CN115688165A - 一种节点文件处理方法、装置、设备及存储介质 - Google Patents

Abstract

本发明公开了一种节点文件处理方法、装置、设备及存储介质。该方法包括：从客户端中获取加密区文件新建请求，并根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥；向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。本发明实施例可以实现对工作节点中数据存储的安全性。

Description

一种节点文件处理方法、装置、设备及存储介质

技术领域

本发明涉及密码技术领域，尤其涉及一种节点文件处理方法、装置、设备及存储介质。

背景技术

Hadoop是一个分布式大数据基础架构，Hadoop对分布式底层实现细节进行封装，即使用户不了解分布式程序的开发，也可以利用集群的资源进行快速存储和运算，完成分布式程序的开发。而Hadoop分布式文件系统(HDFS)则是为整个Hadoop系统提供存储服务的文件系统，HDFS文件系统采用文件分块的形式将数据块文件分别存储在集群中的不同主机之上。

在现有的Hadoop架构中，数据安全保障措施重度依赖于主节点的权限管理措施，权限系统认证过后，HDFS系统将不存在任何的其他防护。同时由于Hadoop使用的是简单的账号密码认证方式，因此具有单点失效的可能。一旦发生身份窃取的情况，HDFS不能主动给予有效的防护。且数据在HDFS结点中是明文进行存储的，工作(DataNode)节点中数据安全性受到很大的挑战。

发明内容

本发明提供了一种节点文件处理方法、装置、设备及存储介质，以实现对工作节点中数据存储的安全性。

根据本发明的一方面，提供了一种节点文件处理方法，包括：

从客户端中获取加密区文件新建请求，并根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥；

向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

根据本发明的另一方面，提供了一种节点文件处理方法，包括：

向管理节点发送加密区文件新建请求，用于指示所述管理节点根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥，并向所述客户端发送所述已加密数据加密密钥；

根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

根据本发明的另一方面，提供了一种节点文件处理装置，包括：

第一密钥获取模块，用于从客户端中获取加密区文件新建请求，并根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥；

第一密钥下发模块，用于向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

根据本发明的另一方面，提供了一种节点文件处理装置，包括：

第一密钥接收模块，用于向管理节点发送加密区文件新建请求，用于指示所述管理节点根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥，并向所述客户端发送所述已加密数据加密密钥；

加密数据新建模块，用于根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例所述的节点文件处理方法。

根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现本发明任一实施例所述的节点文件处理方法。

本发明实施例通过使用KMS加密对存储在工作结点中的文件进行加密，解决了Hadoop中文件明文存储导致的数据安全问题，提升了数据存储的安全性。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1A是根据本发明一实施例提供的一种节点文件处理方法的流程图；

图1B是根据本发明一实施例提供的一种加密文件新建流程的示意图；

图1C是根据本发明一实施例提供的一种节点分级的示意图；

图2A是根据本发明又一实施例提供的一种节点文件处理方法方法的流程图；

图2B是根据本发明又一实施例提供的一种加密文件解密流程的示意图

图3是是根据本发明又一实施例提供的一种节点文件处理方法的流程图；

图4是根据本发明又一实施例提供的一种节点文件处理装置的结构示意图；

图5是根据本发明又一实施例提供的一种节点文件处理装置的结构示意图；

图6是实现本发明实施例的电子设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

图1A为本发明一实施例提供的一种节点文件处理方法的流程图，本实施例可适用于文件上传时在Hadoop文件上传的基础上添加密钥分发，加密区建立的功能；在数据读取和修改的时先从密钥服务器拿到密钥，客户端再利用密钥对加密区文件进行解密，以此达到透明加密的情况，该方法可以由节点文件处理装置来执行，该装置可以采用硬件和/或软件的形式实现，该装置可配置于具备相应数据处理能力的电子设备中，例如Hadoop架构中的管理(NameNode)节点。如图1A所示，该方法包括：

S110、从客户端中获取加密区文件新建请求，并根据所述加密区文件新建请求；

S120、向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

其中，密钥管理服务器(Key Management Server，KMS)是基于HadoopKeyProviderAPI编写的密钥管理服务器，作为Hadoop本地数据加密工具的一部分，用于存储各种加密密钥，帮助HDFS实现透明的端到端的加密。在配置完KMS后，用户无需在程序代码中做任何更改，一切加密和解密都是由客户端完成，对于用户完全透明。引入KMS加密的目的是为不同用户客户端分配不同的加密区和密钥，进而对存储在加密区中的数据进行加密，这样既有效处理了多租户的数据隔离问题，又解决了静态数据加密问题。文件新建请求包括加密区文件新建请求和非加密区文件新建请求，两者通过请求中上传文件目录地址进行区分。

