Zeppelin安全机制之Credentials使用技巧

别人的文章读了，就是过脑子，换成自己的记录方式记录下来，才能更好的应用，感谢开源，敬畏技术人员

一、配置

1.使用Zeppelin的Credentials之前需要在$ZEPPELIN_HOME/conf/shiro.ini启用Zeppelin Server身份认证以及相关接口的权限检查

启用方法

如何启用Zeppelin身份认证这里不做介绍，只强调一下需要将/api/credential/** = authc,role[admin]  修改为 /api/credential/** = authc ,以放开/api/credential/**相关接口的权限校验，保证所有用户都能创建自己的Credentials

2.启用Zeppelin Server身份认证和权限校验之后，别忘了重启Zeppelin服务

3.接下来就可以访问配置页面，添加自己的凭据信息,创建Credentials时Entity名称推荐使用[InterpreterGroupName].[InterpreterName]

4.点击页面右上角，进行添加

二、应用场景

场景一: 作为数据源(主要是JDBCInterpreter)的认证凭据

1、Zeppelin JDBC解释器创建连接时获取用户身份认证信息的策略是先检查JDBC解释器配置中user和password信息，若JDBC解释器配置中没有user相关信息则尝试从当前用户的Credentials列表中获取Entity名称为jdbc.<当前JDBC解释器名称>的Credentials的user和password信息来作为当前解释器连接远端数据源的认证凭据

2、需在配置该数据源对应的解释器时删除掉数据源user相关的配置项，否则就算是配置了Credentials，也只会使用配置数据源解释器时指定的公共用户对数据源进行访问

场景二: 用于Paragraph中的敏感信息的脱敏

1、若Credentials只用作对Paragraph中的敏感信息进行脱敏的用途，不用作解释器级别的数据源认证凭据，则Credentials凭据Entity名称可以不按[InterpreterGroupName].[InterpreterName] 格式进行定义。这里以第二部分中创建的Entity名为mysql_account_mask的Credentials信息为例简单演示一下如何在Paragraph中使用Credentials进行敏感信息脱敏：

备注：访问的方式可能存在变化，具体参考0.9release版本

2、用户间的Credentials是相互隔离的，这就意味着A用户并不能访问B用户创建的Credentials信息，这保证了大家使用Credentials来进行数据源访问权限隔离以及Paragraph敏感信息脱敏时的安全性

3、注意：要使用Credentials对段落中的敏感信息进行脱敏，还需要在配置对应解释器或者运行段落时通过指定injectCredentials为true来启用Credentials注入功能，该功能默认是禁用的，若不启用，则Credentials是不能正常注入的。