Sentry技术实践V1.0

---

1 Sentry概述

cdh版本的hadoop在对数据安全上的处理通常采用Kerberos+Sentry的结构。
kerberos主要负责平台用户的用户认证，sentry则负责数据的权限管理。

1.1 Sentry是什么

Apache Sentry是Cloudera公司发布的一个Hadoop开源组件，它提供了细粒度级、基于角色的授权以及多租户的管理模式。
Sentry提供了对Hadoop集群上经过身份验证的用户和应用程序的数据控制和强制执行精确级别权限的功能。Sentry目前可以与Apache Hive，Hive Metastore / HCatalog，Apache Solr，Impala和HDFS（仅限于Hive表数据）一起使用。
Sentry旨在成为Hadoop组件的可插拔授权引擎。它允许自定义授权规则以验证用户或应用程序对Hadoop资源的访问请求。Sentry是高度模块化的，可以支持Hadoop中各种数据模型的授权。

1.2 Sentry中的角色

2 Sentry安装部署

2.1 添加Sentry服务

2.2 自定义Sentry角色分配

2.3 配置数据库连接

2.4 成功完成Sentry的服务添加

3 Sentry与Hive/Impala集成

3.1 修改配置参数

（1）取消HiveServer2用户模拟
在hive配置项中搜索“HiveServer2 启用模拟”，取消勾选

（2）确保hive用户能够提交MR任务
在yarn配置项中搜索“允许的系统用户”，确保包含“hive”。

3.2 配置Hive使用Sentry

（1）在Hive配置项中搜索“启用数据库中的存储通知”，勾选。

（2）在Hive配置项中搜索“Sentry”，勾选Sentry。

3.3 配置Impala使用Sentry

在Impala配置项中搜索“Sentry”，勾选。

3.4 配置HDFS权限与Sentry同步

1）在HDFS配置项中搜索“启用访问控制列表”，勾选。

2）在HDFS配置项中搜索“启用 Sentry 同步”，做出下图修改。

4 Sentry授权实践

使用Sentry进行授权管理，需要使用Sentry的管理员用户对其他用户进行授权，授权的方式有两种，一是通过HUE进行可视化操作，一是使用HIVE中的授权语句进行操作。

4.1 Sentry实践之HUE

1）配置HUE支持Sentry
在HUE配置项中搜索“Sentry”，勾选Sentry。

2）查看Sentry权限管理中的管理员组。
在Sentry的配置项中搜索“管理员组”，其中包括hive、impala，只有当某用户所属组位于其中时，才可为其他用户授予权限。

3）在Hive集群所有节点创建两个用户reader，writer，为权限测试做准备。

[root@hadoop102 ~]# useradd reader
[root@hadoop102 ~]# passwd reader

[root@hadoop102 ~]# useradd writer
[root@hadoop102 ~]# passwd writer

4）使用hive用户登录HUE，创建两个用户组reader、writer，并在两个用户组下创建两个用户reader、writer，为权限测试做准备。

5）Sentry工作界面（需要授予HUE用户访问Sentry的权限）

6）点击Roles按钮，并点击添加按钮

7）编辑Role
admin_role（首先为hive用户添加管理员权限）

reader_role

writer_role

8）权限测试
（1）分别使用reader和writer用户登录HUE
（2）查询gmall数据库中的任意一张表，发现只有reader用户可查出，而writer则不能。说明权限控制生效。
reader用户

writer用户

4.2 Sentry实践之命令行

1）在Hive集群所有节点创建两个用户reader_cmd，writer_cmd

[root@hadoop102 ~]# useradd reader_cmd
[root@hadoop102 ~]# passwd reader_cmd

[root@hadoop102 ~]# useradd writer_cmd
[root@hadoop102 ~]# passwd writer_cmd

2）使用Sentry管理员用户hive通过beeline客户端连接HiveServer2

[root@hadoop102 ~]# kinit -kt /var/lib/hive/hive.keytab hive/hive@HADOOP.COM
[root@hadoop102 ~]# beeline -u "jdbc:hive2://hadoop102:10000/;principal=hive/hadoop102@HADOOP.COM"

3）创建Role（reader_role_cmd,writer_role_cmd）

create role reader_role_cmd;
create role writer_role_cmd;

4）为role赋予privilege

GRANT select ON DATABASE gmall TO ROLE reader_role_cmd;
GRANT insert ON DATABASE gmall TO ROLE writer_role_cmd;

5）将role授予用户组

GRANT ROLE reader_role_cmd TO GROUP reader_cmd;
GRANT ROLE writer_role_cmd TO GROUP writer_cmd;

6）查看权限授予情况
（a）查看所有role（管理员）

SHOW ROLES;

（b）查看指定用户组的role（管理员）

SHOW ROLE GRANT GROUP reader_cmd;

（c）查看当前认证用户的role

SHOW CURRENT ROLES;

（d）查看指定ROLE的具体权限（管理员）

SHOW GRANT ROLE reader_role_cmd;

7）权限测试
（a）为reader_cmd、writer_cmd创建Kerberos主体

[root@hadoop102 ~]# kadmin.local -q "addprinc reader_cmd/reader_cmd@HADOOP.COM"
[root@hadoop102 ~]# kadmin.local -q "addprinc writer_cmd/writer_cmd@HADOOP.COM"

（b）使用reader_cmd登录HiveServer2，查询gmall库下的任意一张表

[root@hadoop102 ~]# kinit reader_cmd/reader_cmd@HADOOP.COM
[root@hadoop102 ~]# beeline -u "jdbc:hive2://hadoop102:10000/;principal=hive/hadoop102@HADOOP.COM"

（c）使用writer_cmd登录HiveServer2，查询gmall库下的任意一张表

[root@hadoop102 ~]# kinit writer_cmd/writer_cmd@HADOOP.COM
[root@hadoop102 ~]# beeline -u "jdbc:hive2://hadoop102:10000/;principal=hive/hadoop102@HADOOP.COM"

（d）查询结果
reader_cmd有对于gmall表的查询权限，而writer_cmd没有。说明授权生效。