具体的，客户端(HDFS Client)在主节点权限认证通过后，向管理节点发送文件新建请求，管理节点对请求进行解析，得到上传文件的待写入目录地址。管理节点中存储有所有数据块的位置信息，从而能够判断待写入目录是否为加密目录。如果为非加密目录，则文件新建请求为非加密区文件新建请求，将文件直接写入到工作节点中非加密区块；如果为非加密目录，则文件新建请求为加密区文件新建请求，需要获取数据加密密钥对文件进行加密后上传，具体为：为避免管理节点泄露密钥，管理节点从KMS中获取的是加密过的数据加密密钥DEK(即已加密数据加密密钥EDEK)，而非是可以直接使用的数据加密密钥DEK。管理节点将已加密数据加密密钥EDEK下发客户端，客户端再将已加密数据加密密钥EDEK发送给KMS，KMS将该已加密数据加密密钥EDEK对应的未加密过的数据加密密钥DEK下发给客户端，客户端利用数据加密密钥DEK对要上传的文件进行对称加密，并将加密后的文件上传到工作节点的相应目录，管理节点存储EDEK，完成加密文件的写入流程。

本发明实施例通过使用KMS加密对存储在工作结点中的文件进行加密，解决了Hadoop中文件明文存储导致的数据安全问题，提升了数据存储的安全性。

可选的，所述根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥包括：

根据所述加密区文件新建请求生成数据加密密钥创建请求；向密钥管理服务器发送所述数据加密密钥创建请求，用于指示所述密钥管理服务器根据所述数据加密密钥请求创建请求分别创建加密区加密密钥和数据加密密钥，根据所述加密区加密密钥和数据加密密钥生成已加密数据加密密钥，并向管理节点发送所述已加密数据加密密钥。

具体的，管理节点根据加密区文件新建请求中待写入目录地址和客户端标识生成数据加密密钥创建请求，KMS接收到数据加密密钥创建请求后，根据待写入目录地址和客户端标识分别创建加密区加密密钥EZK和数据加密密钥DEK，并根据加密区加密密钥EZK和数据加密密钥DEK生成经过加密的数据加密密钥EDEK，并向管理节点返回已加密数据加密密钥EDEK。通过加密区加密密钥EZK和数据加密密钥DEK生成数据加密密钥EDEK，实现为不同用户客户端分配不同的加密区和密钥，既有效处理了多租户的数据隔离问题，又解决了静态数据加密问题。

示例性的，图1B是根据本发明一实施例提供的一种加密文件新建流程的示意图。其中，在步骤1-8中，KMS先后创建EZK、DEK和EDEK，并分别向管理节点和客户端下发EDEK和DEK，在实现密钥分发的同时，最大程度避免了密钥泄露带来的数据安全问题。

可选的，所述工作节点还包括非加密区，所述非加密区用于存储未加密数据。

具体的，使用透明加密技术对工作结点进行加密能够提升数据可信性，但是性能也难以避免的受到影响，且HDFS因为采用分布式副本存放策略，对每个数据块进行多副本备份处理，默认为2份副本数据，因此如果全部结点均采用相同加密策略会造成3倍的性能损耗，追求过高的可信性会严重影响性能。因此对工作节点采用节点分级制度。高等级工作节点作为加密区使用KMS加密空间进行透明加密，牺牲部分写入性能保证高加密需求数据的可信性和安全性。低等级工作节点作为非加密区按照原方式(不加密)保存数据，以保证大部分情况下分布式存储系统的高性能要求。同时在高等级节点和低等级节点之间提供数据交互通道，满足数据加密需求变化的情况下在高低等级节点之间传输的需求。

示例性的，图1C是根据本发明一实施例提供的一种节点分级的示意图。其中，高等级节点(High priority data)和低等级节点(Low priority data)之间可通过数据交互通道(Date exchange)进行数据传输。

图2A为本发明又一实施例提供的一种节点文件处理方法的流程图，本实施例在上述实施例的基础上进行了优化改进。如图2A所示，该方法包括：

S210、从客户端中获取加密区文件新建请求，并根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥。

S220、向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

S230、从所述客户端中获取加密区文件读取请求，并根据所述加密区文件读取请求向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并根据所述数据加密密钥对所述加密数据块进行解密读取。

