E-MapReduce:Kerberos

クラスターで Kerberos 認証を有効にすると、次のメリットが得られます。

• クライアント：信頼されたクライアントが認証され、正しくジョブを送信できます。悪意のあるユーザーが他のユーザーになりすましてクラスターにアクセスすることはできません。これにより、悪意のあるユーザーがクライアントとしてジョブを送信することを効果的に防止できます。

• サーバー：クラスター内のすべてのサービスが信頼され、キーを使用して相互に通信できます。これにより、サービス偽装攻撃を防止できます。

Kerberos 認証はクラスターのセキュリティ向上に役立ちますが、クラスターの使用がより複雑になります。

• Kerberos 認証を有効にした後は、送信するジョブに Kerberos 認証に関連する内容を追加する必要があります。

• Kerberos 認証を有効にする前に、Kerberos の動作原理と効率的な使用方法を理解する必要があります。

• クラスターで Kerberos 認証を有効にすると、クラスター内のサービス間の通信に Kerberos 認証が必要になります。Kerberos 認証には時間がかかります。クラスター内のジョブは、Kerberos 認証が無効になっている同じ仕様のクラスター内のジョブよりも処理時間が長くなります。

Kerberos 認証には、次のオブジェクトが含まれます。

• キー配布センター (KDC) ：Kerberos サーバー。

• クライアント：サービスにアクセスする必要があるクライアント (プリンシパル) 。KDC とサービスがクライアントの ID を認証します。

• サービス：HDFS、YARN、HBase といった、Kerberos と統合されたクラスターのサービス。

次の図は、Kerberos 認証プロセスを示しています。

Kerberos 認証プロセスは、2 つのステージに分かれています。

• ステージ 1 ：KDC ベースの ID 認証

  クライアントが Kerberos と統合されたクラスター内のサービスにアクセスする前に、クライアントは KDC による認証を受ける必要があります。

  クライアントが認証されると、クライアントはチケット発行チケット (TGT) を取得します。その後、クライアントは TGT を使用してクラスター内のサービスにアクセスできます。

• ステージ 2 ：サービスベースの ID 認証

  クライアントが TGT を取得すると、クライアントは TGT を使用してクラスター内のサービスにアクセスできます。

  クライアントは、TGT とアクセスするサービスの名前を使用して、KDC からサービスチケット (SGT) を取得し、SGT を使用してサービスにアクセスします。たとえば、サービスとして HDFS があります。その後、サービスは関連情報を使用してクライアントを認証します。クライアントが認証されると、クライアントはサービスにアクセスできます。

次の KDC ソースがサポートされています。

• [セルフマネージド KDC]：クラスターによって作成された KDC です。これがデフォルト値です。

• [外部 KDC]: 外部の KDC です。この場合、外部 KDC に関連するパラメーターを設定する必要があります。詳細については、「EMR クラスターを外部 KDC に接続する」をご参照ください。