HydraDB生产部署安全清单：认证、授权、TLS与写者围栏最佳实践

HydraDB生产部署安全清单：认证、授权、TLS与写者围栏最佳实践

【免费下载链接】hydradbHydraDB - fast graph database on object storage项目地址: https://gitcode.com/gh_mirrors/hyd/hydradb

HydraDB 是基于 SlateDB 与 S3 兼容对象存储构建的 Rust 分布式图数据库。将它推向生产环境前，你只需要盯住四件事：认证、授权、TLS 加密、写者围栏。这篇文章基于官方 Helm Chart 与运行时实现，给出一份可直接执行的生产部署安全清单，帮助你在上线第一天就把图数据库防护到位。

🧭 快速了解：HydraDB 的四层安全防线

四层各自独立生效：认证挡住未授权客户端，授权限制数据范围，TLS 保护传输，围栏保证存储层单写者。缺任何一层，生产环境都会留下风险敞口。

🔐 认证最佳实践：Bearer Token 怎么配才安全

HydraDB 的 Bolt 与 HTTP 两个入口统一使用 Bearer Token 认证，服务端用恒定时间比较校验令牌（实现见 src/query/coordination.rs），避免时序侧信道。

生产环境的三条建议：

1. 令牌进 Secret，不进 values。Helm Chart 支持三种来源：自动生成（auth.create: true）、引用已有 Secret（auth.existingSecret）、通过 External Secrets Operator 从外部密钥系统拉取（auth.externalSecret）。官方明确要求：生产部署使用已有或外部 Secret，而不是把明文 token 写进 Helm values（模板见 charts/hydradb/templates/auth-secret.yaml）。
2. 令牌定期轮换。External Secrets 模式下refreshInterval默认 1 小时，可对接 AWS Secrets Manager 等系统自动刷新（参考 charts/hydradb/examples/values-eks.yaml）。
3. 牢记一条硬规则：Bearer 认证必须走 TLS，除非显式允许明文——服务端配置校验会直接拒绝"有令牌但无 TLS"的组合。

🔒 TLS 默认强制：生产环境不要开明文

HydraDB 的默认策略是：没有 TLS 就不启动。节点启动时若未提供GRAPH_TLS_CERTIFICATE和GRAPH_TLS_PRIVATE_KEY，且未设置GRAPH_ALLOW_PLAINTEXT=true，会直接报配置错误退出（见 src/bin/graph_node/config.rs）。

这意味着：

• GRAPH_ALLOW_PLAINTEXT=true仅限本地开发，生产 values 文件中绝不应出现它。
• Helm Chart 中tls.public.enabled默认为true。接入 cert-manager 后可自动签发与续期证书；配合tls.public.trustBundle，能把公共 CA 证书只发布到指定客户端命名空间，私钥始终留在 HydraDB 命名空间内。
• 客户端连接串有讲究：公网受信证书用neo4j+s://，自签名开发证书用neo4j+ssc://；直连bolt://节点地址只用于诊断。

🚪 授权与网络策略：默认拒绝 + Scope 级细粒度

Scope 级授权。HydraDB 的每个请求都会执行固定流水线：认证 → 把数据库名解析为命名空间/图/Cell 目标 → 授权该精确 Scope → 分类语句（读/写）→ 施加并发、时长、结果集配额（设计见 architecture.md 的 Client Boundary 章节）。一个 release 内可动态承载多个租户/子租户 Scope，客户端用带版本的 Bolt 数据库名选择自己的数据范围——不要为每个租户单独部署一个 release。

网络策略默认全关。Chart 的 NetworkPolicy 默认拒绝一切客户端入站流量，需通过networkPolicy.clientIngressFrom显式放行能访问 Bolt/HTTPS 的命名空间或 CIDR；出站 HTTPS 同样默认拒绝，必须用httpsEgressTo指向私有的 S3/STS 接口端点地址（模板见 charts/hydradb/templates/networkpolicy.yaml）。Chart 会主动拒绝空选择器和"0.0.0.0/0"这类通用 CIDR，防止你手一滑把 443 端口开向整个互联网。

另外，负载均衡器建议使用 internal scheme，除非明确需要公网访问——charts/hydradb/examples/values-eks.yaml 给出的正是内网 NLB 的示例。

🛡️ 写者围栏：三重机制确保"每 Cell 单写者"

图形数据库最怕双写。HydraDB 的写者准入分三层，层层兜底（完整设计见 architecture.md 的 Writer Ownership 章节）：

对运维的实际意义：

• 请求落到非写者节点时，HydraDB 返回NotCellWriter这类路由错误，Neo4j 路由驱动会自动刷新路由表并重试，客户端通常无感。
• 旧写者被 SlateDB 围栏关闭（Fenced），会进入围栏遥测，便于你在监控中识别"发生过写权交接"。
• runtime.writerLeaseMs接受 3000–300000 毫秒；升级时配合 PodDisruptionBudget（Chart 默认启用），保证同一时刻只有一个数据节点被驱逐，多数派视图不中断。

✅ 上线前检查清单

部署前逐条过一遍，5 分钟完成自查：

• Token 存于 Secret / 外部密钥系统，values 中无明文
• tls.public.enabled: true，cert-manager 或已有证书 Secret 就绪
• NetworkPolicy 保持启用，入站/出站均为显式白名单
• 负载均衡器为 internal scheme
• 镜像固定 digest，不使用latest标签
• PodDisruptionBudget 启用，升级时多数派在线
• 运行时限额已确认：runtime.maxConcurrentQueries、maxQueryRuntimeMs、maxBoltConnections（默认值见 charts/hydradb/values.yaml）
• helm test hydradb通过，且完成一次"写入-回读"往返验证

📚 延伸阅读

• Helm Chart 完整指南（TLS、认证、升级与验证）：charts/hydradb/README.md
• 端到端架构：快照一致性、写者所有权、围栏语义：architecture.md
• 生产 values 参考（EKS + 内网 LB + ESO 认证）：charts/hydradb/examples/values-eks.yaml
• 写者租约实现：src/engine/writer_lease.rs

按这份清单走完，你的 HydraDB 集群就同时拥有了身份认证、范围授权、传输加密和单写者保证——生产部署的安全底线已经立住了。

【免费下载链接】hydradbHydraDB - fast graph database on object storage项目地址: https://gitcode.com/gh_mirrors/hyd/hydradb