ITPub博客

操作场景在安装集群时，系统将自动生成加密密钥key值以对集群的部分安全信息（例如所有数据库用户密码、密钥文件访问密码等）进行加密存储。在集群安装成功后，如果原始密钥不慎意外泄露或者需要使用新的密钥，系统管理员可以通过以下操作手动更改密钥值。对系统的影响更新集群密钥后，集群中新增加一个随机生成的新密钥

操作场景FusionInsight系统支持在安装Manager时指定第三方NTP服务器作为外部的时钟源，保持主管理节点与外部时钟源时间的同步。集群未配置NTP安全认证时，时间同步功能正常，但可能存在安全风险。建议选择启用了认证功能的外部时钟源并配置NTP安全认证，避免安全风险。系统默认主管理节点作为

操作场景默认情况下，部署在OMS和集群中的LDAP服务允许任意IP访问。如果需要只允许受信任的IP地址访问LDAP服务，可以配置iptables过滤列表的INPUT策略。对系统的影响配置受信任IP访问LDAP以后，未配置的IP无法访问LDAP。扩容前，新增加的IP需要配置为受信任的IP。前提条件根据

操作场景为了方便使用，Tomcat保留了http协议接口，通过http网络地址访问FusionInsightManager时，会自动跳转到https地址。如果需要彻底禁用http，可以按照如下方式操作。对系统的影响该操作需要在主管理节点重新启动Tomcat，重启期间会造成FusionInsightM

加固Tomcat在FusionInsightManager软件安装及使用过程中，针对Tomcat基于开源做了如下功能增强：升级Tomcat版本为官方稳定版本apache-tomcat-8.5.40。设置应用程序webapplications之下的目录权限为500，对webapplications之下

安全加固加固策略关闭http访问8080端口配置受信任IP访问LDAP配置NTP安全认证更新集群密钥加固LDAP安全组网建议配置Controller与Agent间通信加密更新omm用户ssh密钥

操作场景系统根据当前使用的证书进行有效期检查是否即将到期。如果当前时间超过了设置中的提醒时间，则发送证书即将过期告警。证书过期告警时间以天为单位进行设置，默认值为30天，不建议修改。如果用户更换CA证书，可根据证书有效期进行阈值设置，阈值有效期范围7-180天。操作步骤使用PuTTY工具以omm用户

操作场景HA证书用于主备进程与高可用进程的通信过程中加密数据，实现安全通信。该任务指导系统管理员FusionInsightManager完成主备管理节点的HA证书替换工作，以确保产品安全使用。适用于以下场景：首次安装好集群以后，需要更换企业证书。企业证书有效时间已过期或安全性加强，需要更换为新的证书

操作场景GaussDB200CA证书用于组件客户端与服务端在通信过程中加密数据，实现安全通信。该任务指导系统管理员通过FusionInsightManager完成CA证书替换工作，以确保产品安全使用。适用于以下场景：首次安装好集群以后，需要更换企业证书。企业证书有效时间已过期或安全性加强，需要更换为

操作场景公钥证书，通常简称为证书，是一种数字签名的声明，它将公钥的值绑定到持有对应私钥的个人、设备或服务的标识。使用浏览器登录FusionInsightManager页面时，如果出现页面因证书安全问题导致跳转失败，致使页面内容无法正常显示时，可参考此操作来解决。操作步骤InternetExplore

证书管理安装集群证书更换CA证书更换HA证书配置证书即将过期告警阈值

操作场景建议管理员定期修改OMS数据库访问用户的密码，以提升系统运维安全性。对系统的影响修改密码需要重启OMS服务，服务在重启时FusionInsight系统无法访问。操作步骤在FusionInsightManager选择“系统>OMS>gaussDB>修改密码”。在omm用户所在

操作场景建议管理员定期修改OMS数据库管理员的密码，以提升系统运维安全性。操作步骤使用PuTTY，以root用户登录主管理节点。说明：ommdba用户密码不支持在备管理节点修改，否则集群无法正常工作。只需在主管理节点执行修改操作，无需在备管理节点操作。执行以下命令，切换用户。su-omm执行以下命令

操作场景建议管理员定期修改FusionInsight集群组件运行用户的密码，以提升系统运维安全性。组件运行用户，根据初始密码是否是系统随机生成，可分为两类：密码随机生成的，用户类型为“机机”用户。密码不是随机生成的，用户类型为“人机”用户。对系统的影响初始密码为系统随机生成的组件运行用户，在修改密码

操作场景建议管理员定期修改集群LDAP管理帐户“cn=krbkdc,ou=Users,dc=hadoop,dc=com”和“cn=krbadmin,ou=Users,dc=hadoop,dc=com”的密码，以提升系统运维安全性。对系统的影响修改密码后需要重启KrbServer服务。修改密码后需要确

操作场景建议管理员定期修改集群的LDAP管理员用户“cn=root,dc=hadoop,dc=com”和LDAP用户“cn=pg_search_dn,ou=Users,dc=hadoop,dc=com”的密码，以提升系统运维安全性。修改上述用户密码将同步修改OMSLDAP管理员或用户密码。说明：旧版

操作场景管理员应定期修改OMSKerberos管理员“kadmin”的密码，以提升系统运维安全性。修改此用户密码将同步修改Kerberos管理员密码。操作步骤使用PuTTY，以omm用户登录任意管理节点。执行以下命令，切换到目录。cd${BIGDATA_HOME}/om-server/om/meta

操作场景管理员应定期修改Kerberos管理员“kadmin”的密码，以提升系统运维安全性。修改此用户密码将同步修改OMSKerberos管理员密码。前提条件已在集群内的任一节点安装了客户端，并获取此节点IP地址。操作步骤使用PuTTY，以root用户通过节点IP地址登录安装了客户端的节点。执行以下

操作场景“admin”是MPPDBMonitor的系统管理员帐号，建议用户通过MPPDBMonitorWebUI定期修改密码，提高系统安全性。操作步骤登录FusionInsightManager。需使用“admin”登录。选择“集群>待操作的集群名称>服务>MPPDBMonitor

密码