具体的，由于客户端中密钥泄露风险较高，客户端在利用数据加密密钥DEK对文件加密上传后，并不会对数据加密密钥DEK或已加密数据加密密钥EDEK进行保存。相应的，当客户端需要对工作节点中的加密文件进行解密读取时，需要再次从KMS获取数据加密密钥，具体为：客户端向管理节点发送加密区文件读取请求，请求管理节点向客户端下发其长期保存的已加密数据加密密钥EDEK，客户端再根据已加密数据加密密钥EDEK重新从KMS中获取相应的数据加密密钥DEK，对可将密文数据转化成明文，完成解密过程。此外，文件读取过程中重新获取到的数据加密密钥DEK和已加密数据加密密钥EDEK同样不会在客户端中保存，该客户端之后新建或读取加密文件依旧需要重新从KMS和管理节点获取密钥。

示例性的，图2B是本发明一实时例提供的一种加密文件读取流程的示意图。其中，当用户需要从DataNode节点中读取数据文件并开启KMS加密读取数据时，请求DataNode加密数据，NameNode提交保存的EDEK密钥，在经过KMS服务器验证之后，使用它返回的DEK解密文件，便可将密文数据转化成明文，完成解密过程。

本发明实施例通过在对加密文件进行解密时，客户端重新从KMS和管理节点获取解密所需密钥，客户端无需对密钥进行保存，避免了客户端中存放密钥所泄露带来的数据安全问题。

图3为本发明又一实施例提供的一种节点文件处理方法的流程图，本实施例可适用于文件上传时在Hadoop文件上传的基础上添加密钥分发，加密区建立的功能；在数据读取和修改的时先从密钥服务器拿到密钥，客户端再利用密钥对加密区文件进行解密，以此达到透明加密的情况情况，该方法可以由节点文件处理装置来执行，该装置可以采用硬件和/或软件的形式实现，该装置可配置于具备相应数据处理能力的电子设备中，例如Hadoop架构中的客户端。如图3所示，该方法包括：

S310、向管理节点发送加密区文件新建请求，用于指示所述管理节点根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥，并向所述客户端发送所述已加密数据加密密钥；

S320、根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

本发明实施例通过使用KMS加密对存储在工作结点中的文件进行加密，解决了Hadoop中文件明文存储导致的数据安全问题，提升了数据存储的安全性。

可选的，所述根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥包括：

根据所述已加密数据加密密钥生成数据加密密钥获取请求；向所述密钥管理服务器发送所述数据加密密钥获取请求，用于指示所述密钥管理服务器根据所述数据加密密钥获取请求中已加密数据加密密钥，向客户端下发数据加密密钥。

图4为本发明又一实施例提供的一种节点文件处理装置的结构示意图。如图4所示，该装置包括：

第一密钥获取模块410，用于从客户端中获取加密区文件新建请求，并根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥；

第一密钥下发模块420，用于向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

本发明实施例所提供的点文件处理装置可执行本发明任意实施例所提供的点文件处理方法，具备执行方法相应的功能模块和有益效果。

可选的，第一密钥获取模块410包括：

创建请求生成单元，用于根据所述加密区文件新建请求生成数据加密密钥创建请求

第一密钥获取单元，用于向密钥管理服务器发送所述数据加密密钥创建请求，用于指示所述密钥管理服务器根据所述数据加密密钥请求创建请求分别创建加密区加密密钥和数据加密密钥，根据所述加密区加密密钥和数据加密密钥生成已加密数据加密密钥，并向管理节点发送所述已加密数据加密密钥。

可选的，所述装置还包括：

第一密钥重发模块，用于从所述客户端中获取加密区文件读取请求，并根据所述加密区文件读取请求向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并根据所述数据加密密钥对所述加密数据块进行解密读取。

可选的，所述工作节点还包括非加密区，所述非加密区用于存储未加密数据。

进一步说明的节点文件处理装置也可执行本发明任意实施例所提供的节点文件处理方法，具备执行方法相应的功能模块和有益效果。

图5为本发明又一实施例提供的一种节点文件处理装置的结构示意图。如图5所示，该装置包括：

第一密钥接收模块510，用于向管理节点发送加密区文件新建请求，用于指示所述管理节点根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥，并向所述客户端发送所述已加密数据加密密钥；

