今天hive user maillist上有人问show current roles命令问题：

1
2
3
4
5
6
I am trying to run ‘Show current roles’ on Apache hive  0.13 . 1  but getting following error,
hive> SHOW CURRENT ROLES;
Error in role operation show_current_role on role name  null , error message Unkown role operation show_current_role
FAILED: Execution Error,  return  code  1  from org.apache.hadoop.hive.ql.exec.DDLTask
Can someone tell me whether  this  command is supported on apache Hive  0.13 . 1  or not. If it is supported the what could be the issue.
Any pointer would be really helpful.

在我的印象中，这个命令应该不存在才对。。手动运行了一下，果然报错，仔细看日志，可以看到命令是可以完成parse和analyzer阶段的，运行的时候才会报错，按我的理解，如果sql不支持的话应该在parse阶段就会出错

1
2
3
4
5
6
7
8
9
14 / 11 / 20  11 : 22 : 55  INFO ql.Driver: Starting command: show current roles
14 / 11 / 20  11 : 22 : 55  INFO log.PerfLogger: </PERFLOG method=TimeToSubmit start= 1416453775411  end= 1416453775795  duration= 384  from=org.apache.hadoop.hive.ql.Driver>
14 / 11 / 20  11 : 22 : 55  INFO log.PerfLogger: <PERFLOG method=runTasks from=org.apache.hadoop.hive.ql.Driver>
14 / 11 / 20  11 : 22 : 55  INFO log.PerfLogger: <PERFLOG method=task.DDL.Stage- 0  from=org.apache.hadoop.hive.ql.Driver>
Error in role operation show_current_role on role name  null , error message Unkown role operation show_current_role
14 / 11 / 20  11 : 22 : 55  ERROR exec.Task: Error in role operation show_current_role on role name  null , error message Unkown role operation show_current_role
FAILED: Execution Error,  return  code  1  from org.apache.hadoop.hive.ql.exec.DDLTask
14 / 11 / 20  11 : 22 : 55  ERROR ql.Driver: FAILED: Execution Error,  return  code  1  from org.apache.hadoop.hive.ql.exec.DDLTask
14 / 11 / 20  11 : 22 : 55  DEBUG ql.Driver: Shutting down query show current roles

根据堆栈信息，show current roles命令是由DDLTask执行的，看其具体实现：

1
2
3
4
5
   private  int  roleDDL(RoleDDLDesc roleDDLDesc)  throws  HiveException, IOException {
     if (SessionState.get().isAuthorizationModeV2()){
       return  roleDDLV2(roleDDLDesc);   //如果是v2的验证方式，调用roleDDLV2
     }
....

在roleDDLV2中可以看到show current role命令的处理：

1
2
3
4
5
6
7
8
9
10
11
     private  int  roleDDLV2(RoleDDLDesc roleDDLDesc)  throws  HiveException, IOException {
     HiveAuthorizer authorizer = SessionState.get().getAuthorizerV2();
     RoleDDLDesc.RoleOperation operation = roleDDLDesc.getOperation();
     //call the appropriate hive authorizer function
     switch (operation){
...
     case  SHOW_CURRENT_ROLE:
       List<String> roleNames = authorizer.getCurrentRoleNames();
       writeListToFileAfterSort(roleNames, roleDDLDesc.getResFile());
       break ;
...

即show current role这个语法在v2里面支持，那么什么时候SessionState.get().isAuthorizationModeV2()为true呢？来看看SessionState类，isAuthorizationModeV2调用getAuthorizationMode，getAuthorizationMode调用setupAuth：

1
2
3
4
5
6
7
8
9
10
11
12
13
public  AuthorizationMode getAuthorizationMode(){
     setupAuth();    //调用setupAuth类设置authorizer和authorizerV2
     if (authorizer !=  null ){
       return  AuthorizationMode.V1;
     } else  if (authorizerV2 !=  null ){
       return  AuthorizationMode.V2;
     }
     //should not happen - this should not get called before this.start() is called
     throw  new  AssertionError( "Authorization plugins not initialized!" );
   }
   public  boolean  isAuthorizationModeV2(){
     return  getAuthorizationMode() == AuthorizationMode.V2;
   }

