CN105095785A - 分布式文件***的文件访问处理、访问方法及装置 - Google Patents

Abstract

本发明提供了一种分布式文件***的文件访问处理、访问方法及装置，其中，该访问处理方法包括：获取对分布式文件***内部文件中待加密的文件信息；对所述文件信息指示的文件和所述文件所属目录中至少之一所对应的访问过程进行加密，和/或对所述文件信息指示的文件本身进行加密，采用本发明提供的上述技术方案，解决了相关技术中，分布式文件***中并不存在鉴权机制，导致文件访问存在安全隐患等技术问题，从而增强了分布式文件***中文件访问的安全性。

Description

分布式文件***的文件访问处理、访问方法及装置

技术领域

本发明涉及计算机网络领域，尤其是涉及一种分布式文件***的文件访问处理、访问方法及装置。

背景技术

目前分布式文件***内部对文件的读写在集群内部没有鉴权机制，而分布式文件***未来将面向大量用户并发访问，这样一来，对于目录和文件的访问控制势在必行。以下以Hadoop分布式文件***(HadoopDistributedFileSystem，简称为HDFS)为例进行说明。

HDFS为分布式计算存储提供了底层支持。首先介绍HDFS的一些主要特点：

扩容能力(Scalable)：能可靠地(Reliably)存储和处理千兆字节(PB)数据。

成本低(Economical)：可以通过普通机器组成的服务器群来分发以及处理数据。这些服务器群总计可达数千个节点。

高效率(Efficient)：通过分发数据，借助分布式计算框架(例如映射归约MapReduce)，HDFS可以在数据所在的节点上并行地处理数据，这使得处理非常的快速。

可靠性(Reliable)：HDFS能自动地维护数据的多份复制，并且在任务失败后能自动地重新部署计算任务。

图1示出了HDFS的结构，如图1所示：

名称节点(NameNode):HDFS采用主/从(master/slave)架构。一个HDFS集群是由一个NameNode和一定数目的数据节点(DataNode)组成。NameNode是一个中心服务器，负责管理文件***的名称空间(namespace)以及客户端对文件的访问。NameNode执行文件***的名字空间操作，比如打开、关闭、重命名文件或目录。它也负责确定数据块到具体DataNode的映射。

数据节点(DataNode):集群中的DataNode负责管理它所在节点上的存储。HDFS暴露了文件***的名称空间，用户能够以文件的形式在上面存储数据。从内部看，一个文件被分成一个或多个数据块，这些块存储在一组DataNode上。DataNode负责处理文件***客户端的读写请求。在NameNode的统一调度下进行数据块的创建、删除和复制。

客户端：代表用户通过与NameNode和DataNode交互来访问整个文件***。

命令行接口：客户端中与Linux架构(shell)连接的一种接口。

发明内容

针对相关技术中，分布式文件***中并不存在鉴权机制，导致文件访问存在安全隐患等技术问题，本发明提供了一种分布式文件***的文件访问处理、访问方法及装置。

为了达到上述目的，根据本发明的一个方面，还提供了一种分布式文件***的文件访问处理方法，包括：获取对分布式文件***内部文件中待加密的文件信息；对所述文件信息指示的文件和所述文件所属目录中至少之一所对应的访问过程进行加密，和/或对所述文件信息指示的文件本身进行加密。

优选地，对所述文件信息指示的文件和所述文件所属目录中至少之一所对应的访问过程进行加密，包括以下至少之一：仅对用于访问已加密的所述文件或目录的接口开放访问权限；修改所述分布式***的命令行接口的指定类参数进行加密。

优选地，修改所述分布式***的命令行接口的指定类参数进行加密，包括：修改所述指定参数类，其中，修改后的所述指定参数类用于禁止显示已加密的文件或目录；修改所述指定参数类，其中，修改后的所述指定参数类用于限制指定用户对所述文件或目录的访问权限。

优选地，所述分布式文件***内部文件包括：客户端输入的文件，和所述分布式***内部已有文件；对所述文件信息指示的文件本身进行加密，包括以下至少之一：对客户端输入的文件，根据在命令行接口输入的密钥对客户端的本地文件进行运算，生成加密后的加密文件；向所述分布式***上传所述加密文件；对所述分布式***内部已有文件，在命令行接口生成映射归约MapReduce任务，其中，该MapReduce任务用于对数据节点中所述文件信息指示的文件或目录进行加密并替换原文件或目录；执行所述MapReduce任务。

