E-MapReduce:Gérer l'authentification LDAP

Prérequis

Vous avez créé un cluster incluant les services Trino et OpenLDAP. Pour plus d'informations, consultez la rubrique Créer un cluster.

Notes d'utilisation

• Si vous ne parvenez pas à vous connecter à EMR V3.43.1 ou V5.9.1 après avoir activé LDAP, il manque probablement une configuration sur les nœuds de travail. Connectez-vous au nœud master-1-1 pour trouver la valeur du paramètre internal-communication.shared-secret dans le fichier Presto config.properties. Ajoutez ensuite cette configuration aux groupes de nœuds Core et Task dans la console. Pour savoir comment ajouter un élément de configuration, consultez la rubrique Ajouter un élément de configuration.

• L'authentification LDAP et Kerberos pour Trino sont mutuellement exclusives. Vous ne pouvez en activer qu'une seule à la fois.

Procédure

1. Ajoutez un utilisateur EMR. Pour plus d'informations, consultez la rubrique Ajouter un utilisateur.

2. Accédez à l'onglet Services.

   1. Connectez-vous à la console EMR.

   2. Dans le volet de navigation de gauche, cliquez sur EMR on ECS.

   3. Dans la barre de navigation supérieure, sélectionnez la région où réside votre cluster et choisissez un groupe de ressources selon vos besoins.

   4. Sur la page EMR on ECS, localisez le cluster souhaité et cliquez sur Services dans la colonne Actions.

3. Activez l'authentification LDAP.

   1. Sur la page Services, localisez le service Trino et cliquez sur Status.

   2. Activez LDAP.

      • Pour EMR V5.11.1 et versions ultérieures, ainsi que EMR V3.45.1 et versions ultérieures

        1. Dans la section Service Overview, activez l'interrupteur TrinoLDAP.

        2. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.

      • Pour EMR V5.11.0 et versions antérieures, ainsi que EMR V3.45.0 et versions antérieures

        Important

        Pour les versions EMR antérieures dépourvues de bouton dédié, vous devez configurer manuellement l'authentification LDAP. Pour plus d'informations, reportez-vous à la documentation open source pertinente.

        1. Dans la section Components, localisez TrinoMaster et choisissez > enableLDAP dans la colonne Actions.

        2. Dans la boîte de dialogue qui s'affiche, saisissez un motif dans le champ Execution Reason et cliquez sur OK.

        3. Dans la boîte de dialogue Confirm, cliquez sur OK.

   3. Redémarrez TrinoMaster.

      1. Dans la section Components, localisez TrinoMaster et cliquez sur restart dans la colonne Actions.

      2. Dans la boîte de dialogue qui s'affiche, saisissez un motif dans le champ Execution Reason et cliquez sur OK.

      3. Dans la boîte de dialogue Confirm, cliquez sur OK.

4. Connectez-vous au service Trino.

   1. Connectez-vous au cluster via SSH. Pour plus d'informations, consultez la rubrique Se connecter à un cluster.

   2. Exécutez la commande suivante pour accéder à Trino.

      Important

      Lorsque la haute sécurité est activée, vous devez utiliser le port 7778 pour accéder à Trino via HTTPS. Cela ferme le port d'origine 9090 et rend le paramètre http-server.http.port invalide.

      trino --server https://{fqdn}:7778 --keystore-path {keystore_location} \
      --keystore-password {keystore_passwd} --catalog hive --user {user} --password

      Parameter	Description
      {fqdn}	Le nom de domaine complet (FQDN) du nœud maître Trino. Dans l'onglet Configure de la page du service Trino dans la console E-MapReduce, sélectionnez Dedicated Node Configuration et master-1-1. Ensuite, affichez le paramètre ldap.url pour obtenir le FQDN du keystore. Le FQDN est au format master-1-1.c-xxxxxxx.cn-x******.emr.aliyuncs.com.
      {keystore_location}	Le chemin d'accès au keystore. Il s'agit de la valeur du paramètre http-server.https.keystore.path dans le fichier config.properties. Le chemin est /etc/emr/trino-conf/keystore.
      {keystore_passwd}	Le mot de passe du keystore. Il s'agit de la valeur du paramètre http-server.https.keystore.key dans le fichier config.properties. Vous devez récupérer le mot de passe vous-même. Exécutez la commande suivante sur le nœud master-1-1 pour le récupérer : awk -F= '/http-server.https.keystore.key/{print $2}' ${TRINO_CONF_DIR}/config.properties.
      {user}	Le nom d'utilisateur LDAP. Il s'agit du nom d'utilisateur que vous avez ajouté à l'étape Étape 1.

      Lorsque vous y êtes invité, saisissez le mot de passe LDAP défini à l'étape Étape 1.

5. Facultatif : Désactivez l'authentification LDAP.

   1. Sur la page Services, localisez le service Trino et cliquez sur Status.

   2. Désactivez LDAP.

      • Pour EMR V5.11.1 et versions ultérieures, ainsi que EMR V3.45.1 et versions ultérieures

        1. Dans la section Service Overview, désactivez l'interrupteur TrinoLDAP.

        2. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.

      • Pour EMR V5.11.0 et versions antérieures, ainsi que EMR V3.45.0 et versions antérieures

        1. Dans la section Components, localisez TrinoMaster et choisissez > disableLDAP dans la colonne Actions.

        2. Dans la boîte de dialogue qui s'affiche, saisissez un motif dans le champ Execution Reason et cliquez sur OK.

        3. Dans la boîte de dialogue Confirm, cliquez sur OK.

   3. Redémarrez TrinoMaster.

      1. Dans la section Components, localisez TrinoMaster et cliquez sur restart dans la colonne Actions.

      2. Dans la boîte de dialogue qui s'affiche, saisissez un motif dans le champ Execution Reason et cliquez sur OK.

      3. Dans la boîte de dialogue Confirm, cliquez sur OK.