cdh集成sentry

最新推荐文章于 2024-03-14 08:00:00 发布

老朱.

最新推荐文章于 2024-03-14 08:00:00 发布

阅读量1.7k

点赞数

分类专栏： # hadoop生态圈文章标签： cdh sentry

本文为博主原创文章，转载注明出处。可以搜索微信公众号[老朱的读书随想]联系我

本文链接：https://blog.csdn.net/daguanjia11/article/details/89947010

版权

hadoop生态圈专栏收录该内容

9 篇文章 0 订阅

订阅专栏

安装sentry服务

在cloudera manager web页面上选中集群下的action按钮，然后点击add service，在列表中选择sentry服务，并按照向导操作即可。sentry的运行需要使用mysql，在安装cdh的那篇文章中的步骤已经包含了创建sentry服务的步骤，所以，直接就有一个sentry数据库，直接使用即可，用户名和密码是sentry/sentry_password。

关于安装sentry服务，请参考官方文档 https://www.cloudera.com/documentation/enterprise/latest/topics/sg_sentry_service_install.html

sentry高可用

设置第二个sentry server，可以提高sentry的高可用性。在cloudera manager web页面上的集群列表中点击sentry，进入sentry服务的页面，然后打开instance标签页，点击Add Role Instances，根据弹出的向导选择第二个sentry server即可。

关于sentry高可用，请参考官方文档

https://www.cloudera.com/documentation/enterprise/latest/topics/sg_sentry_ha.html

sentry的权限模型

object：object指不同的数据库对象，如server,database，table，column等
role：role具有很多操作规则,每个操作规则是指对特定object的privilege
privilege：privilege被赋给某个role，允许该role具有操作某个object的特定权限，privilege包括：READ, WRITE, ALL。
user：从authentication系统产生。我们是从kerberos服务中产生的
group：是user的集合，从linux系统的用户的group映射而来。所有的role都只能被赋给group，而不能直接赋给user

在hive中使用sentry授权

sentry常与hive、impala、hue等组件一起使用，下面是与hive一起使用时使用Hive SQL的语法来管理权限的常用操作。

角色操作

创建角色：CREATE ROLE [role_name];
删除角色：DROP ROLE [role_name];
查看所有角色：SHOW ROLES;
查看当前用户所具有的角色：SHOW CURRENT ROLES;

角色与权限

向角色授权

GRANT    
    <PRIVILEGE> [, <PRIVILEGE> ]    
    ON <OBJECT> <object_name>    
    TO ROLE <roleName> [,ROLE <roleName>]

撤销角色的权限

REVOKE    
    <PRIVILEGE> [, <PRIVILEGE> ]    
    ON <OBJECT> <object_name>    
    FROM ROLE <roleName> [,ROLE <roleName>]

查看角色具有的权限

SHOW GRANT ROLE <roleName>;

查看角色对某个对象的权限

SHOW GRANT ROLE <roleName> on <OBJECT> <objectName>;

将角色关联到group以及撤销group的角色

将角色关联到group

GRANT ROLE role_name [, role_name]
    TO GROUP <groupName> [,GROUP <groupName>]

撤销group的角色

REVOKE ROLE role_name [, role_name]    
    FROM GROUP <groupName> [,GROUP <groupName>]

查看group具有哪些角色

SHOW ROLE GRANT GROUP <groupName>;

关于在hive中使用sentry授权的更多问题，可以参考官方文档
https://www.cloudera.com/documentation/enterprise/latest/topics/sg_hive_sql.html

示例演示

下面的示例将帮助你理解上面的命令。假设有两个用户组分别是manager和analyst，我希望db1manager组内的用户对db1数据库中的所有表具有所有权限，而db1analyst组内的所有用户对db1数据库的table1具有查询权限，下面将演示这个过程

首先使用kinit命令激活hive用户的kerveros tgt，然后使用beeline命令进入beeline的shell中，并使用下面的命令连接上对用的hive

beeline> !connect jdbc:hive2://cdhtest-0:10000/default;principal=hive/cdhtest-0@ENN.CN

根据需求，我们创建两个角色，分别是manager角色和analyst角色

create role manager;
create role analyst;

查看角色信息

show roles;
+----------+--+
|   role   |
+----------+--+
| analyst  |
| manager  |
+----------+--+