优选地，执行所述MapReduce任务，包括：根据在所述命令行接口输入的参数读取所述分布式文件***中所述文件信息指示的原文件；根据在所述命令行接口输入的密钥对读取的文件进行加密并替换所述原文件。

为了达到上述目的，根据本发明的再一个方面，还提供了一种分布式文件***的文件访问方法，包括：接收来自客户端对指定文件或所述指定文件所属目录的访问请求，其中，所述指定文件为分布式***中对文件的访问过程和/或文件本身进行加密后的文件，所述目录为对所述目录的访问过程加密后的目录；对所述访问请求所对应的访问过程和/或所请求的文件进行解密。

优选地，对所述访问请求所请求的文件进行解密，包括：在命令行接口生成映射归约MapReduce任务，其中，该MapReduce任务用于读取分布式***中所述访问请求所请求的文件，并对所述访问请求所请求的文件进行解密。

为了达到上述目的，根据本发明的再一个方面，还提供了一种分布式文件***的文件访问处理装置，包括：获取模块，用于获取对分布式文件***内部文件中待加密的文件信息；加密模块，用于对所述文件信息指示的文件和所述文件所属目录中至少之一所对应的访问过程进行加密，和/或对所述文件信息指示的文件本身进行加密。

优选地，所述加密模块，用于通过以下至少之一方式对所述访问过程进行加密：仅对用于访问已加密的所述文件或目录的接口开放访问权限；修改所述分布式***的命令行接口的指定类参数进行加密。

为了达到上述目的，根据本发明的再一个方面，还提供了一种分布式文件***的文件访问装置，包括：接收模块，用于接收来自客户端对指定文件或所述指定文件所属目录的访问请求，其中，所述指定文件为分布式***中对文件的访问过程和/或文件本身进行加密后的文件，所述目录为对所述目录的访问过程加密后的目录；解密模块，用于对所述访问请求所对应的访问过程和/或所请求的文件进行解密。

通过本发明，采用对分布式文件***的文件或目录的访问过程以及文件本身进行加密的技术手段，解决了相关技术中，分布式文件***中并不存在鉴权机制，导致文件访问存在安全隐患等技术问题，从而增强了分布式文件***中文件访问的安全性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为根据相关技术的HDFS的结构示意图；

图2为根据本发明实施例的分布式文件***的文件访问处理方法的流程图；

图3为根据本发明实施例的分布式文件***的文件访问处理装置的结构框图；

图4为根据本发明实施例的分布式文件***的文件访问方法的流程图；

图5为根据本发明实施例的分布式文件***的文件访问装置的结构框图；

图6为根据本发明优选实施例的采用屏蔽接口方式对访问过程加密的原理示意图；

图7为根据本发明优选实施例的采用修改命令行接口的指定参数对访问过程进行加密的原理示意图；

图8为根据本发明优选实施例的对文件加密的原理示意图；

图9为根据本发明优选实施例的对写入文件进行加密的原理示意图；

图10为根据本发明优选实施例的对HDFS文件进行加密的原理示意图；

图11为根据本发明优选实施例的对已加密HDFS文件进行解密的原理示意图；

图12为根据本发明优选实施例的文件或目录访问加密过程的原理示意图；

图13为根据本发明优选实施例的文件或目录访问解密过程的原理示意图；

图14为根据本发明优选实施例的加密后的文件或目录访问操作过程的原理示意图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

相关技术中的分布式文件***对文件访问不存在鉴权机制，存在一定的安全隐患等问题，以下实施例提供了对分布式文件***内部文件的访问过程及文件本身进行加密解密的技术手段，以下详细说明。

图2为根据本发明实施例的分布式文件***的文件访问处理方法的流程图。如图2所示，该方法包括步骤S202-S204：

步骤S202，获取对分布式文件***内部文件中待加密的文件信息；

步骤S204，对上述文件信息指示的文件或和该文件所属目录中至少之一所对应的访问过程进行加密，和/或对上述文件信息指示的文件本身进行加密。此处“至少之一所对应的访问过程”的含义为：文件或文件所属目录所对应的访问过程、文件和文件所属目录同时所对应的访问过程)。

