LDAP/AD用户
- Audit：审计日志（Solr/HDFS）
授权模型：
- 基于角色的访问控制（RBAC）：User→Group→Role→Policy
- Policy定义：
<Resource><Allow/Deny><User/Group><Permission> - 支持行级过滤（Row Filter）和列掩码（Column Masking）
特点：
- 集中式管理，统一WebUI
- 插件机制，组件级细粒度控制
- 审计日志丰富
- 动态生效（策略变更无需重启服务）
二、Apache Sentry：
架构：
- Sentry Server：提供RPC鉴权服务
- Policy DB：存储授权元数据（存储在MySQL/PostgreSQL）
- 组件集成：通过Sentry Plugin与Hive/Impala/Solr集成
授权模型：
- 基于角色的访问控制（RBAC）：
Role→Privilege - Privilege：
Action → Object → Scope（如SELECT ON TABLE sales） - 角色可以继承
特点：
- 模型简洁，SQL风格授权
- 深度集成Hive/Impala
- 不支持HDFS级别的文件授权
- CDH默认使用Sentry
三、对比表： | 维度 | Ranger | Sentry | |------|--------|--------| | 支持组件 | HDFS/Hive/HBase/Kafka/Spark/... | Hive/Impala/Solr | | 授权范围 | 库/表/列/行级+列掩码 | 库/表/列级 | | 动态生效 | 是 | 是 | | 审计日志 | 丰富（Solr/HDFS） | 有限 | | 管理UI | 是（WebUI） | 无（CLI或HUE） | | 社区活跃度 | 活跃 | 停止维护（Apache Attic）| | 部署复杂度 | 中 | 低 |
四、选型建议：
- 新项目推荐Ranger（Sentry已退役）
- CDH5/6用户可继续使用Sentry
- 云原生推荐Ranger + Kerberos
- 需要审计和脱敏功能→Ranger