[发明专利]数据访问权限控制方法、装置、系统、存储介质及设备

说明书

本申请提供一种数据访问权限控制方法、装置、系统、存储介质及设备，方法应用于对数据管理系统的访问进行辅助的Hive，数据管理系统包括权限模块，方法包括：接收对数据管理系统的数据查询请求；确定出数据查询请求对应的请求权限信息和用户身份信息；向权限模块发送身份查询请求，以验证用户身份信息对应的用户是否具有与请求权限信息匹配的访问权限。通过在数据管理系统中设置权限模块，在利用Hive对数据管理系统进行访问前，对用户的访问权限进行验证，能够有效保护数据的安全。并且，针对性地设置权限模块，不用考虑数据管理系统与分布式存储系统的用户对接问题。另外，利用Hive实现这种权限控制方法，几乎不会存在服务器负载大，稳定性不足等问题。

技术领域

本申请涉及数据处理领域，具体而言，涉及一种数据访问权限控制方法、装置、系统、存储介质及设备。

背景技术

Hive(蜂巢，一种基于大数据分布式存储系统的数据仓库工具)是一个由Facebook(脸书)开源，基于Hadoop(一种分布式系统基础架构)系统的用于解决海量结构化日志的数据统计的数据仓库工具。在底层，Hive使用HDFS(Hadoop Distributed File System，Hadoop分布式文件系统)进行存储并将结构化数据文件映射成一张表，并提供类SQL(Structured Query Language，结构化查询语言)查询的功能，本质是将HQL(HibernateQuery Language，Hibernate查询语言，Hive所使用的一种类SQL查询语言)转化成MR(MapReduce，映射-规约，Hadoop所采用的一种计算模型，用于大规模数据集的并行运算的编程模型)程序，在其底层采用MR进行计算。

Hive的数据存储在HDFS中，大部分的查询、计算由映射-规约完成(但其中包含*的查询，例如“select*from tbl”不会生成映射-规约任务)，描述Hive数据的数据被称为Hive的元数据。Hive将元数据存储在数据库中，例如MySQL、Derby等数据库。Hive中的元数据包括表的名字，表的列和分区及其属性，表的属性(是否为外部表等)，表的数据所在目录等。

在Hive使用过程中，出于数据规范与数据安全的角度考虑，非管理员的Hive使用者在使用Hive的过程中执行的操作应当加以限制。若任何Hive使用者都可以在使用Hive时查看所有数据，那么所有的数据信息便毫不设防地暴露在所有的Hive使用者面前，不利于保护数据的安全。因此，需要从数据的访问权限方面加以限制，对不同用户开放不同的权限，以尽可能保证数据安全。

在对Hive使用者的数据访问权限的限制中，目前主要为以下几种方式：

采用Hive原生权限控制的方式：Hive内部有自身原生的权限控制系统，1.0.X版本的Hive对表权限控制基于Linux(一套免费使用和自由传播的多用户、多任务、支持多线程和多CPU的操作系统，CPU表示Central Processing Unit，计算机系统的运算和控制核心，是信息处理、程序运行的最终执行单元)的用户和用户组权限。2.0.X版本的Hive可以针对表的Create(创建)、Select(选取)、Truncate(删减)、Drop(删除)等操作权限进行控制。由于该方案源于Hive原生，不需要额外安装其他系统、模块，仅在Hive-site.xml配置文件中添加对应配置信息，即可通过HQL为用户添加各类权限。

这种方式在一定程度上满足了管理员对Hive使用权限的控制需求，但存在这样的缺陷：首先，由于该部分基于Linux系统用户提供权限控制服务，在大型分布式数据管理系统中，不同服务器上的用户及其用户组各不相同，很难给出一个统一的、规范化的权限控制方案来。其次，即使为Linux系统用户添加了权限控制，这个用户的含义也与数据管理系统自身的用户含义不同，无法实现为数据管理系统用户添加权限控制的目的。