如果要让AuthorizationMode.V2成立，需要让authorizer为null,authorizerV2不为null才可以，设置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
authorizer和authorizerV2是在setupAuth方法中实现的
：
   private  HiveAuthorizationProvider authorizer;
   private  HiveAuthorizer authorizerV2;
...
   private  void  setupAuth() {
     if  (authenticator !=  null ) {
       // auth has been initialized
       return ;
     }
     try  {
...
       authorizer = HiveUtils.getAuthorizeProviderManager(conf,
           HiveConf.ConfVars.HIVE_AUTHORIZATION_MANAGER, authenticator,  true );   //hive.security.authorization.manager 默认为org.apache.hadoop.hive.ql.security.authorization.DefaultHiveAuthorizationProvider         
       if  (authorizer ==  null ) {  //authorizer的值为null时，才可以有机会返回v2
         // if it was null, the new authorization plugin must be specified in
         // config
         HiveAuthorizerFactory authorizerFactory = HiveUtils.getAuthorizerFactory(conf,
             HiveConf.ConfVars.HIVE_AUTHORIZATION_MANAGER);
         authorizerV2 = authorizerFactory.createHiveAuthorizer( new  HiveMetastoreClientFactoryImpl(),
             conf, authenticator);
         authorizerV2.applyAuthorizationConfigPolicy(conf);
         // create the create table grants with new config
         createTableGrants = CreateTableAutomaticGrant.create(conf);
       }
..

因为hive.security.authorization.manager默认为org.apache.hadoop.hive.ql.security.authorization.DefaultHiveAuthorizationProvider，所以为authorizer为V1，要想设置为v2，需要让HiveUtils.getAuthorizeProviderManager返回null
HiveUtils.getAuthorizeProviderManager中可以获取设置的authorizer的具体实现类

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
   public  static  HiveAuthorizationProvider getAuthorizeProviderManager(
       Configuration conf, HiveConf.ConfVars authorizationProviderConfKey,
       HiveAuthenticationProvider authenticator,  boolean  nullIfOtherClass)  throws  HiveException {
     String clsStr = HiveConf.getVar(conf, authorizationProviderConfKey);  //由hive.security.authorization.manager的设置获取类名
     HiveAuthorizationProvider ret =  null ;
     try  {
       Class<?  extends  HiveAuthorizationProvider> cls =  null ;
       if  (clsStr ==  null  || clsStr.trim().equals( "" )) {  //如果为null或者设置为空，则实现类为DefaultHiveAuthorizationProvider
         cls = DefaultHiveAuthorizationProvider. class ;
       }  else  {
         Class<?> configClass = Class.forName(clsStr,  true , JavaUtils.getClassLoader());  //否则为具体的实现的类
         if (nullIfOtherClass && !HiveAuthorizationProvider. class .isAssignableFrom(configClass) ){  //配置的类和HiveAuthorizationProvider类没有关系时，返回null
           return  null ;
         }
         cls = (Class<?  extends  HiveAuthorizationProvider>)configClass;
       }
       if  (cls !=  null ) {
         ret = ReflectionUtils.newInstance(cls, conf);
       }
     }  catch  (Exception e) {
       throw  new  HiveException(e);
     }
     ret.setAuthenticator(authenticator);
     return  ret;
   }

如果要想返回v2，需要让设置的authorize相关类必须实现HiveAuthorizerFactory接口，且不能实现HiveAuthorizationProvider接口
反馈如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
Refer to the org.apache.Hadoop.hive.ql.exec.DDLTask.roleDDL function, AuthorizationMode 
doesn't support  SHOW CURRENT ROLES statement
But AuthorizationModeV2 supports  this :
private  int  roleDDLV2(RoleDDLDesc roleDDLDesc)  throws  HiveException, IOException {
…….
     case  SHOW_CURRENT_ROLE:
       List<String> roleNames = authorizer.getCurrentRoleNames();
       writeListToFileAfterSort(roleNames, roleDDLDesc.getResFile());
       break ;
But by  default ,hive uses AuthorizationMode (because the  default  value of 
hive.security.authorization.manager is
org.apache.hadoop.hive.ql.security.authorization.DefaultHiveAuthorizationProvider,
which means AuthorizationMode )
If you want to use AuthorizationModeV2,you must use another authorization  class
which  implements  the
org.apache.hadoop.hive.ql.security.authorization.plugin.HiveAuthorizerFactory  interface
but not the 
org.apache.hadoop.hive.ql.security.authorization.HiveAuthorizationProvider  interface