两个角色已经创建好了。接下来分别向两个角色授予不同的权限，先向manager角色授予db1数据库的所有权限

grant all on database db1 to role manager;
grant select on table table1 to role analyst;

查看manager的权限

show grant role manager;
+-----------+--------+------------+---------+-----------------+-----------------+------------+---------------+-------------------+----------+--+
| database  | table  | partition  | column  | principal_name  | principal_type  | privilege  | grant_option  |    grant_time     | grantor  |
+-----------+--------+------------+---------+-----------------+-----------------+------------+---------------+-------------------+----------+--+
| db1       |        |            |         | manager         | ROLE            | *          | false         | 1521797782036000  | --       |
+-----------+--------+------------+---------+-----------------+-----------------+------------+---------------+-------------------+----------+--+

可以看出manager角色对db1具有*权限。下面查看analyst角色的权限

show grant role analyst;
+-----------+---------+------------+---------+-----------------+-----------------+------------+---------------+-------------------+----------+--+
| database  |  table  | partition  | column  | principal_name  | principal_type  | privilege  | grant_option  |    grant_time     | grantor  |
+-----------+---------+------------+---------+-----------------+-----------------+------------+---------------+-------------------+----------+--+
| default   |         |            |         | analyst         | ROLE            | select     | false         | 1521773777266000  | --       |
| db1       | table1  |            |         | analyst         | ROLE            | select     | false         | 1521797965506000  | --       |
+-----------+---------+------------+---------+-----------------+-----------------+------------+---------------+-------------------+----------+--+

可以看出analyst角色对db1和table1都具有select权限。

权限已经分配给角色了，接下来将角色和用户组做一下关联

grant role manager to group db1manager;
grant role analyst to group db1analyst;

查看db1manager组所具有的角色

show role grant group db1manager;
+----------+---------------+-------------+----------+--+
|   role   | grant_option  | grant_time  | grantor  |
+----------+---------------+-------------+----------+--+
| manager  | false         | NULL        | --       |
+----------+---------------+-------------+----------+--+

查看db1analyst组所具有的角色

show role grant group db1analyst;
+----------+---------------+-------------+----------+--+
|   role   | grant_option  | grant_time  | grantor  |
+----------+---------------+-------------+----------+--+
| analyst  | false         | NULL        | --       |
+----------+---------------+-------------+----------+--+

授权完毕。

此时cdh集群上有db1manager和db1analyst两个用户组。此时正好有两个用户和两个用户组，名字分别都是db1manager和db1analyst。

$ groups db1manager
db1manager : db1manager

$ groups db1analyst
db1analyst : db1analyst

再打开一个terminal并使用db1manager用户登录，先拿到kerberos的tgt

kinit db1manager
Password for db1manager@ENN.CN:

此处输入db1manager用户的kerberos密码。
然后使用beeline命令进入beeline的shell，并使用下面的命令连接到hive

beeline> !connect jdbc:hive2://cdhtest-0:10000/default;principal=hive/cdhtest-0@ENN.CN

需要注意的是，此处的principal参数仍然是hive/cdhtest-0@ENN.CN,而不是db1manager@ENN.CN。

然后查看自己的角色

show current roles;
+----------+--+
|   role   |
+----------+--+
| manager  |
+----------+--+

可以看出db1manager用户具有manager角色。接下来执行两个简单的sql命令来测试一下权限

insert into table1 values (1,1);
insert into table1 values (2,2);

select * from table1;
+--------------+--------------+--+
| table1.col1  | table1.col2  |
+--------------+--------------+--+
| 1            | 1            |
| 2            | 2            |
+--------------+--------------+--+

以同样的方法再切换到db1analyst用户，并查看角色

show current roles;
+----------+--+
|   role   |
+----------+--+
| analyst  |
+----------+--+

执行一个select

select * from table1;
+--------------+--------------+--+
| table1.col1  | table1.col2  |
+--------------+--------------+--+
| 1            | 1            |
| 2            | 2            |
+--------------+--------------+--+

查询成功。再执行一个insert

insert into table1 values (3,3);
Error: Error while compiling statement: FAILED: SemanticException No valid privileges
 User db1analyst does not have privileges for QUERY
 The required privileges: Server=server1->Db=db1->Table=table1->action=insert; (state=42000,code=40000)

报错了，权限不足，因为analyst角色没有WRITE权限。