Ambari配置LDAP账号支持

最新推荐文章于 2024-01-26 10:55:30 发布
最新推荐文章于 2024-01-26 10:55:30 发布
阅读量2.9k 收藏 1
点赞数
分类专栏： LDAP Ambari
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/luoyoumou/article/details/81504767
版权

-- http://www.therebel.eu/2015/08/setting-password-expiry-in-ipa/

--------------------------------------------------------------------------------------------------
-- ############################################################################################ --

-- 配置 Ambari 支持 LDAP (环境：Ambari 2.7.0 + HDP 3.0.0 + FreeIPA 4.5.4)
-- 参考：https://docs.hortonworks.com/HDPDocuments/HDP2/HDP-2.6.1/bk_security/content/_configure_ambari_to_use_ldap_server.html
--      http://www.freeipa.org/page/HowTo/LDAP
--      https://github.com/abajwa-hw/security-workshops/blob/master/Setup-Ambari.md

-- 若安装中遇到问题，欢迎加QQ群交流：661945126

--------------------------------------------------------------------------------------------------
-- ############################################################################################ --

[root@wfldap001 ~]# ipa group-show ambari
  Group name: ambari
  Description: ambari
  GID: 1757400029
  Member users: xujunyang, luoyoumou

-- 目标：只导入ipa ambari 组的成员 作为 ambari 的用户登陆

-- 登陆 ambari-server 所在服务器，执行如下命令：
mkdir /etc/ambari-server/keys

$JAVA_HOME/bin/keytool -import -trustcacerts -alias root \
-file /etc/ipa/ca.crt \
-keystore /etc/ambari-server/keys/ldaps-keystore.jks

-- 以上命令详细输出类似如下：
--------------------------------------------------------------------------------------------------
[root@wfambari ambari-server]# $JAVA_HOME/bin/keytool -import -trustcacerts -alias root \
> -file /etc/ipa/ca.crt \
> -keystore /etc/ambari-server/keys/ldaps-keystore.jks
Enter keystore password: bee56915 -- 密码随便设置，自己记得就OK
Re-enter new password: bee56915
Owner: CN=Certificate Authority, O=WANFENG.COM
Issuer: CN=Certificate Authority, O=WANFENG.COM
Serial number: 1
Valid from: Fri Jul 27 00:35:47 CST 2018 until: Tue Jul 27 00:35:47 CST 2038
Certificate fingerprints:
     MD5:  C9:EB:6E:42:A7:CD:B5:10:C3:6A:03:DF:28:4D:0F:3D
     SHA1: D2:8B:29:FB:A9:B1:EF:89:22:3C:82:5B:B7:9D:79:8F:49:05:96:8B
     SHA256: 58:61:33:B1:DB:D6:41:7C:C3:54:D3:17:F6:29:C2:16:80:1B:43:13:67:6C:4D:63:36:D1:48:D0:04:66:A8:9C
Signature algorithm name: SHA256withRSA
Subject Public Key Algorithm: 2048-bit RSA key
Version: 3

Extensions: 

#1: ObjectId: 1.3.6.1.5.5.7.1.1 Criticality=false
AuthorityInfoAccess [
  [
   accessMethod: ocsp
   accessLocation: URIName: http://ipa-ca.wanfeng.com/ca/ocsp
]
]

#2: ObjectId: 2.5.29.35 Criticality=false
AuthorityKeyIdentifier [
KeyIdentifier [
0000: 15 E9 A9 39 6B F7 0E 8A   E4 3E 1A 54 B5 06 51 9D  ...9k....>.T..Q.
0010: 6E FD D4 AF                                        n...
]
]

#3: ObjectId: 2.5.29.19 Criticality=true
BasicConstraints:[
  CA:true
  PathLen:2147483647
]

#4: ObjectId: 2.5.29.15 Criticality=true
KeyUsage [
  DigitalSignature
  Non_repudiation
  Key_CertSign
  Crl_Sign
]

#5: ObjectId: 2.5.29.14 Criticality=false
SubjectKeyIdentifier [
KeyIdentifier [
0000: 15 E9 A9 39 6B F7 0E 8A   E4 3E 1A 54 B5 06 51 9D  ...9k....>.T..Q.
0010: 6E FD D4 AF                                        n...
]
]

