0033-如何在Hue中使用Sentry-低调大师

0033-如何在Hue中使用Sentry

2018-11-21 826

温馨提示：要看高清无码套图，请使用手机打开并单击图片放大查看。

1.文档编写目的

本文档讲述如何通过Hue管理Sentry权限，您将学习到以下知识：

1.如何使用Hue创建用户

2.如何使用Hue为hive用户组授权超级权限

3.如何使用Hue验证授权

文档主要分为以下几步：

1.使用Hue创建测试用户

2.授权hive组为管理员

3.创建角色并授权验证

4.备注

这篇文档将重点介绍如何使用Hue管理Sentry权限，并基于以下假设：

1.CDH集群运行正常

2.集群已启用Kerberos

3.集群已安装Sentry服务，已和HDFS/Hive/Impala/Hue服务集成

以下是本次测试环境，但不是本操作手册的硬限制：

1.操作系统：CentOS 6.5

2.CDH和CM版本为5.12.1

3.采用root用户进行操作

4.Hue的管理员账号为admin

2.在Hue上创建用户

通过Hue管理员分别创建用户hive/fayson_d/fayson_a/fayson_c/fayson_h，hive用户所属组为hive组，其它用户所属组也与用户名称一样。

注意：确保以上用户在集群所有节点均存在。

1.使用admin用户登录Hue

2.进入用户管理，创建hive的组

点击“Add group”保存新建的组

3.创建hive用户（以创建hive用户为例）

3.授权hive组为管理员

1.使用hive用户登录Hue

2.点击Hue左上角菜单，进入Security界面

3.创建管理员角色admin，并授权给hive组

点击上图右边“Click here to add some”

点击保存，显示server1所拥有的角色

点击刷新按钮，查看是否有权限

hive用户可以查看到server1下所有的数据库和表

4.创建角色并授权验证

4.1库级别授权

使用hive用户创建一个对default库有只读（SELECT）权限的角色dread，并授权给fayson_d用户组，所属该用户组的用户对default库下所有表只有SECLET权限没有INSERT权限。

添加角色并授权

点击保存并查看

4.2库授权验证

使用fayson_d用户登录Hue，可以看到default下所有表

Hive验证

对test表进行select、count和insert操作

只读权限所以INSERT操作失败

对test_hive_delimiter表进行select、count和insert操作

Impala验证

对test表进行select、count和insert操作

对test_hive_delimiter表进行select、count和insert操作

File Browser验证

无权限访问/warehouse目录下的fayson库的数据目录

test表为内部表，数据目录为/user/hive/warehouse/test

可以查看test表的数据文件

test_hive_delimiter表为外部表,数据目录为/fayson/test_hive_delimiter

可以查看/fayson/test_hive_delimiter目录下的数据文件

无权限编辑数据文件

结论：fayson_d用户可以使用Hive/Impala查看所有default库下的表，但是没有insert权限，插入表失败。对应到HDFS目录，可以查看所有目录文件夹，并查看文件内容，但是无法修改文件内容。说明Sentry实现了HDFS ACL的同步。

4.3表级别授权

使用hive用户创建一个对default库下test表有所有（ALL）操作权限的角色testall，并授权给fayson_a用户组，所属该用户组下的所有用户能对default.test表SELECT、INSERT。

创建角色并授权

点击保存并查看

4.4表授权验证

使用fayson_a登录Hue，可以看到default库下的test表

Hive验证

可以对test表进行select、count和insert操作

Impala验证

可以对test表进行select、count和insert操作

File Browser验证

可以浏览/user/hive/warehouse目录

可以查看/user/hive/warehouse/test目录下的数据文件

可以向/user/hive/warehouse/test目录下上传数据文件

可以删除数据文件

结论：fayson_a用户可以使用Hive/Impala查看所有default库下的表，并能执行insert操作。对应到HDFS目录，可以查看所有目录文件夹，并查看文件内容，同时还能上传新的文件。说明Sentry实现了HDFS ACL的同步。

4.5列级别授权

使用hive用户创建一个对test表的s1列有只读（SELECT）权限的角色testcolumn，并授权给fayson_c用户。所属该用户组下的所有用户对test表的s1列只有SELECT权限。

添加角色并授权

点击保存并查看

4.6列授权验证

使用fayson_c登录Hue，可以看到default库下的test表

Hive验证

对test表进行select、count和insert操作

由于只有s1列的SELECT权限，所以不能查看所有列（*）

只可以查看有权限的列

只能count那一列

无法插入新的数据

Impala验证

对test表进行select、count和insert操作

由于只有s1列的SELECT权限，所以不能查看所有列（*）

只可以查看有权限的列

只能count那一列

无法插入新的数据

File Browser验证

无权限访问/user/hive/warehouse/test目录

结论：fayson_c用户使用Hive/Impala只能查看test表的s1列，无法对整表select *，无法执行insert操作。对应到HDFS目录，不能查看相应目录文件夹/文件，同时无法上传新的文件。说明Sentry实现了HDFS ACL的同步。

