Hadoop-2.2.0中文文档—— Common - 服务层认证

目的

此文档描述了如何为Hadoop配置和管理 Service Level Authorization 。

预备条件

确保已经安装Hadoop,配置和设置都正确了。更多细节，请看：* 首次使用者的单节点设置 * 大的、分布式集群的集群设置。

概览

Service Level Authorization 是一个必要的初始认证机制，其确保客户端连接到一个有必要的、预配置的、权限和认证服务的特定的Hadoop服务。例如，一个 MapReduce 集群可以使用这个机制允许一个配置了的用户/组列表提交作业。

$HADOOP_CONF_DIR/hadoop-policy.xml配置文件被用来定义多种Hadoop服务的访问控制列表。

Service Level Authorization 比别的访问控制检查如文件权限检查、作业队列上的访问控制等做地更早。

配置

这部分描述了如何配置服务层认证，通过配置文件 $HADOOP_CONF_DIR/hadoop-policy.xml。

允许服务层认证

默认地，服务层认证对Hadoop是不能用的。要启用它，在配置文件$HADOOP_CONF_DIR/core-site.xml中合理地设置属性
hadoop.security.authorization 为 true。

Hadoop 服务和配置属性

这部分描述了多种Hadoop服务和他们的配置部分：

访问控制列表

$HADOOP_CONF_DIR/hadoop-policy.xml 为每一个Hadoop服务定义一个访问控制列表。每个访问控制列表有一个简单的格式：

列表中的用户和组名字都以逗号分隔。两列以空格分隔。

示例: user1,user2
group1,group2.

如果只有一列组被提供，相等地一个逗号分隔的用户列跟在空格后面或并不意味着只有给定的用户，则在一行的开头添加一个空格。(?)

一个特殊的 * 说明所有的用户都有权限访问服务。

刷新 Service Level Authorization 配置

NameNode 和JobTracker的服务层认证配置可以在不重启任何一个Hadoop管理守护进程的情况下被修改。集群管理者可以在管理节点上和命令NameNode
和 JobTracker通过-refreshServiceAcl切换到dfsadmin和mradmin命令重新载入他们的相关配置来改变$HADOOP_CONF_DIR/hadoop-policy.xml 。

刷新 NameNode上的服务层认证配置：

   $ bin/hadoop dfsadmin -refreshServiceAcl

刷新 JobTracker上的服务层认证配置：

   $ bin/hadoop mradmin -refreshServiceAcl

当然，也可以在 $HADOOP_CONF_DIR/hadoop-policy.xml 中用 security.refresh.policy.protocol.acl 属性限制对特定用户/组刷新服务层认证配置的访问能力 。

示例

只允许 alice, bob 和在 mapreduce 组中的用户提交作业到
MapReduce 集群:

<property>
     <name>security.job.submission.protocol.acl</name>
     <value>alice,bob mapreduce</value>
</property>

只允许 DataNodes 运行，当属于datanodes组的用户与NameNode通信：

<property>
     <name>security.datanode.protocol.acl</name>
     <value>datanodes</value>
</property>

允许任何用户作为 DFSClient与 HDFS 集群通话 :

<property>
     <name>security.client.protocol.acl</name>
     <value>*</value>
</property>

Hadoop-2.2.0中文文档—— Common - 服务层认证