采用上述处理步骤，由于对分布式文件***的内部文件及访问过程进行了加密处理，因此，可以提高分布式文件***中文件访问的安全性。

在本实施例中，待加密的文件信息可以包括分布式文件***中部分或全部文件的文件信息。“访问过程”可以表现为对文件的访问动作(例如发送访问请求等，不限于此)、进行访问所涉及的节点权限(例如命令行接口权限等，但不限于此)。“文件本身”包括但不限于文件内容。

步骤S204中，对上述文件信息指示的文件或文件所属目录至少之一所对应的访问过程进行加密可以通过以下至少之一方式实现：

(1)仅对用于访问已加密的上述文件或目录的接口开放访问权限；

(2)修改上述分布式***的命令行接口的指定类参数进行加密。修改上述指定参数类，其中，修改后的上述指定参数类用于禁止显示已加密的文件或目录；修改上述指定参数类，其中，修改后的上述指定参数类用于限制指定用户对上述文件或目录的访问权限。此处“限制”的含义包括：禁止对上述文件或目录的全部或部分访问权限，例如，可以禁止对上述文件或目录的全部访问动作，或者仅禁止对文件的修改、删除等。

在本实施例中，分布式文件***内部文件包括但不限于：客户端输入的文件，和分布式***内部已有文件；相应地，步骤S204中对上述文件信息指示的文件本身进行加密，包括以下至少之一实现方式：

(1)对客户端输入的文件，根据在命令行接口输入的密钥对客户端的本地文件进行运算，生成加密后的加密文件；向分布式文件***上传上述加密文件；

(2)对上述分布式***内部已有文件，在命令行接口生成MapReduce任务，其中，该MapReduce任务用于对数据节点中上述文件信息指示的文件或目录进行加密并替换原文件或目录；执行上述MapReduce任务。其中，执行上述MapReduce任务，可以表现为但不限于以下形式：

根据在上述命令行接口输入的参数读取上述分布式文件***中上述文件信息指示的原文件；根据在上述命令行接口输入的密钥对读取的文件进行加密并替换上述原文件。

在本实施例中，还提供了一种分布式文件***的文件访问处理装置，如图3所示，该装置包括：

获取模块30，用于获取对分布式文件***内部文件中待加密的文件信息；

加密模块32，连接至获取模块30，用于对上述文件信息指示的文件或和文件所属目录中至少之一所对应的访问过程进行加密，和/或对上述文件信息指示的文件本身进行加密。

在本实施例的一个优选实施例中，加密模块32，还用于通过以下至少之一方式对上述访问过程进行加密：仅对用于访问已加密的所述文件或目录的接口开放访问权限；修改所述分布式***的命令行接口的指定类参数进行加密。

需要说明的是，上述各个模块是可以通过硬件来实现的，例如：获取模块30位于第一处理器中，加密模块32位于第二处理器中；获取模块30和加密模块32位于同一处理器中。

与图2所示的分布式文件***的文件访问处理方法相对应，在本实施例中，还提供了一种分布式文件***的文件访问方法，如图4所示，该方法包括：

步骤S402，接收来自客户端对指定文件或指定文件所属目录的访问请求，其中，上述指定文件为分布式***中对文件的访问过程和/或文件本身进行加密后的文件，所述目录为对所述目录的访问过程加密后的目录；

步骤S404，对上述访问请求所对应的访问过程和/或所请求的文件进行解密。

其中，对上述访问请求所请求的文件进行解密包括但不限于以下形式：在命令行接口生成MapReduce任务，其中，该MapReduce任务用于读取分布式***中上述访问请求所请求的文件，并对上述访问请求所请求的文件进行解密。

在本实施例中，还提供一种分布式文件***的文件访问装置，用于实现上述访问方法，如图5所示，该方法包括：

接收模块50，用于接收来自客户端对指定文件或该指定文件所属目录的访问请求，其中，上述指定文件为分布式***中对文件的访问过程和/或文件本身进行加密后的文件，所述目录为对所述目录的访问过程加密后的目录；

解密模块52，连接至接收模块50，用于对上述访问请求所对应的访问过程和/或所请求的文件进行解密。

需要说明的是，上述各个模块是可以通过硬件来实现的，例如：接收模块50位于第一处理器中，解密模块52位于第二处理器中；接收模块50和解密模块52位于同一处理器中。

为了更好地理解上述实施例，以下结合优选实施例详细说明。以下优选实施例以HDFS为例进行说明。以下优选实施例的主要设计思想在于，在HDFS的基础上提供目录或文件的访问控制，及文件内容(即文件本身)加密。

