跳到主要内容

Hadoop 服务级别授权

介绍​

Hadoop服务级别授权（Service Level Authorization）是Hadoop安全机制中的一个重要组成部分。它用于控制用户或组对Hadoop集群中特定服务的访问权限。通过服务级别授权，管理员可以限制哪些用户或组可以访问HDFS、YARN、MapReduce等服务，从而增强集群的安全性。

服务级别授权通过Hadoop的配置文件进行管理，通常涉及hadoop-policy.xml文件。该文件定义了哪些用户或组可以访问哪些服务。

配置服务级别授权​

1. 启用服务级别授权​

首先，需要在core-site.xml中启用服务级别授权。添加以下配置：

xml
<property>
  <name>hadoop.security.authorization</name>
  <value>true</value>
</property>

2. 配置hadoop-policy.xml​

接下来，在hadoop-policy.xml中定义服务级别授权规则。以下是一个示例配置：

xml
<configuration>
  <property>
    <name>security.service.authorization.default.acl</name>
    <value>*</value>
    <description>默认情况下，所有用户都可以访问所有服务。</description>
  </property>

  <property>
    <name>security.service.authorization.client.protocol.acl</name>
    <value>alice,bob</value>
    <description>只有alice和bob可以访问ClientProtocol服务。</description>
  </property>

  <property>
    <name>security.service.authorization.datanode.protocol.acl</name>
    <value>admin</value>
    <description>只有admin组的用户可以访问DataNodeProtocol服务。</description>
  </property>
</configuration>

3. 重启Hadoop服务​

配置完成后，需要重启Hadoop服务以使更改生效。

实际应用场景​

场景1：限制HDFS访问​

假设你希望只有特定的用户组（如hdfs-admins）能够访问HDFS的ClientProtocol服务。你可以在hadoop-policy.xml中添加以下配置：

xml
<property>
  <name>security.service.authorization.client.protocol.acl</name>
  <value>hdfs-admins</value>
</property>

这样，只有hdfs-admins组的用户才能访问HDFS的ClientProtocol服务。

场景2：限制YARN访问​

假设你希望只有yarn-admins组的用户能够访问YARN的ResourceManagerAdministrationProtocol服务。你可以在hadoop-policy.xml中添加以下配置：

xml
<property>
  <name>security.service.authorization.resourcemanager.administration.protocol.acl</name>
  <value>yarn-admins</value>
</property>

这样，只有yarn-admins组的用户才能访问YARN的ResourceManagerAdministrationProtocol服务。

总结​

Hadoop服务级别授权是保护Hadoop集群安全的重要机制。通过合理配置hadoop-policy.xml，管理员可以精确控制哪些用户或组可以访问哪些服务，从而有效防止未经授权的访问。

提示

在实际生产环境中，建议定期审查和更新服务级别授权配置，以确保集群的安全性。

附加资源​

练习​

  1. 在你的Hadoop集群中启用服务级别授权，并配置hadoop-policy.xml以限制特定服务的访问权限。
  2. 尝试创建一个新的用户组，并配置该组只能访问HDFS的ClientProtocol服务。
  3. 测试配置是否生效，确保只有授权用户或组可以访问受限服务。