hdfs中acl权限管理的简单实用

分手后的思念是犯贱 2024-03-17 10:53 2阅读 0赞

## 1、背景 ##

在我们开发的过程中有这么一种场景， `/projectA` 目录是 `hadoopdeploy`用户创建的，他对这个目录有`wrx`权限，同时这个目录属于`supergroup`，在这个组中的用户也具有这个目录的`wrx`权限，对于其他人,不可访问这个目录。现在有这么一个特殊的用户`root`，`我想root用户可以访问这个目录，在不修改root用户组和其他人的权限的情况下，还有什么方式可以实现这个功能呢？`  
![背景][af9e75b168314b578ed174e5465b2061.png]  
由上图可以，`root`用户想访问`/projectA`目录，在`hdfs`中可以通过`acl`来实现。

## 2、环境准备 ##

# 创建目录
    [hadoopdeploy@hadoop01 ~]$ hdfs dfs -mkdir /projectA
    # 列出根目录下的文件夹
    [hadoopdeploy@hadoop01 ~]$ hdfs dfs -ls /
    Found 1 items
    drwxr-xr-x   - hadoopdeploy supergroup          0 2023-05-24 20:35 /projectA
    # 将 /projectA 目录的权限修改成 770, 即其他人没有这个目录的访问权限
    [hadoopdeploy@hadoop01 ~]$ hdfs dfs -chmod 770 /projectA
    # 再次查看发现修改成功
    [hadoopdeploy@hadoop01 ~]$ hdfs dfs -ls /
    Found 1 items
    drwxrwx---   - hadoopdeploy supergroup          0 2023-05-24 20:35 /projectA
    [hadoopdeploy@hadoop01 ~]$

![环境准备][e3ea9df1f8ed4885b03659956eee2410.png]  
从上述代码中可知，我们创建了一个`/projecetA`的目录，且给这个目录的权限为`770`，那么`其他人` 对这个目录应该是没有访问权限的。 通过上述图片可知，我们用`root`用户上传文件，发现没有权限。

## 3、开启acl权限 ##

### 3.1 修改hdfs-site.xml ###

<property>
        <name>dfs.namenode.acls.enabled</name>
        <value>true</value>
    </property>

![开启acl][acl]  
`注意：` 在低版本的hadoop上默认是禁用的，高版本默认是开启的。

### 3.2 重启hdfs集群 ###

[hadoopdeploy@hadoop01 ~]$ stop-dfs.sh
    Stopping namenodes on [hadoop01]
    Stopping datanodes
    Stopping secondary namenodes [hadoop03]
    [hadoopdeploy@hadoop01 ~]$ start-dfs.sh
    Starting namenodes on [hadoop01]
    Starting datanodes
    Starting secondary namenodes [hadoop03]
    [hadoopdeploy@hadoop03 ~]$

### 3.3 使用acl给root用户授权 ###

[hadoopdeploy@hadoop01 ~]$ hdfs dfs -setfacl -m user:root:rwx /projectA
    [hadoopdeploy@hadoop01 ~]$ hdfs dfs -getfacl /projectA
    # file: /projectA
    # owner: hadoopdeploy
    # group: supergroup
    user::rwx
    user:root:rwx
    group::rwx
    mask::rwx
    other::---
    
    [hadoopdeploy@hadoop01 ~]$

![使用acl给root用户授权][acl_root]

### 3.4 使用 root 用户测试文件上传 ###

[root@hadoop01 ~]# hdfs dfs -put anaconda-ks.cfg /projectA
    [root@hadoop01 ~]# hdfs dfs -ls /projectA
    Found 1 items
    -rw-r--r--   2 root supergroup       1151 2023-05-24 21:10 /projectA/anaconda-ks.cfg
    [root@hadoop01 ~]#

可以看到文件上传成功了。

## 4、acl的一些简单命令 ##

![acl语法][acl 1]  
`hdfs dfs -setfacl -m user:root:rwx /projectA` 对`root`用户设置  
`hdfs dfs -setfacl -m group:root:rwx /projectA` 对`root`组设置

### 4.1 设置acl ###

hdfs dfs -setfacl -m user:root:rwx /projectA

将`/projectA`这个目录授予`root`用户`rwx`权限。

### 4.2 查看acl ###

[hadoopdeploy@hadoop01 ~]$ hdfs dfs -getfacl /projectA
    # file: /projectA
    # owner: hadoopdeploy
    # group: supergroup
    user::rwx
    user:root:rwx
    group::rwx
    mask::rwx
    other::---
    
    [hadoopdeploy@hadoop01 ~]$ hdfs dfs -ls /
    Found 1 items
    drwxrwx---+  - hadoopdeploy supergroup          0 2023-05-24 21:10 /projectA
    [hadoopdeploy@hadoop01 ~]$

`drwxrwx---+` 这个`+`表示有`acl`权限

### 4.3 移除某个用户的acl ###

[hadoopdeploy@hadoop01 ~]$ hdfs dfs -setfacl -x user:root /projectA
    [hadoopdeploy@hadoop01 ~]$ hdfs dfs -getfacl /projectA
    # file: /projectA
    # owner: hadoopdeploy
    # group: supergroup
    user::rwx
    group::rwx
    mask::rwx
    other::---
    
    [hadoopdeploy@hadoop01 ~]$

![移除某个用户的acl][acl 2]

### 4.4 删除该目录所有的acl权限 ###

[hadoopdeploy@hadoop01 ~]$ hdfs dfs -setfacl -b /projectA
    [hadoopdeploy@hadoop01 ~]$ hdfs dfs -getfacl /projectA
    # file: /projectA
    # owner: hadoopdeploy
    # group: supergroup
    user::rwx
    group::rwx
    other::---
    
    [hadoopdeploy@hadoop01 ~]$

## 5、参考链接 ##

1、[https://hadoop.apache.org/docs/current/hadoop-project-dist/hadoop-common/FileSystemShell.html\#setfacl][https_hadoop.apache.org_docs_current_hadoop-project-dist_hadoop-common_FileSystemShell.html_setfacl]

[af9e75b168314b578ed174e5465b2061.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/50a8f0cf54bc43349336db6100dab878.png
[e3ea9df1f8ed4885b03659956eee2410.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/f019ed109ccc4d23a79f16ae6863d97a.png
[acl]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/b994dc7f706540c499dc2ce4146c37de.png
[acl_root]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/53de7cf40add4c0e94f8421396eeb7de.png
[acl 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/ef7d2647a98c44c48e6374b98f610d05.png
[acl 2]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/9027ceece5e14471bff1cc9581016d44.png
[https_hadoop.apache.org_docs_current_hadoop-project-dist_hadoop-common_FileSystemShell.html_setfacl]: https://hadoop.apache.org/docs/current/hadoop-project-dist/hadoop-common/FileSystemShell.html#setfacl