如何在CDH启用Kerberos的情况下安装及使用Sentry(二)

深藏阁楼爱情的钟 2022-02-05 07:15 274阅读 0赞

1.在集群所有节点添加fayson\_r用户

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry]

2.创建Kerberos用户fayson\_r

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 1]

3.使用hive用户登录Kerberos

使用beeline连接HiveServer2，创建columnread角色并授权test表s1列的读权限，将columnread角色授权给fayson\_r用户组

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 2]

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 3]

4.fayson\_r用户测试

使用fayson\_r登录Kerberos，通过beeline连接HiveServer2

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 4]

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 5]

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 6]

5.浏览HDFS目录

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 7]

6.使用admin用户登录Hue，创建fayson\_r用户

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 8]

使用fayson\_r用户登录

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 9]

不能对test表所有列进行查询

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 10]

可以对test表的s1列进行查询

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 11]

不能通过File Brwoser浏览test表的数据目录/user/hive/warehouse/test

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 12]

测试总结：

fayson\_r用户所属用户组为fayson\_r，该组只拥有对test表s1列的读权限，因此在select和count的时候只能对s1列进行select和count，fayson\_r用户无权限浏览/user/hive/warehouse下的所有目录；使用hue只能对test表s1列进行select和count操作，无权限浏览/user/hive/warehouse目录及目录下所有子目录。

注意：Sentry只支持SELECT的列授权，不能用于INSERT和ALL的列授权。

**6.备注**

--------------------

在集群启用Sentry服务后，由于Sentry不支持Hive CLI权限管理，所以建议禁用Hive CLI。

1.  如何限制用户使用Hive CLI操作

进入Hive服务，修改hadoop.proxyuser.hive.group配置，此配置会覆盖HDFS服务中hive代理用户组配置，默认值为空则继承HDFS服务中的hive代理用户配置

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 13]

以上配置表示hue、hive、impala用户组可以使用Hive CLI，配置完成重启Hive及其相关服务。

注：如果配置为空则表示禁止所有用户组，需要注意配置为空会导致Hue不可用，hive用户不能通过beeline和Hive CLI访问Hive。

2.测试配置是否生效

l 使用hive用户登录Kerberos，然后使用Hive CLI操作

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 14]

登录Hive CLI，进行SQL操作

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 15]

*  使用hue用户登录Kerberos进行测试

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 16]

通过Hive CLI操作

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 17]

*  使用impala用户登录Kerberos测试

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 18]

使用Hive CLI操作

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 19]

*  使用fayson用户测试，此用户被禁止使用HiveCLI

使用fayson用户登录Kerberos测试

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 20]

使用Hive CLI操作

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 21]

测试总结：

通过Hive配置（hadoop.proxyuser.hive.groups）可以限制用户组使用HiveCLI访问Hive，未配置在内的用户组是不可以通过Hive CLI访问（如fayson用户）。在测试中发现impala和hive用户可以通过Hive CLI访问hive表并未受权限控制，而hue用户只能show databases和show tables不能select表。报HDFS访问权限异常，由于hive表的属主均为hive，hive和impala用户都属于hive组，hue用户不属于hive组导致。

![0032-如何在CDH启用Kerberos的情况下安装及使用Sentry(二)][0032-_CDH_Kerberos_Sentry 22]

注意：hadoop.proxyuser.hive.groups是针对用户组限制，如配置了hive用户组可以通过Hive CLI访问Hive，则属于hive组的所有用户均可以通过Hive CLI访问Hive表且不受Sentry权限控制。

[0032-_CDH_Kerberos_Sentry]: https://ask.qcloudimg.com/http-save/yehe-1522219/sh7ns4h907.jpeg
[0032-_CDH_Kerberos_Sentry 1]: https://ask.qcloudimg.com/http-save/yehe-1522219/mg6aghtloo.jpeg
[0032-_CDH_Kerberos_Sentry 2]: https://ask.qcloudimg.com/http-save/yehe-1522219/vfnvsns95b.jpeg
[0032-_CDH_Kerberos_Sentry 3]: https://ask.qcloudimg.com/http-save/yehe-1522219/y19g07p6pc.jpeg
[0032-_CDH_Kerberos_Sentry 4]: https://ask.qcloudimg.com/http-save/yehe-1522219/srl4hgvl50.jpeg
[0032-_CDH_Kerberos_Sentry 5]: https://ask.qcloudimg.com/http-save/yehe-1522219/j091n71ajk.jpeg
[0032-_CDH_Kerberos_Sentry 6]: https://ask.qcloudimg.com/http-save/yehe-1522219/4no7e1ehlx.jpeg
[0032-_CDH_Kerberos_Sentry 7]: https://ask.qcloudimg.com/http-save/yehe-1522219/1u46jx4s9k.jpeg
[0032-_CDH_Kerberos_Sentry 8]: https://ask.qcloudimg.com/http-save/yehe-1522219/kc9mvfhdf6.jpeg
[0032-_CDH_Kerberos_Sentry 9]: https://ask.qcloudimg.com/http-save/yehe-1522219/58wtfcql5k.jpeg
[0032-_CDH_Kerberos_Sentry 10]: https://ask.qcloudimg.com/http-save/yehe-1522219/bwgx4tof39.jpeg
[0032-_CDH_Kerberos_Sentry 11]: https://ask.qcloudimg.com/http-save/yehe-1522219/jjngz6kimz.jpeg
[0032-_CDH_Kerberos_Sentry 12]: https://ask.qcloudimg.com/http-save/yehe-1522219/gjfgdfd3pq.jpeg
[0032-_CDH_Kerberos_Sentry 13]: https://ask.qcloudimg.com/http-save/yehe-1522219/69aa64c0c4.jpeg
[0032-_CDH_Kerberos_Sentry 14]: https://ask.qcloudimg.com/http-save/yehe-1522219/3w41trj4dk.jpeg
[0032-_CDH_Kerberos_Sentry 15]: https://ask.qcloudimg.com/http-save/yehe-1522219/tk1507vo1p.jpeg
[0032-_CDH_Kerberos_Sentry 16]: https://ask.qcloudimg.com/http-save/yehe-1522219/sqm95u5igp.jpeg
[0032-_CDH_Kerberos_Sentry 17]: https://ask.qcloudimg.com/http-save/yehe-1522219/wnfic8iz00.jpeg
[0032-_CDH_Kerberos_Sentry 18]: https://ask.qcloudimg.com/http-save/yehe-1522219/kiku9pqgzg.jpeg
[0032-_CDH_Kerberos_Sentry 19]: https://ask.qcloudimg.com/http-save/yehe-1522219/9anv5bwaq7.jpeg
[0032-_CDH_Kerberos_Sentry 20]: https://ask.qcloudimg.com/http-save/yehe-1522219/pr4u70o2qh.jpeg
[0032-_CDH_Kerberos_Sentry 21]: https://ask.qcloudimg.com/http-save/yehe-1522219/ccbxhyvzss.jpeg
[0032-_CDH_Kerberos_Sentry 22]: https://ask.qcloudimg.com/http-save/yehe-1522219/fxgbri802u.jpeg