Trust this certificate? [no]:  yes
Certificate was added to keystore

--------------------------------------------------------------------------------------------------
-- 配置前，先备份 ambari-server 配置文件：
cp /etc/ambari-server/conf/ambari.properties /etc/ambari-server/conf/ambari.properties.bak.20180731

ambari-server setup-ldap
-- 以上命令输出类似如下:
--------------------------------------------------------------------------------------------------
[root@wfambari scripts]# ambari-server setup-ldap
Using python  /usr/bin/python
Primary URL Host* : wfldap001.wanfeng.com
Primary URL Port* : 636
Secondary URL Host : wfldap002.wanfeng.com
Secondary URL Port : 636
Use SSL* [true/false] (false): true
User object class* (person): 
User name attribute* (uid): 
Group object class* (posixGroup): 
Group name attribute* (cn): 
Group member attribute* (memberUid): 
Distinguished name attribute* (dn): 
Base DN* (dc=ambari,dc=apache,dc=org): dc=wanfeng,dc=com
Referral method [follow/ignore] : follow
Bind anonymously* [true/false] (false): false
Handling behavior for username collisions [convert/skip] for LDAP sync* (convert): skip
Force lower-case user names [true/false] :true
Results from LDAP are paginated when requested [true/false] :true
Manager DN* : uid=hadoopadmin,cn=users,cn=accounts,dc=wanfeng,dc=com
Enter Manager Password* : 
Re-enter password: 
Do you want to provide custom TrustStore for Ambari [y/n] (y)?y
TrustStore type [jks/jceks/pkcs12] (jks):
Path to TrustStore file (/etc/ambari-server/keys/ldaps-keystore.jks):
Password for TrustStore:
Re-enter password: 
====================
Review Settings
====================
Primary URL Host* :  wfldap001.wanfeng.com
Primary URL Port* :  636
Secondary URL Host :  wfldap002.wanfeng.com
Secondary URL Port :  636
Use SSL* [true/false] (false):  true
User object class* (person):  person
User name attribute* (uid):  uid
Group object class* (posixGroup):  posixGroup
Group name attribute* (cn):  cn
Group member attribute* (memberUid):  memberUid
Distinguished name attribute* (dn):  dn
Base DN* (dc=ambari,dc=apache,dc=org):  dc=wanfeng,dc=com
Referral method [follow/ignore] :  follow
Bind anonymously* [true/false] (false):  false
Handling behavior for username collisions [convert/skip] for LDAP sync* (convert):  skip
Force lower-case user names [true/false] : true
Results from LDAP are paginated when requested [true/false] : true
ambari.ldap.connectivity.bind_dn: uid=hadoopadmin,cn=users,cn=accounts,dc=wanfeng,dc=com
ambari.ldap.connectivity.bind_password: *****
ssl.trustStore.type: jks
ssl.trustStore.path: /etc/ambari-server/keys/ldaps-keystore.jks
ssl.trustStore.password: *****
Save settings [y/n] (y)? y
Saving LDAP properties...
Enter Ambari Admin login: admin
Enter Ambari Admin password: 
Saving LDAP properties finished
Ambari Server 'setup-ldap' completed successfully.

--------------------------------------------------------------------------------------------------
[root@wfambari scripts]# cat ambari.txt
ambari

[root@wfambari scripts]# ambari-server sync-ldap --groups=ambari.txt
Using python  /usr/bin/python
Syncing with LDAP...
Enter Ambari Admin login: admin
Enter Ambari Admin password: 

Fetching LDAP configuration from DB.
Syncing specified users and groups...

Completed LDAP Sync.
Summary:
  memberships:
    removed = 0
    created = 2
  users:
    skipped = 0
    removed = 0
    updated = 0
    created = 2
  groups:
    updated = 0
    removed = 0
    created = 1

Ambari Server 'sync-ldap' completed successfully.