实施例1

加密控制的两个方法：

对目录或文件访问(即访问过程)进行加密，访问时需要提供密码，可以设置为必须由键盘输入密码。

对文件内容进行加密，需要专用的密钥(KEY)才能够使用工具解密。KEY由用户在文件加密进行前设置。

对于访问加密，有两种实现方式：

1：屏蔽其它接口

如图6所示，只对已实现加密方法并部署成功的接口开放访问权限，其他接口删除或屏蔽。图6中的命令行接口是最常用的范例。

2：命令行接口变化

如图7所示，修改fs命令，修改“hadoopfs–ls”的方法使其不能对进行过访问加密的文件进行显示。通过加密方法对文件名称或文件目录进行加密。这样访问时通过文件名称加密码才能够进行访问。修改admin类，使一般用户访问没有权限操作。此时加密方法可以采用信息-摘要算法5(Message-DigestAlgorithm5，简称为MD5)，但不限于此。

在该实现方式中，对于1s参数，ls参数能够列出当前目录下所有文件及子目录。如果不进行处理，那么加密后的目录及文件可以通过“hadoopfs–ls父目录”命令全部显示出来，这样加密就全部失败了。MD5加密后的长度固定为32位，设计一个规则：原始目录或文件名称只支持31位及以下(这里指单节名称，不是全路径名称)。而ls参数只列出31位及以下的目录及文件名称，32位的隐藏。这样来实现ls参数的修改。

在该实现方式中，对于admin类的理解如下：对于HDFS访问时根据访问用户的环境变量，JAVA包的设置不同，可以控制用户访问HDFS命令的权限。这里设置一个类似于超级(super)用户，使其拥有原本HDFS文件管理***的所有操作功能。其他用户只能够访问修改后的HDFS访问类。其他管理功能相关的类全部不添加进去。这样将原来的用户分为super用户和加密***访问用户来控制访问权限的严密性。

在该实现方式中，MD5是一个安全的散列算法，输入两个不同的明文不会得到相同的输出值，根据输出值，不能得到原始的明文，即其过程不可逆；所以要解密MD5没有现成的算法，只能用穷举法，把可能出现的明文，用MD5算法散列之后，把得到的散列值和原始的数据形成一个一对一的映射表，通过比在表中比破解密码的MD5算法散列值，通过匹配从映射表中找出破解密码所对应的原始明文。

MD5的作用是让大容量信息在用数字签名软件签署私人密钥前被“压缩”成一种保密的格式。由于MD5算法的使用不需要支付任何版权费用的，所以在一般的情况下，MD5也不失为一种非常优秀的加密算法，被大量公司和个人广泛使用。

对于文件加密，主要采用以下实现方式：

如图8所示，对于文件加密，对于外部输入文件，修改put等输入类，在提供KEY参数的情况下进行加密转换文档后在上传HDFS。对HDFS内部文件提供MapReduce程序通过KEY进行加密转换。同理，解密是在提供KEY的情况下的一个逆向工程。对于上述加密过程可以表现为命令行生成任务：修改命令行接口通过输入命令判断是正常写入读取，还是加密写入读取。正常读写的通过基本fs类进行操作。加密读写的情况下命令行接口负责生成MapReduce任务，对DataNode中的该文件数据进行加密替换。涉及到NameNode访问与正常读写相同，不进行变化。

其中，对于写加密，如图9所示，对于本地加密写入HDFS，MapReduce程序接受命令行接口传入的参数和加密KEY，读取本地文件(客户端本地文件)，进行运算后生成加密文件，写入HDFS。文件在NameNode中的存储和正常写入文件相同。

如图10所示，HDFS文件加密替换原有HDFS文件：MapReduce程序接受命令行接口传入的参数和加密KEY，读取HDFS文件，进行运算后生成加密文件，替换HDFS内文件。文件在NameNode中的存储的文件名称不变。对于NameNode来说实际是一个文件读取，文件删除，文件写入的过程。

对于读解密文件，如图11所示：命令行传命令加参数，生成MapReduce任务。该任务读取相关HDFS加密文件，然后进行解密工作，完成后提交结果给命令行接口。

在本实施例中，文件加密过程是通过提供的KEY算出一个MD5加密结果KEY，根据结果KEY只要进行简单二进制转换加密(如要对0000进行加密，根据MD5结果KEY，如果该KEY的二进制表述在对应的位数上位0则不改变原数据，如果是1则0写为1，1写为0)。

