[发明专利]基于Hive插件对Hive数据权限管控及安全审计方法及系统

权利要求书

1.一种基于Hive插件对Hive数据权限管控及安全审计方法，其特征在于，所述方法包括如下步骤：

S1.Hive请求通过JDBC连接或ODBC连接进入Hive集群中，连接到Thirft服务器，然后进去到Hive驱动模块中；

S2.在Hive驱动模块中,依次进行抽象语法树解析、逻辑优化器优化、物理执行计划生成与优化、权限校验和提交到集群yarn运行；

S3.HQL执行成功以后，异步通知到Admin服务器中；通过Antrl4来解析SQL，获取HQL的操作类型、表和字段；

S4.对于操作类型为创建表的情况，则授予创建人全部的表权限；若是操作类型为删除表，则变更表策略去掉策略中被删除的表；

S5.更改完策略以后，策略信息保存到mysql中，同时添加标识标记该策略已经变更；Hive插件定时拉取策略，根据变更标识来刷新Hive插件中缓存。

2.根据权利要求1所述的一种基于Hive插件对Hive数据权限管控及安全审计方法，其特征在于，步骤S2中，权限校验是指调用鉴权插件接口来判断用户的操作，鉴权结束需要将审计日志同步到服务器中；鉴权流程包括如下子步骤：

S21.检验是否有表的操作权限；

S22.校验是否有字段的查询权限；

S23.审计权限校验日志。

3.根据权利要求2所述的一种基于Hive插件对Hive数据权限管控及安全审计方法，其特征在于，步骤S3中，解析流程包括如下子步骤：

S31.使用词法分析器生成Token序列；

S32.使用语法分析器将Token序列串联成AST；通过Visitor模式遍历AST解析HQL中表节点，字段节点，以及HQL对应的操作类型；

S33.根据操作类型来判断是否需要变更策略；

S34.获取到表的元数据信息，以及策略中原本的字段信息，调整数据库中原本存储的策略。

4.根据权利要求3所述的一种基于Hive插件对Hive数据权限管控及安全审计方法，其特征在于，步骤S3中，Antrl4通过.g4文件生成了6个基础文件，分别为词法分析器、语法分析器、监听接口、Listener默认实现、Visitor 接口以及Visitor 默认实现。

5.根据权利要求4所述的一种基于Hive插件对Hive数据权限管控及安全审计方法，其特征在于，为了防止Admin客户端无法连接，将策略同步保存到磁盘上，若请求不到Admin客户端，则从磁盘中读取策略文件，按照权限的最小原则，管控用户对Hive数据的使用权限。

6.一种基于Hive插件对Hive数据权限管控及安全审计系统，其特征在于，所述系统用于实现根据权利要求1-5任一项所述的方法，所述系统包括Hive请求模块，通过Hive请求进入Hive驱动模块。

7.根据权利要求6所述的一种基于Hive插件对Hive数据权限管控及安全审计系统，其特征在于，Hive驱动模块包括HQL解析单元、HQL逻辑优化器单元、权限校验单元、物理计划执行单元和提交单元；通过所述HQL解析单元进行抽象语法树解析；所述HQL逻辑优化器单元进行逻辑执行计划生成与优化；提交单元提交到yarn运行。

8.根据权利要求7所述的一种基于Hive插件对Hive数据权限管控及安全审计系统，其特征在于，权限校验在HQL解析和HQL优化之后；此时HQL已经在Hive中被拆解成表、字段和操作类型，调用鉴权插件接口来判断用户的操作，鉴权结束将审计日志同步到服务器中。

9.根据权利要求8所述的一种基于Hive插件对Hive数据权限管控及安全审计系统，其特征在于，Admin服务器中包括Antrl4解析SQL单元、元数据获取字段单元、创建表操作添加策略单元和变更表操作修改策略单元。

10.根据权利要求9所述的一种基于Hive插件对Hive数据权限管控及安全审计系统，其特征在于，每次HQL运行成功后发送Kafka记录下来，便于记录数据血缘和元数据操作记录变更。