サービスで LDAP 認証を有効にした後、サービスにアクセスする際には LDAP のユーザー名とパスワードを入力する必要があります。これにより、サービスのセキュリティが向上します。EMR コンソールで簡単な操作を行うだけで、サービスの LDAP 認証を有効にできます。これにより、LDAP 認証の複雑な構成作業が不要になります。
前提条件
Trino および OpenLDAP サービスを選択してクラスターを作成します。詳細については、「クラスターの作成」をご参照ください。
注意事項
-
EMR-3.43.1 または EMR-5.9.1 で LDAP 認証を有効にした後、クラスターに接続できない場合、ワーカーノードの構成が欠落していることが原因である可能性があります。この問題を解決するには、master-1-1 ノードにログインし、Presto の config.properties ファイルで
internal-communication.shared-secretパラメーターとその値を見つけます。次に、EMR コンソールで、この構成をコアノードグループとタスクノードグループに追加します。設定項目の追加方法の詳細については、「設定項目の追加」をご参照ください。 -
Trino では、LDAP 認証と Kerberos は相互排他的です。一度に有効にできるのはどちらか一方のみです。
操作手順
-
EMR ユーザーを追加します。詳細については、「ユーザーの追加」をご参照ください。
[サービス] タブに移動します。
EMR コンソールにログインします。
左側のナビゲーションウィンドウで、EMR on ECS をクリックします。
上部のナビゲーションバーで、クラスターが存在するリージョンを選択し、ビジネス要件に基づいてリソースグループを選択します。
EMR on ECS ページで、目的のクラスターを見つけ、[操作] 列の サービス をクリックします。
-
LDAP 認証を有効にします。
-
Services ページで、Trino サービスを見つけ、Status をクリックします。
-
Trino サービスの LDAP を有効にします。
-
EMR-5.11.1 以降および EMR-3.45.1 以降の場合：
-
サービスの概要 セクションで、TrinoLDAP スイッチをオンにします。
-
表示されるダイアログボックスで、決定 をクリックします。
-
-
EMR-5.11.0 以前および EMR-3.45.0 以前の場合：
重要専用のボタンがない旧バージョンの EMR では、LDAP 認証を手動で構成する必要があります。詳細については、関連するオープンソースのドキュメントをご参照ください。
-
Components セクションで TrinoMaster を見つけ、[操作] 列で
を選択します。 -
表示されるダイアログボックスで、Execution Reason を入力し、決定 をクリックします。
-
Confirm ダイアログボックスで、決定 をクリックします。
-
-
-
TrinoMaster を再起動します。
-
Components セクションで TrinoMaster を見つけ、[操作] 列の restart をクリックします。
-
表示されるダイアログボックスで、Execution Reason を入力し、OK をクリックします。
-
Confirm ダイアログボックスで、OK をクリックします。
-
-
-
Trino サービスに接続します。
LDAP 認証を有効にした後、LDAP 認証情報を使用して Trino にアクセスする必要があります。
-
SSH 経由でクラスターに接続します。詳細については、「クラスターへのログイン」をご参照ください。
-
次のコマンドを実行して Trino にアクセスします。
重要高セキュリティを有効にすると、Trino には HTTPS 経由でのみアクセスできます。ポート 9090 は無効になり、http-server.http.port パラメーターは無視されます。したがって、ポート 7778 を使用して Trino にアクセスする必要があります。
trino --server https://{fqdn}:7778 --keystore-path {keystore_location} \ --keystore-password {keystore_passwd} --catalog hive --user {user} --passwordパラメーター
説明
{fqdn}
Trino コーディネーターノードの完全修飾ドメイン名 (FQDN) です。
EMR コンソールで、Trino サービスの Configure タブに移動します。専用設定ノード と master-1-1 を選択します。次に、ldap.url パラメーターを見つけて FQDN を取得します。フォーマットは
master-1-1.c-xxxxxxx.cn-x******.emr.aliyuncs.comです。{keystore_location}
キーストアのパスです。
これは、config.properties ファイル内の
http-server.https.keystore.pathの値です。値は/etc/emr/trino-conf/keystoreです。{keystore_passwd}
キーストアのパスワードです。
これは、config.properties ファイル内の
http-server.https.keystore.keyの値です。値を取得するには、master-1-1 ノードで次のコマンドを実行します：awk -F= '/http-server.https.keystore.key/{print $2}' ${TRINO_CONF_DIR}/config.properties{user}
LDAP ユーザー名です。これは、ステップ 1 で追加したユーザー名です。
コマンドを実行した後、プロンプトが表示されたらパスワードを入力します。これは、ステップ 1 でユーザーに設定した LDAP パスワードです。
-
-
オプション： LDAP 認証を無効にします。
-
Services ページで、Trino サービスを見つけ、Status をクリックします。
-
Trino サービスの LDAP を無効にします。
-
EMR-5.11.1 以降および EMR-3.45.1 以降の場合：
-
サービスの概要 セクションで、TrinoLDAP スイッチをオフにします。
-
表示されるダイアログボックスで、OK をクリックします。
-
-
EMR-5.11.0 以前および EMR-3.45.0 以前の場合：
-
Components セクションで TrinoMaster を見つけ、[操作] 列で
を選択します。 -
表示されるダイアログボックスで、Execution Reason を入力し、決定 をクリックします。
-
Confirm ダイアログボックスで、決定 をクリックします。
-
-
-
TrinoMaster を再起動します。
-
Components セクションで TrinoMaster を見つけ、[操作] 列の restart をクリックします。
-
表示されるダイアログボックスで、Execution Reason を入力し、OK をクリックします。
-
Confirm ダイアログボックスで、OK をクリックします。
-
-