本实施例的一个实现流程如下：

步骤1，正常部署HDFS，MapReduce；

步骤2，将上述实施例中修改的FS类包替换原有的HDFS中的FS类包；

步骤3，将上述实施例中的MapReduce任务包加入MapReduce任务。

实施例2

如图12所示，文件或目录访问加密过程如下：

涉及3个部件，6个步骤。

部件1：linux下需要输入的操作命令构成

命令头+参数，如：hadoopfs–e这里设计一个参数-e，表示进行加密信号参数；

文件或目录全路径，如：/aaa/bbb/ccc这里ccc是文件或目录；

密码：一串字符串，如：abcd；

部件2：修改过的HDFS访问类(hadoopfs)；

部件3：HDFS文件或目录的存储；

存储于HDFSNamenode当中；

步骤1：将这个命令组合在可以使用HDFS的linux用户下完整输入(该用户详细情况的解释在文档后有备注提示)；

命令头+参数+全路径A+密码；

其中全路径A模型：/aaa/bbb/ccc；

输入样例：hadoopfs–e/aaa/bbb/cccabcd；

步骤2：修改过的HDFS访问类运行时第一步先检查输入的全路径A在部件3中是否存在；

步骤3：对全路径A的最后一节进行MD5加密。关于最后一节的解释：路径都是由符号“/”隔开，最后一节为“/”隔开的行尾前的非空字符串。根据步骤1的模型，这里是ccc，加密后的全路径B为：/aaa/bbb/ddd其中ddd为ccc的MD5加密串；

步骤4：将部件3中的/aaa/bbb/ccc重命名为/aaa/bbb/ddd；

步骤5，6：文件名替换成功或错误后返回操作结果。

如图13所示，文件或目录访问解密过程如下：

同样涉及3个部件，6个步骤。部件和步骤基本类似。

部件1：linux下需要输入的操作命令构成

命令头+参数如：hadoopfs–d这里设计一个参数-d，表示进行解密信号参数；

文件或目录全路径，如：/aaa/bbb/ccc这里ccc是文件或目录；

密码：一串字符串，如：abcd；

部件2：修改过的HDFS访问类(hadoopfs)；

部件3：HDFS文件及目录的存储；

存储与HDFSNamenode当中；

步骤1：将以下命令组合在可以使用HDFS的linux下完整输入：

命令头+参数+全路径A+密码；

其中全路径A模型：/aaa/bbb/ccc；

输入样例：hadoopfs–d/aaa/bbb/cccabcd；

步骤2：对全路径A的最后一节进行MD5加密。根据步骤1的模型，这里是ccc，加密后的全路径B为：/aaa/bbb/ddd其中ddd为ccc的MD5加密串。(这里还是一个加密的过程，本质上是根据用户提供的明文路径和密码，翻译为MD5密文路径。无论整个过程如何变化用户只需要且必须记住原始路径和密码)

步骤3：修改过的HDFS访问类运行第一步先检查输入的全路径B在部件3中是否存在。

步骤4：将部件3中的/aaa/bbb/ddd重命名为/aaa/bbb/ccc。

步骤5，6：文件名替换成功或错误后返回操作结果。

如图14所示，加密后的文件或目录访问操作过程如下：涉及3个部件，5个步骤。

部件1：linux下需要输入的操作命令构成；

命令头+参数，如：hadoopfs–lsd由原参数ls演变而来，表示对加密后的目录进行ls操作。(这里的参数类型很多，对所有涉及文件及目录名称操作的参数都需要修改；该lsd命令同ls命令一样不能显示加密的文件或路径信息)；

文件或目录全路径，如：/aaa/bbb/ccc这里ccc可以是文件或是目录；

密码：一串字符串，如：abcd；

部件2：修改过的HDFS访问类(hadoopfs)；

部件3：HDFS文件及目录的存储；

存储与HDFSNamenode当中；

步骤1：将以下命令组合在可以使用HDFS的linux下完整输入：

命令头+参数+全路径A+密码

全路径A模型：/aaa/bbb/ccc

步骤2：对全路径A的最后一节进行MD5加密。根据步骤1的模型，这里是ccc，加密后的全路径B为：/aaa/bbb/dddddd为ccc的MD5加密串。

步骤3：使用有HDFS原有一些功能(如ls、mkdir等)基础上修改过后的带加密功能的命令，加上加密前的路径A和密码，这个命令在步骤2中拼装为HDFS原***相关命令加上加密后的路径在这里进行操作。(这里的本质还是找到加密后的路径名称，然后使用HDFS原有的功能)。

