什么是HDFS透明加密

HDFS Encryption Zone 加密空间，即HDFS透明加密，是一种端到端的加密模式，其中加解密过程对于客户端来说是完全透明的。数据在客户端写操作时被加密，数据在客户端读操作时被解密，hdfs服务端本省并不是主要参与者。主要作用是保证加密空间内的数据不被非法查询。

HDFS的透明加密支持两种方式的加密：静态（at-rest）数据加密，比如持久化保存在磁盘上的数据，传输（in-transit）数据加密，比如通过网络传输的数据。

传统数据管理软件或者硬件的加密包含了不同的层级，在不同的层级加密有不同的优点和缺点。

• 应用层加密，这是最安全也是最灵活的方式。加密内容最终由应用程序来控制，并且可以精确的反映用户的需求。但是，编写应用程序来实现加密一般都比较困难，而且有些应用程序可能不支持加密。

• 数据库层加密，类似于应用程序加密。大多数数据库厂商都提供某种形式的加密，但是可能会有性能问题，另外比如说索引没办法加密。

• 文件系统层加密，这种方式对性能影响不大，而且对应用程序是透明的，一般也比较容易实施。但是应用程序细粒度的要求策略，可能无法完全满足。比如，多租户应用程序可能需要对最终用户进行加密，数据库可能需要对单个文件里的每个列进行不同的加密设置。

• 磁盘层加密，易于部署和高性能，但是相当不灵活，只能防止用户从物理层面盗窃数据。

HDFS的透明加密属于数据库层和文件系统层的加密。它有很多好处，比如不错的性能，对于现有的应用程序是透明的。在制定策略时，HDFS也比传统的文件系统有更多的选择。

HDFS加密可以防止在文件系统或之下的攻击，也叫操作系统级别的攻击（OS-level attacks）。操作系统和磁盘只能与加密的数据进行交互，因为数据已经被HDFS加密了。