--------------------------------------------------------------------------------------------------
-- 安装 expect 
yum install expect*

--------------------------------------------------------------------------------------------------
-- 我们先创建一个 ambari_group.txt 文件 （里面是 要同步到 ambari 的 ipa 组名称)
[root@wfambari scripts]# cat ambari_group.txt
ambari

--------------------------------------------------------------------------------------------------
-- 编辑 ambari_sync_ldap.sh 文件，内容如下：
[root@wfambari scripts]# cat ambari_sync_ldap.sh 
#!/usr/bin/expect
spawn /usr/sbin/ambari-server sync-ldap --groups=./ambari_group.txt --existing
expect "Enter Ambari Admin login:"
send "admin\r"
expect "Enter Ambari Admin password:"
send "admin\r"
expect eof

--------------------------------------------------------------------------------------------------
-- 运行同步测试
[root@wfambari scripts]# ./ambari_sync_ldap.sh 
spawn ambari-server sync-ldap --groups=./ambari_group.txt --existing
Using python  /usr/bin/python
Syncing with LDAP...
Enter Ambari Admin login: admin
Enter Ambari Admin password: 

Fetching LDAP configuration from DB.
Syncing existing...

Completed LDAP Sync.
Summary:
  memberships:
    removed = 0
    created = 0
  users:
    skipped = 0
    removed = 0
    updated = 0
    created = 0
  groups:
    updated = 0
    removed = 0
    created = 0

Ambari Server 'sync-ldap' completed successfully.

--------------------------------------------------------------------------------------------------
-- 最后 crontab 每五分钟同步 ipa 的 ambari 组成员到 ambari
# ambari-server sync-ldap
*/5 * * * * cd /root/scripts && ./ambari_sync_ldap.sh > ./ambari_sync_ldap.log 2>&1

--------------------------------------------------------------------------------------------------
-- 我们可以看到 同步日志中的内容类似如下：( created = 1 表示新加的ipa ambari 组的某一个成员自动同步到 ambari 了 )

[root@wfambari scripts]# cat ambari_sync_ldap.log
spawn /usr/sbin/ambari-server sync-ldap --groups=./ambari_group.txt --existing
Using python  /usr/bin/python
Syncing with LDAP...
Enter Ambari Admin login: admin
Enter Ambari Admin password: 

Fetching LDAP configuration from DB.
Syncing existing...

Completed LDAP Sync.
Summary:
  memberships:
    removed = 0
    created = 1
  users:
    skipped = 0
    removed = 0
    updated = 0
    created = 1
  groups:
    updated = 0
    removed = 0
    created = 0

Ambari Server 'sync-ldap' completed successfully.

--------------------------------------------------------------------------------------------------

-- 最后的效果图类似如下：

 

 

 

 

