[数仓]十一、离线数仓（Ranger权限管理）

第1章 Ranger概述

1.1 什么是Ranger

Apache Ranger是一个Hadoop平台上的全方位数据安全管理框架，它可以为整个Hadoop生态系统提供全面的安全管理。

随着企业业务的拓展，企业可能在多用户环境中运行多个工作任务，这就需要一个可以对安全策略进行集中管理，配置和监控用户访问的框架。Ranger由此产生！

Ranger的官网：https://ranger.apache.org/

1.2 Ranger的目标

1. 允许用户使用UI或REST API对所有和安全相关的任务进行集中化的管理
2. 允许用户使用一个管理工具对操作Hadoop体系中的组件和工具的行为进行细粒度的授权
3. 支持Hadoop体系中各个组件的授权认证标准
4. 增强了对不同业务场景需求的授权方法支持，例如基于角色的授权或基于属性的授权
5. 支持对Hadoop组件所有涉及安全的审计行为的集中化管理

1.3 Ranger支持的框架

1. Apache Hadoop
2. Apache Hive
3. Apache HBase
4. Apache Storm
5. Apache Knox
6. Apache Solr
7. Apache Kafka
8. YARN
9. NIFI

1.4 Ranger的架构

1.5 Ranger的工作原理

Ranager的核心是Web应用程序，也称为RangerAdmin模块，此模块由管理策略，审计日志和报告等三部分组成。

管理员角色的用户可以通过RangerAdmin提供的web界面或REST APIS来定制安全策略。这些策略会由Ranger提供的轻量级的针对不同Hadoop体系中组件的插件来执行。插件会在Hadoop的不同组件的核心进程启动后，启动对应的插件进程来进行安全管理！

第2章 Ranger的安装

2.1 环境说明

Ranger2.0要求对应的Hadoop为3.x以上，Hive为3.x以上版本，JDK为1.8以上版本。Hadoop及Hive等需开启用户认证功能，本文基于开启Kerberos安全认证的Hadoop和Hive环境。

注：本文中所涉及的Ranger相关组件均安装在hadoop102节点。

2.2 创建系统用户和Kerberos主体

Ranger的启动和运行需使用特定的用户，故须在Ranger所在节点创建所需系统用户并在Kerberos中创建所需主体。

1.创建ranger系统用户

[root@hadoop102 ~]# useradd  ranger -G hadoop
[root@hadoop102 ~]# echo ranger | passwd --stdin ranger

2.检查HTTP主体是否正常（该主体在Hadoop开启Kerberos时已创建）

1）使用keytab文件认证HTTP主体

[root@hadoop102 ~]# kinit -kt /etc/security/keytab/spnego.service.keytab HTTP/hadoop102@EXAMPLE.COM

2）查看认证状态，如下图所示，即为正常

        [root@hadoop102 ~]# klist

3）注销认证

[root@hadoop102 ~]# kdestroy

3.创建rangeradmin主体

1）创建主体

[root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"addprinc -randkey rangeradmin/hadoop102"

2）生成keytab文件

[root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"xst -k /etc/security/keytab/rangeradmin.keytab rangeradmin/hadoop102"

3）修改keytab文件所有者

[root@hadoop102 ~]# chown ranger:ranger /etc/security/keytab/rangeradmin.keytab

4.创建rangerlookup主体

1）创建主体

[root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"addprinc -randkey rangerlookup/hadoop102"

2）生成keytab文件

[root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"xst -k /etc/security/keytab/rangerlookup.keytab rangerlookup/hadoop102"

3）修改keytab文件所有者

[root@hadoop102 ~]# chown ranger:ranger /etc/security/keytab/rangerlookup.keytab