如何在Hue中使用Sentry

1.文档编写目的

---

本文档讲述如何通过Hue管理Sentry权限，您将学习到以下知识：

1.如何使用Hue创建用户

2.如何使用Hue为hive用户组授权超级权限

3.如何使用Hue验证授权

文档主要分为以下几步：

1.使用Hue创建测试用户

2.授权hive组为管理员

3.创建角色并授权验证

4.备注

这篇文档将重点介绍如何使用Hue管理Sentry权限，并基于以下假设：

1.CDH集群运行正常

2.集群已启用Kerberos

3.集群已安装Sentry服务，已和HDFS/Hive/Impala/Hue服务集成

以下是本次测试环境，但不是本操作手册的硬限制：

1.操作系统：CentOS 6.5

2.CDH和CM版本为5.12.1

3.采用root用户进行操作

4.Hue的管理员账号为admin

2.在Hue上创建用户

---

通过Hue管理员分别创建用户hive/fayson_d/fayson_a/fayson_c/fayson_h，hive用户所属组为hive组，其它用户所属组也与用户名称一样。

注意：确保以上用户在集群所有节点均存在。

1.使用admin用户登录Hue

2.进入用户管理，创建hive的组

点击“Add group”保存新建的组

3.创建hive用户（以创建hive用户为例）

3.授权hive组为管理员

---

1.使用hive用户登录Hue

2.点击Hue左上角菜单，进入Security界面

3.创建管理员角色admin，并授权给hive组

点击上图右边“Click here to add some”

点击保存，显示server1所拥有的角色

点击刷新按钮，查看是否有权限

hive用户可以查看到server1下所有的数据库和表

4.创建角色并授权验证

4.1库级别授权

---

使用hive用户创建一个对default库有只读（SELECT）权限的角色dread，并授权给fayson_d用户组，所属该用户组的用户对default库下所有表只有SECLET权限没有INSERT权限。

添加角色并授权

点击保存并查看

4.2库授权验证

---

使用fayson_d用户登录Hue，可以看到default下所有表

• Hive验证

对test表进行select、count和insert操作

只读权限所以INSERT操作失败

对test_hive_delimiter表进行select、count和insert操作

• Impala验证

对test表进行select、count和insert操作

对test_hive_delimiter表进行select、count和insert操作

• File Browser验证

无权限访问/warehouse目录下的fayson库的数据目录

test表为内部表，数据目录为/user/hive/warehouse/test

可以查看test表的数据文件

test_hive_delimiter表为外部表,数据目录为/fayson/test_hive_delimiter

可以查看/fayson/test_hive_delimiter目录下的数据文件

无权限编辑数据文件

结论：fayson_d用户可以使用Hive/Impala查看所有default库下的表，但是没有insert权限，插入表失败。对应到HDFS目录，可以查看所有目录文件夹，并查看文件内容，但是无法修改文件内容。说明Sentry实现了HDFS ACL的同步。

4.3表级别授权

---

使用hive用户创建一个对default库下test表有所有（ALL）操作权限的角色testall，并授权给fayson_a用户组，所属该用户组下的所有用户能对default.test表SELECT、INSERT。

创建角色并授权

点击保存并查看

4.4表授权验证

---

使用fayson_a登录Hue，可以看到default库下的test表

• Hive验证

可以对test表进行select、count和insert操作

• Impala验证

可以对test表进行select、count和insert操作

• File Browser验证

可以浏览/user/hive/warehouse目录

可以查看/user/hive/warehouse/test目录下的数据文件

可以向/user/hive/warehouse/test目录下上传数据文件

可以删除数据文件

结论：fayson_a用户可以使用Hive/Impala查看所有default库下的表，并能执行insert操作。对应到HDFS目录，可以查看所有目录文件夹，并查看文件内容，同时还能上传新的文件。说明Sentry实现了HDFS ACL的同步。

4.5列级别授权

---

使用hive用户创建一个对test表的s1列有只读（SELECT）权限的角色testcolumn，并授权给fayson_c用户。所属该用户组下的所有用户对test表的s1列只有SELECT权限。

添加角色并授权

点击保存并查看

4.6列授权验证

---

使用fayson_c登录Hue，可以看到default库下的test表

• Hive验证

对test表进行select、count和insert操作

由于只有s1列的SELECT权限，所以不能查看所有列（*）

只可以查看有权限的列

只能count那一列

无法插入新的数据

• Impala验证

对test表进行select、count和insert操作

由于只有s1列的SELECT权限，所以不能查看所有列（*）

只可以查看有权限的列

只能count那一列

无法插入新的数据

• File Browser验证

无权限访问/user/hive/warehouse/test目录

结论：fayson_c用户使用Hive/Impala只能查看test表的s1列，无法对整表select *，无法执行insert操作。对应到HDFS目录，不能查看相应目录文件夹/文件，同时无法上传新的文件。说明Sentry实现了HDFS ACL的同步。

4.7HDFS URI授权

---

使用hive用户创建一个角色，并授权给fayson_h用户组

• 授权hdfsall角色对fayson库有所有权限
• 授权hdfsall角色对HDFS目录/fayson_data/test_hive有所有（ALL）权限

所属该用户组下的所有用户均对fayson库有所有操作权限，对/fayson_data /test_hive目录有所有权限，在fayson库下创建外部表只能指向/fayson_data /test_hive目录

创建角色并授权

点击保存，查看创建的角色

4.7HDFS URI授权验证

---

• 授权验证

使用fayson_h用户登录Hue，可以看到fayson库

在fayson库下创建外部表,执行如下建表语句

表创建成功

删除test_hive表

向test_hive表插入数据

使用hive用户将hdfs的授权权限删除，再次测试

使用fayson_h用户在fayson库下再次创建表，表创建失败。

• File Browser验证

访问fayson库数据目录/user/hive/warehouse/fayson.db

访问外部表数据目录/fayson_data/test_hive

不能向外部表数据目录上传数据文件

无权限删除外部表数据目录下文件

访问内部表数据目录/user/hive/warehouse/fayson.db/test

可以向/user/hive/warehouse/fayson.db/test数据目录上传数据

可以删除/user/hive/warehouse/fayson.db/test目录下的数据文件

测试总结：

fayson_h用户对fayson库有所有权限，在create table test_hive的时候，如果不指定location，默认的数据目录为/user/hive/warehouse/fayson.db/test_hive。如果创建外部表如create external table test_hivexxx location /fayson_data/test_hive的时候，若不授权/fayson_data/test_hive目录的ALL权限给fayson_h，fayson_h是不能创建表的。

注：对于上述测试不能向外部表插入数据。

5.备注

---

• 以上操作都是使用Hue界面操作，由于集群开启Kerberos，要使用命令行操作需要为上述用户创建Kerberos账号，否则不能在命令行正常使用。
• Sentry的URI授权，主要是用于非hive用户创建外部表时对HDFS数据目录授权。Sentry授权的URI可以指向外部表的数据目录，也可以指向外部表数据目录的父目录，指向父目录则父目录下的所有子目录都可以为外部表的数据目录。
• 原文：https://blog.51cto.com/14049791/2320839