加密数据新建模块520，用于根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

本发明实施例所提供的点文件处理装置可执行本发明任意实施例所提供的点文件处理方法，具备执行方法相应的功能模块和有益效果。

可选的，所述加密数据新建模块520包括：

获取请求发送单元，用于第二根据所述已加密数据加密密钥生成数据加密密钥获取请求；

第二密钥获取单元，用于向所述密钥管理服务器发送所述数据加密密钥获取请求，用于指示所述密钥管理服务器根据所述数据加密密钥获取请求中已加密数据加密密钥，向客户端下发数据加密密钥。

进一步说明的节点文件处理装置也可执行本发明任意实施例所提供的节点文件处理方法，具备执行方法相应的功能模块和有益效果。

图6示出了可以用来实施本发明的实施例的电子设备60的结构示意图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。

如图6所示，电子设备60包括至少一个处理器61，以及与至少一个处理器61通信连接的存储器，如只读存储器(ROM)62、随机访问存储器(RAM)63等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器61可以根据存储在只读存储器(ROM)62中的计算机程序或者从存储单元68加载到随机访问存储器(RAM)63中的计算机程序，来执行各种适当的动作和处理。在RAM 63中，还可存储电子设备60操作所需的各种程序和数据。处理器61、ROM 62以及RAM 63通过总线64彼此相连。输入/输出(I/O)接口65也连接至总线64。

电子设备60中的多个部件连接至I/O接口65，包括：输入单元66，例如键盘、鼠标等；输出单元67，例如各种类型的显示器、扬声器等；存储单元68，例如磁盘、光盘等；以及通信单元69，例如网卡、调制解调器、无线通信收发机等。通信单元69允许电子设备60通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器61可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器61的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器61执行上文所描述的各个方法和处理，例如节点文件处理方法。

在一些实施例中，节点文件处理方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元68。在一些实施例中，计算机程序的部分或者全部可以经由ROM 62和/或通信单元69而被载入和/或安装到电子设备60上。当计算机程序加载到RAM 63并由处理器61执行时，可以执行上文描述的节点文件处理方法的一个或多个步骤。备选地，在其他实施例中，处理器61可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行节点文件处理方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (10)

1.一种节点文件处理方法，其特征在于，应用于管理节点，所述方法包括：

从客户端中获取加密区文件新建请求，并根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥；

向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

2.根据权利要求1所述的方法，其特征在于，所述根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥包括：

根据所述加密区文件新建请求生成数据加密密钥创建请求；

向密钥管理服务器发送所述数据加密密钥创建请求，用于指示所述密钥管理服务器根据所述数据加密密钥请求创建请求分别创建加密区加密密钥和数据加密密钥，根据所述加密区加密密钥和数据加密密钥生成已加密数据加密密钥，并向管理节点发送所述已加密数据加密密钥。

3.根据权利要求1所述的方法，其特征在于，所述向所述客户端发送所述已加密数据加密密钥之后，还包括：

从所述客户端中获取加密区文件读取请求，并根据所述加密区文件读取请求向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并根据所述数据加密密钥对所述加密数据块进行解密读取。

4.根据权利要求1所述的方法，其特征在于，所述工作节点还包括非加密区，所述非加密区用于存储未加密数据。

5.一种节点文件处理方法，其特征在于，应用于客户端，所述方法包括：

向管理节点发送加密区文件新建请求，用于指示所述管理节点根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥，并向所述客户端发送所述已加密数据加密密钥；

根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

6.根据权利要求5所述的方法，其特征在于，所述根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥包括：

根据所述已加密数据加密密钥生成数据加密密钥获取请求；

向所述密钥管理服务器发送所述数据加密密钥获取请求，用于指示所述密钥管理服务器根据所述数据加密密钥获取请求中已加密数据加密密钥，向客户端下发数据加密密钥。

7.一种节点文件处理装置，其特征在于，部署于管理节点，所述方法包括：

第一密钥获取模块，用于从客户端中获取加密区文件新建请求，并根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥；

第一密钥下发模块，用于向所述客户端发送所述已加密数据加密密钥，用于指示所述客户端根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

8.一种节点文件处理装置，其特征在于，部署于客户端，所述装置包括：

第一密钥接收模块，用于向管理节点发送加密区文件新建请求，用于指示所述管理节点根据所述加密区文件新建请求从密钥管理服务器中获取已加密数据加密密钥，并向所述客户端发送所述已加密数据加密密钥；

加密数据新建模块，用于根据所述已加密数据加密密钥从所述密钥管理服务器中获取数据加密密钥，并将根据所述数据加密密钥加密的加密数据块写入工作节点的加密区。

9.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-6中任一项所述的节点文件处理方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-6中任一项所述的节点文件处理方法。

Images