hadoopfs–lsd/aaa/bbb/cccabcd；

操作时内部执行命令为：hadoopfs–ls/aaa/bbb/dddddd为ccc的MD5加密串；

步骤4，5：文件名替换成功或错误后返回操作结果。

在另外一个实施例中，还提供了一种软件，该软件用于执行上述实施例及优选实施方式中描述的技术方案。

在另外一个实施例中，还提供了一种存储介质，该存储介质中存储有上述软件，该存储介质包括但不限于：光盘、软盘、硬盘、可擦写存储器等。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种分布式文件***的文件访问处理方法，其特征在于，包括：

获取对分布式文件***内部文件中待加密的文件信息；

对所述文件信息指示的文件和所述文件所属目录中至少之一所对应的访问过程进行加密，和/或对所述文件信息指示的文件本身进行加密。

2.根据权利要求1所述的方法，其特征在于，对所述文件信息指示的文件和所述文件所属目录中至少之一所对应的访问过程进行加密，包括以下至少之一：

仅对用于访问已加密的所述文件或目录的接口开放访问权限；

修改所述分布式***的命令行接口的指定类参数进行加密。

3.根据权利要求2所述的方法，其特征在于，修改所述分布式***的命令行接口的指定类参数进行加密，包括：

修改所述指定参数类，其中，修改后的所述指定参数类用于禁止显示已加密的文件或目录；

修改所述指定参数类，其中，修改后的所述指定参数类用于限制指定用户对所述文件或目录的访问权限。

4.根据权利要求1所述的方法，其特征在于，所述分布式文件***内部文件包括：客户端输入的文件，和所述分布式***内部已有文件；对所述文件信息指示的文件本身进行加密，包括以下至少之一：

对客户端输入的文件，根据在命令行接口输入的密钥对客户端的本地文件进行运算，生成加密后的加密文件；向所述分布式***上传所述加密文件；

对所述分布式***内部已有文件，在命令行接口生成映射归约MapReduce任务，其中，该MapReduce任务用于对数据节点中所述文件信息指示的文件或目录进行加密并替换原文件或目录；执行所述MapReduce任务。

5.根据权利要求4所述的方法，其特征在于，执行所述MapReduce任务，包括：

根据在所述命令行接口输入的参数读取所述分布式文件***中所述文件信息指示的原文件；根据在所述命令行接口输入的密钥对读取的文件进行加密并替换所述原文件。

6.一种分布式文件***的文件访问方法，其特征在于，包括：

接收来自客户端对指定文件或所述指定文件所属目录的访问请求，其中，所述指定文件为分布式***中对文件的访问过程和/或文件本身进行加密后的文件，所述目录为对所述目录的访问过程加密后的目录；

对所述访问请求所对应的访问过程和/或所请求的文件进行解密。

7.根据权利要求6所述的方法，其特征在于，对所述访问请求所请求的文件进行解密，包括：

在命令行接口生成映射归约MapReduce任务，其中，该MapReduce任务用于读取分布式***中所述访问请求所请求的文件，并对所述访问请求所请求的文件进行解密。

8.一种分布式文件***的文件访问处理装置，其特征在于，包括：

获取模块，用于获取对分布式文件***内部文件中待加密的文件信息；

加密模块，用于对所述文件信息指示的文件和所述文件所属目录中至少之一所对应的访问过程进行加密，和/或对所述文件信息指示的文件本身进行加密。

9.根据权利要求8所述的装置，其特征在于，所述加密模块，用于通过以下至少之一方式对所述访问过程进行加密：

仅对用于访问已加密的所述文件或目录的接口开放访问权限；

修改所述分布式***的命令行接口的指定类参数进行加密。

10.一种分布式文件***的文件访问装置，其特征在于，包括：

接收模块，用于接收来自客户端对指定文件或所述指定文件所属目录的访问请求，其中，所述指定文件为分布式***中对文件的访问过程和/或文件本身进行加密后的文件，所述目录为对所述目录的访问过程加密后的目录；

解密模块，用于对所述访问请求所对应的访问过程和/或所请求的文件进行解密。