Ozone 是一个面向 Hadoop 和云原生环境的可扩展、冗余且分布式的对象存储。除了能够扩展到数十亿个不同大小的对象外，Ozone 还可以在 Kubernetes 和 YARN 等容器化环境中高效运行。

Apache Ozone 简体中文

Ozone 支持两种授权模型：**原生 ACL** 和 **Apache Ranger 策略**。

- [**原生 ACL**](https://ozone.apache.org/docs/core-concepts/security/acls/native-acls) 通过 Ozone 的命令行接口或 API 进行管理，并存储在 Ozone 的元数据内部。它们适用于较为简单的安全需求，以及将 Ozone 作为独立服务运行的环境。
- **Apache Ranger** 为整个 Hadoop 生态系统提供集中化的安全管理。如果你已经在使用 Ranger 管理 HDFS、Hive 或 HBase 等其他组件的权限，将 Ozone 与 Ranger 集成后，你可以在同一处管理所有访问策略。Ranger 提供了友好的 UI、集中化的审计功能以及更高级的策略特性。有关为 Ozone 配置 Apache Ranger 授权的更多信息，请参阅[配置 Apache Ranger](https://ozone.apache.org/docs/administrator-guide/configuration/security/ranger)。

启用 Ranger 后，它将成为访问控制的唯一权威，原生 ACL 将被忽略。

## 权限对照表

下表展示了 Ozone 操作与所需 Ranger 权限之间的对应关系。Ozone Manager 插件会从 Ranger 同步这些策略。

| `操作`                      | `卷权限`     |
|------------------------------|---------------------|
| `创建卷`                     | `CREATE`            |
| `列出卷`                     | `LIST`              |
| `获取卷信息`                 | `READ`              |
| `删除卷`                     | `DELETE`            |
| `设置配额`                   | `WRITE`             |
| `设置所有者`                 | `WRITE_ACL`         |
| `创建租户（及卷）`           | `CREATE`            |
| `删除租户`                   | `WRITE_ACL`         |

| `操作`                                             | `卷权限`     | `存储桶权限` |
|----------------------------------------------------|---------------------|---------------------|
| `创建存储桶`                                       | `READ`              | `CREATE`            |
| `列出存储桶`                                       | `LIST, READ`        |                     |
| `获取存储桶信息`                                   | `READ`              | `READ`              |
| `删除存储桶`                                       | `READ`              | `DELETE`            |
| `更新存储桶属性（配额、副本策略等）`               | `READ`              | `WRITE`             |
| `列出快照`                                         | `READ`              | `LIST`              |
| `列出回收站`                                       | `READ`              | `LIST`              |
| `回收站恢复`                                       | `READ`              | `WRITE`             |
| `设置所有者`                                       | `READ`              | `WRITE_ACL`         |

| `操作` | `卷权限` | `存储桶权限` | `键权限` |
|-------------|---------------------|---------------------|------------------|
| `列出键`  | `READ`              | `LIST, READ`        |                  |
| `写入键` | `READ`              | `READ`              | `CREATE, WRITE`  |
| `读取键` | `READ`              | `READ`              | `READ`           |


Ranger 授权策略

KnowForge 新版本 2026.0.6 正式发布！！！

产品

资源

其他

概述

Docker

Kubernetes

裸金属

安装

Ozone 中的读写操作

快速开始

Ozone Manager

Storage Container Manager

Ozone S3 网关

数据节点

Recon

架构

存储容器

写入管道

Ratis

纠删码

复制

所有者

配额

布局

默认复制类型

加密

链接

快照

存储桶

命名空间

Kerberos

原生 ACL

安全

SCM 高可用性

Ozone Manager 高可用性

高可用性

与其他存储技术的比较

核心概念

Ozone Shell

保护 S3

S3 API

HttpFS 网关

Java 客户端 API

从 Python 访问 Apache Ozone

CSI 协议

Ozone 的原生 C/C++ 客户端访问

客户端接口

Ozone

HDFS

客户端

Hive

Iceberg

Impala

Oozie

Spark

Trino

DistCp

Flink

HBase

集成

用户指南

部署架构

参考架构

硬件与容量规划

安装 Ozone 二进制文件

初始化集群

配置文件

环境变量

网络

基础

应用日志

审计日志

日志

管理员

HTTPS

Apache Knox

Apache Ranger

保护 S3 密钥

生产部署

拓扑

多 Raft

Apache Ozone 中的 RocksDB

流式写入管道

计算 EC 管道限制

计算 Ratis 管道限制

S3 网关负载均衡

公平性

HttpFS 负载均衡器 (Kerberos)

性能

SCM HA 配置

OM HA 配置

客户端故障转移

附录

配置

启动与停止

升级与降级

下线与维护

磁盘更换

容器复制报告

数据节点间数据均衡

数据均衡

证书轮换

设置

租户命令

访问控制

S3 多租户

快照概述

快照配置属性

Web UI

Prometheus

Grafana

分布式追踪

可观测性

领导者转移

Ozone 中的配额

Ozone Repair

Ozone Admin

Ozone Debug

工具

回收站

动态属性重载

运维

管理员指南

启动

安全模式

读写

删除

占位符

证书

身份认证

授权

RocksDB

OM HA 快照安装

故障排查

磁盘布局

RocksDB 模式

内存存储

启动序列

角色

写入请求流程

读取请求流程

管理写入请求流程

管理读取请求流程

数据节点容器模式 v3

RocksDB 布局

SQL 模式

从 Ozone Manager 同步数据

从 Storage Container Manager 同步数据

从数据节点同步数据

请求流程

S3 网关

JAR 文件

组件

写入

读取

数据操作

校验和

数据节点容器扫描器

数据节点卷扫描器

数据完整性

元数据

容器

SCM 复制管理器

SCM 容器均衡器

数据

对称加密

令牌

SASL

S3 凭据

服务器

网络协议

文件系统优化 (FSO)

快照删除生命周期

存储桶快照

快照碎片整理

使用快照进行 OM 引导

特性

系统内部

Maven

IntelliJ

Docker 镜像

构建

Docker Compose

运行

单元测试

集成测试

验收测试

持续集成

静态分析

测试

Git 分支与标签

发布经理指南

JavaDoc

项目

开发者指南

`操作`	`卷权限`
`创建卷`	`CREATE`
`列出卷`	`LIST`
`获取卷信息`	`READ`
`删除卷`	`DELETE`
`设置配额`	`WRITE`
`设置所有者`	`WRITE_ACL`
`创建租户（及卷）`	`CREATE`
`删除租户`	`WRITE_ACL`

`操作`	`卷权限`	`存储桶权限`
`创建存储桶`	`READ`	`CREATE`
`列出存储桶`	`LIST, READ`
`获取存储桶信息`	`READ`	`READ`
`删除存储桶`	`READ`	`DELETE`
`更新存储桶属性（配额、副本策略等）`	`READ`	`WRITE`
`列出快照`	`READ`	`LIST`
`列出回收站`	`READ`	`LIST`
`回收站恢复`	`READ`	`WRITE`
`设置所有者`	`READ`	`WRITE_ACL`

`操作`	`卷权限`	`存储桶权限`	`键权限`
`列出键`	`READ`	`LIST, READ`
`写入键`	`READ`	`READ`	`CREATE, WRITE`
`读取键`	`READ`	`READ`	`READ`

Ranger 授权策略

权限对照表

评论