Configure LDAP authentication for Kyuubi Gateway - E-MapReduce - Centro de documentación de Alibaba Cloud

Habilitar la autenticación LDAP mejora la seguridad de Kyuubi. Con esta configuración, los clientes deben proporcionar un nombre de usuario y una contraseña válidos para conectarse a un servidor Kyuubi, iniciar una sesión de Spark y ejecutar consultas SQL. De este modo, se evita el acceso no autorizado a datos y funciones sensibles.

Requisitos previos

Cree un Kyuubi Gateway y un token. Para obtener más información, consulte Gateway management.

Se recomiendan las siguientes versiones del motor:
- esr-4.x: esr-4.3.0 o posterior.
- esr-3.x: esr-3.3.0 o posterior.
- esr-2.x: esr-2.7.0 o posterior.
(Opcional) Si desea utilizar el servicio OpenLDAP de un clúster de Alibaba Cloud EMR on ECS, debe crear un clúster que incluya dicho servicio y agregar usuarios. Para obtener más información, consulte Create a cluster y OpenLDAP user management.

Procedimiento

Paso 1: Preparar la red

Antes de empezar, asegúrese de que exista conectividad de red entre EMR Serverless Spark y su Virtual Private Cloud (VPC). Esto permite que el Kyuubi Gateway se conecte a su servicio LDAP para la autenticación. Para consultar las instrucciones, vea Network connectivity between EMR Serverless Spark and other VPCs.

Paso 2: Configurar Kyuubi Gateway

Para habilitar la autenticación LDAP en un Kyuubi Gateway, primero detenga el gateway. Después, edite el Kyuubi Gateway, seleccione el nombre de la conexión en la lista desplegable Normal Network Connection y agregue los siguientes parámetros en la sección Kyuubi Configuration. Cuando termine de editar, reinicie el Kyuubi Gateway para aplicar los cambios.

kyuubi.authentication                       LDAP
kyuubi.authentication.ldap.baseDN           <ldap_base_dn>
kyuubi.authentication.ldap.userDNPattern    <ldap_user_pattern>
kyuubi.authentication.ldap.binddn           <ldap_bind_dn>
kyuubi.authentication.ldap.bindpw           <ldap_bind_pwd>
kyuubi.authentication.ldap.url              ldap://<ldap_url>:<ldap_port>/

La siguiente tabla describe los parámetros. Reemplace los valores de marcador de posición con su información real.

Nota

Si se conecta al servicio OpenLDAP de un clúster de Alibaba Cloud EMR on ECS, puede tomar como referencia los valores de ejemplo.

Parámetro	Descripción	Ejemplo
`kyuubi.authentication`	Establezca este valor en `LDAP` para habilitar la autenticación LDAP.	`LDAP`
`kyuubi.authentication.ldap.baseDN`	El nombre distintivo (DN) base para las búsquedas en el servicio LDAP.	`o=emr`
`kyuubi.authentication.ldap.userDNPattern`	El patrón que se utiliza para convertir un nombre de usuario de inicio de sesión en un DN completo de LDAP.	`uid=%s,ou=people,o=emr` Por ejemplo, cuando un usuario llamado `test` inicia sesión, el sistema convierte el nombre de usuario en el DN `uid=test,ou=people,o=emr` para verificarlo.
`kyuubi.authentication.ldap.binddn`	El DN que se usa para vincularse al servicio LDAP.	`uid=admin,o=emr`
`kyuubi.authentication.ldap.bindpw`	La contraseña del DN de enlace.	Busque el valor del parámetro admin_pwd en la configuración del servicio OpenLDAP.
`kyuubi.authentication.ldap.url`	La URL de conexión del servicio LDAP. El formato es `ldap://<ldap_url>:<ldap_port>`.	Establezca `<ldap_url>` con la dirección IP interna o el nombre de dominio del nodo maestro. El valor predeterminado de `<ldap_port>` es 10389. Por ejemplo, ldap://master-1-1.c-xxxxxxxxxx.cn-hangzhou.emr.aliyuncs.com:10389. Nota Si LDAP es un servicio de alta disponibilidad, debe separar varias direcciones de conexión LDAP con un espacio. Por ejemplo, `ldap://<ldap_url_1>:<ldap_port> ldap://<ldap_url_2>:<ldap_port>`.

Paso 3: Conectarse a Kyuubi Gateway

A continuación se muestran dos métodos de conexión comunes. Antes de conectarse al Kyuubi Gateway, reemplace los siguientes marcadores de posición con su información real:

<endpoint>: La información de Endpoint (Public) o Endpoint (Internal) que aparece en la pestaña Overview.

Si utiliza el endpoint interno, el acceso al Kyuubi Gateway se restringe a los recursos dentro de la misma VPC.
<token>: La información del token disponible en la pestaña Token Management.
<port>: El número de puerto. Este valor es 443 para acceder mediante el endpoint público y 80 para acceder mediante el endpoint interno de la misma región.
<username> y <password>: El nombre de usuario y la contraseña para iniciar sesión en el servicio LDAP. Si se conecta al servicio OpenLDAP de un clúster de Alibaba Cloud EMR on ECS, utilice el nombre de usuario y la contraseña que agregó en la página Users de EMR on ECS.

Método 1: Usar la CLI kyuubi-beeline

Especificar el nombre de usuario y la contraseña directamente: puede proporcionar las credenciales como argumentos de la línea de comandos, pero este método expone la contraseña.
```
kyuubi-beeline -u 'jdbc:hive2://<endpoint>:<port>/;transportMode=http;httpPath=cliservice/token/<token>' -n <username> -p <password>
```
Introducir la contraseña de forma interactiva: para mayor seguridad, omita la contraseña en la opción -p. El sistema le pedirá que la introduzca manualmente y los caracteres no se mostrarán en pantalla.
```
kyuubi-beeline -u 'jdbc:hive2://<endpoint>:<port>/;transportMode=http;httpPath=cliservice/token/<token>' -n <username> -p
```

Método 2: Usar una URL JDBC

Utilice el siguiente formato para conectarse desde otra aplicación, como un programa Java, o para construir una URL JDBC completa.

jdbc:hive2://<endpoint>:<port>/;transportMode=http;httpPath=cliservice/token/<token>;user=<username>;password=<password>