4.7HDFS URI授权

使用hive用户创建一个角色，并授权给fayson_h用户组

授权hdfsall角色对fayson库有所有权限
授权hdfsall角色对HDFS目录/fayson_data/test_hive有所有（ALL）权限

所属该用户组下的所有用户均对fayson库有所有操作权限，对/fayson_data /test_hive目录有所有权限，在fayson库下创建外部表只能指向/fayson_data /test_hive目录

创建角色并授权

点击保存，查看创建的角色

4.7HDFS URI授权验证

授权验证

使用fayson_h用户登录Hue，可以看到fayson库

在fayson库下创建外部表,执行如下建表语句

create external table test_hive
(
  id int,
  name string,
  address string
)
row format delimited fields terminated by ','
stored as textfile location '/fayson_data/test_hive';

表创建成功

删除test_hive表

向test_hive表插入数据

使用hive用户将hdfs的授权权限删除，再次测试

使用fayson_h用户在fayson库下再次创建表，表创建失败。

File Browser验证

访问fayson库数据目录/user/hive/warehouse/fayson.db

访问外部表数据目录/fayson_data/test_hive

不能向外部表数据目录上传数据文件

无权限删除外部表数据目录下文件

访问内部表数据目录/user/hive/warehouse/fayson.db/test

可以向/user/hive/warehouse/fayson.db/test数据目录上传数据

可以删除/user/hive/warehouse/fayson.db/test目录下的数据文件

测试总结：

fayson_h用户对fayson库有所有权限，在create table test_hive的时候，如果不指定location，默认的数据目录为/user/hive/warehouse/fayson.db/test_hive。如果创建外部表如create external table test_hivexxx location /fayson_data/test_hive的时候，若不授权/fayson_data/test_hive目录的ALL权限给fayson_h，fayson_h是不能创建表的。

注：对于上述测试不能向外部表插入数据。

5.备注

以上操作都是使用Hue界面操作，由于集群开启Kerberos，要使用命令行操作需要为上述用户创建Kerberos账号，否则不能在命令行正常使用。
Sentry的URI授权，主要是用于非hive用户创建外部表时对HDFS数据目录授权。Sentry授权的URI可以指向外部表的数据目录，也可以指向外部表数据目录的父目录，指向父目录则父目录下的所有子目录都可以为外部表的数据目录。

醉酒鞭名马，少年多浮夸！岭南浣溪沙，呕吐酒肆下！挚友不肯放，数据玩的花！
温馨提示：要看高清无码套图，请使用手机打开并单击图片放大查看。

推荐关注Hadoop实操，第一时间，分享更多Hadoop干货，欢迎转发和分享。

原创文章，欢迎转载，转载请注明：转载自微信公众号Hadoop实操

微信关注我们

原文链接：https://yq.aliyun.com/articles/672578

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

HBase+Spark技术双周刊第1期

精彩直播 HBase多模式 HBase多模式，包括分析层：支持复杂分析、算子下推；多模式层：提供各种模型转换，贴切业务；索引引擎：提供索引支持，基于 Lucene ；存储引擎：提供 KV 支持，基于LSM；分布式文件层：保障低成本、与上层分离、共享降低成本。本次直播，阿里云数据架构师明惠就为大家分享HBase多模式。 HBase内核及能力 HBase内核及能力包括：HBase的特性与生态：自动分区、LSM Tree、存储计算分离、HBase生态；全新的HBase2.0版本新功能：小对象存储MOB、读写链路Off-heap 、Region Replica 、In Memory Compaction 、Assignment MangerV2。在本次直播中，阿里巴巴技术专家正研就将为大家分享HBase内核及能力。中国HBase技术社区第八届MeetUp（南京站） ——HBase应用实践专场【培训视频及资料下载】 2018年11月17号，由中国HBase技术社区、DataFun社区联合氪空间主办的中国第八届HBase Meetup将来到南京，届时来自阿里云、毕马威、苏宁等公司HBase的...

2018-11-22

927

温馨提示：要看高清无码套图，请使用手机打开并单击图片放大查看。 1.问题描述 cloudera-scm-server服务启动失败，日志报错如下： 2017-09-10 10:23:47,267 ERROR main:com.cloudera.enterprise.dbutil.DbUtil: InnoDB engine not found. Show engines reported: [MRG_MYISAM, CSV, MyISAM, MEMORY] 2017-09-10 10:23:47,268 ERROR main:com.cloudera.server.cmf.bootstrap.EntityManagerFactoryBean: InnoDb engine isn't present or enabled. SCM requires InnoDb MySQL db engine. 2.问题复现测试环为CDH5.12.1，以下为复现步骤。将/tmp目录修改为755权限 [root@ip-172-31-6-148 /]# chmod 755 tmp/ [root@ip-172...

2018-11-22

687

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。