Trafodion集成Sentry实现Hive权限控制

本文主要描述如何在CDH上安装并配置Hive使用Sentry，并介绍如何使用trafodion用户实现Hive对象的权限控制。主要步骤及描述如下，

一、安装并配置使用Sentry

1 CDH Manager添加Sentry服务

2 配置Hive使用Sentry
（1）打开Hive的Sentry服务

（2）关闭hiveserver2 impersonation

（3） 配置hadoop.proxyuser.hive.groups添加hive,trafodion,hue

3 重启Hive服务并部署客户端配置

二、给trafodion添加相关权限

su - trafodion
beeline
//无kerberos认证时命令
!connect jdbc:hive2://IP:10000 trafodion traf123
//有kerberos认证时命令
!connect jdbc:hive2://IP:10000/;principal=hive/hostname@TRAFKDC.COM trafodion traf123
create role adminrole;
grant role adminrole to group hive;
grant all on server server1 to role adminrole;

三、把trafodion添加到Sentry管理组

1 Sentry->配置搜索admin添加trafodion

2 Sentry->配置搜索allow添加trafodion

3 重启Sentry服务并部署客户端配置

四、建立Linux组

//在每个节点上使用root或具有sudo权限的用户执行以下命令
sudo usermod -a -G hive hive
sudo usermod -a -G hive trafodion
//上述执行完成使用以下命令检查trafodion用户属于Hive用户组
getent group hive

五、测试使用trafodion创建Hive表

hive> create table t(a int);
OK
Time taken: 1.938 seconds

注：
第一次创建表失败，报以下错误：

hive> create table test_sentry(a int);
FAILED: Execution Error, return code 1 from org.apache.hadoop.hive.ql.exec.DDLTask. MetaException(message:hive.metastore.sasl.enabled can't be false in non-testing mode)

原因：

If Sentry is used in an environment where Kerberos is disabled, Sentry needs to be configured in testing mode.

解决：
Hive配置中添加以下配置，