luoyoumou
关注
专栏目录
HDP 04.Ambari的LDAP配置
80后大叔爱学习
11-02 815
五、ambari的LDAP配置 1、LDAP配置 mkdir -p /etc/ambari-server/keys $JAVA_HOME/bin/keytool -import -trustcacerts -alias root \ -file /etc/ipa/ca.crt \ -keystore /etc/ambari-server/keys/ldaps-keystore.jks bee#56915 2、备份 ambari 配置文件 cdate=$(date '+%Y%m%d..
Ranger配置OpenLDAP(HDP 3.1.1 + Ambari 2.7.3)
TT-Learning
11-05 1552
查看slapd服务端口
LDAP用户导入Ambari
周源的专栏
10-24 1327
运行命令：ambari-server setup-ldap 设置参数（个人设置） 相关参数可以参考链接：https://docs.oracle.com/html/E35191_01/ldap-filters-attrs-users.html#ldap-filters-attrs-users-openldap 查看：cat /etc/ambari-server/conf/amb
Ambari 集成LDAP技术方案
m0_50323137的博客
11-08 1424
LDAP是轻型目录访问协议（Lightweight Directory Access Protocol，LDAP）。简单理解可以把LDAP看作是一个树形结构的数据库，通常用于实现账号的统一管理。cron_sync_job.sh: 负责定时任务。设置及自动化同步过程的日志管理ldap_sync.sh : 负责解析users.txt文件中的用户，进行用户同步sync_shell.sh : 负责与ambari自动化交互，进行用户数据同步init.sh : 配置文件，包含日志目录，用户文件路径等等配置。
Ambari 开启 ldap 用户认证
最新发布
跟着大数据和AI去旅行
01-26 215
Ambari 开启 LDAP 用户认证
Ambari 自登录配置
周源的专栏
09-05 4041
方案1：直接从首页发起登录，跳过登录界面，尝试未成功。另外修改关键代码涉及到打包再编译，需配置ambari编译环境，且版本打包耗时巨大，此处采用临时方案2实现。   方案2：直接修改前端，隐藏登录界面，app.js默认写死用户名和密码自动登录，让用户在界感知不到登录界面存在。   建议修改前进行备份(Ambari版本2.5.0.0) 操作步骤： (1)安装google浏览器，在http
ambari hive 如何配置ldap 认证
05-10
要为Ambari Hive配置LDAP认证，您需要完成以下步骤： 1. 在Ambari Hive服务器上安装必要的LDAP客户端软件包 2. 确保Ambari Hive服务器可以访问LDAP服务器 3. 在Ambari Hive配置文件中启用LDAP认证 4. 配置Ambari ...
Ambari搭建Hadoop
02-07
包括确定 Stack 的兼容性、满足系统最低需求、收集信息、准备环境和为 Ambari 配置本地仓库。 确定 Stack 的兼容性是非常重要的。需要使用 Ambari 和 HDP stack 版本是否兼容的表来确定。例如，如果计划安装和管理 ...
Ambari汉化及单点登录配置.doc
07-22
Ambari汉化的详细过程以及单点登录配置步骤，非常实用
HDP2.6—Kerberos&Openldap;安装集成.doc
07-22
ambari搭建hdp详细过程，包括有kerberos进行权限管理，
Ambari HDP集群搭建全攻略
张伟的专栏
01-12 521
（就是一个开源的hadoop一键式安装服务）此外，Ambari能够安装安全的（基于Kerberos）Hadoop集群，以此实现了对Hadoop 安全的支持，提供了基于角色的用户认证、授权和审计功能，并为用户管理集成了LDAP和Active Directory。此外，Ambari能够安装安全的（基于Kerberos）Hadoop集群，以此实现了对Hadoop 安全的支持，提供了基于角色的用户认证、授权和审计功能，并为用户管理集成了LDAP和Active Directory。（说白了就是可以偷好多懒）
Ambari安装freeIPA
光于前裕于后的博客
02-22 5737
环境：Ambari-2.4.2、HDP-2.5.3、CentOS 6.5 freeIPA包含了Kerberos、ldap等服务，经调研感觉可以用它来做认证和统一用户管理，用户都存在freeIPA的ldap中。
LDAP 与 HIVE、HUE 集成
weixin_44207412的博客
09-08 1656
Hive、Hue 集成 LDAP
Sringboot与Ldap集成问题记录
ekinsa的专栏
07-17 2479
一、springboot与Ldap集成 1：pom.xml <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https:/
Ranger 配置 LDAP 账号支持 ( 基于 FreeIPA + HDP 3.0 + Ambari 2.7.0)
luoyoumou的专栏
07-31 5234
-- 参考：https://community.hortonworks.com/questions/1018/how-to-configure-ranger-usync-for-ldap-ssl.html --      https://community.hortonworks.com/articles/16696/ranger-ldap-integration.html --      htt...
Ambari 2.1安装 HDP2.3.2 之 五、配置amabri-server
qq_38799155的博客
07-07 491
五、配置ambari-server 配置ambari-server之前要先建立amabri要使用的数据库。 1.为ambari建立数据库 # yum install mysql-connector-java # mysql -u root -p mysql&amp;gt; USER 'ambari'@'%' IDENTIFIED BY 'glj887'; mysql&amp;gt; GRANT ...
阿里云上安装FreeIPA（ipa-server && ipa-client）
帆了个帆的专栏
05-08 3134
执行 ipa-server-install ipapython.admintool: ERROR IPv6 stack is enabled in the kernel but there is no interface that has ::1 address assigned. Add ::1 address resolution to 'lo' interface. You migh...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值