E-MapReduce:Kerberos

クラスターで Kerberos 認証を有効にすると、次のメリットが得られます。

• クライアント：信頼できるクライアントが認証され、ジョブを適切に送信できます。悪意のあるユーザーが他のユーザーになりすましてクラスターにアクセスすることはできません。これにより、悪意のあるユーザーがクライアントとしてジョブを送信することを効果的に防ぎます。

• サーバー：クラスター内のすべてのサービスは信頼されており、キーを使用して相互に通信できます。これにより、サービス偽装攻撃を防ぎます。

Kerberos 認証はクラスターのセキュリティ向上に役立ちますが、クラスター使用の複雑さが増します。

• Kerberos 認証を有効にした後、送信するジョブに Kerberos 認証関連のコンテンツを追加する必要があります。

• Kerberos 認証を有効にする前に、Kerberos の仕組みと効率的な使用方法を理解する必要があります。

• クラスターで Kerberos 認証を有効にすると、クラスター内のサービス間の通信に Kerberos 認証が必要になります。Kerberos 認証には時間がかかります。クラスター内のジョブは、Kerberos 認証が無効になっている同じ仕様のクラスター内のジョブよりも長い処理時間が必要になります。

Kerberos 認証には、次のオブジェクトが含まれます。

• キー配布センター (KDC)：Kerberos サーバーです。

• クライアント：サービスにアクセスする必要があるクライアント (プリンシパル) です。KDC とサービスは、クライアントの ID を認証します。

• サービス：HDFS、YARN、HBase など、Kerberos と統合されたクラスターのサービスです。

次の図は、Kerberos 認証プロセスを示しています。

Kerberos 認証プロセスは、2 つの段階に分かれています。

• ステージ 1：KDC ベースの ID 認証

  クライアントが Kerberos と統合されたクラスター内のサービスにアクセスする前に、KDC によって認証される必要があります。

  クライアントが認証されると、チケット発行チケット (TGT) を取得します。その後、クライアントはこの TGT を使用してクラスター内のサービスにアクセスできます。

• ステージ 2：サービスベースの ID 認証

  クライアントが TGT を取得した後、その TGT を使用してクラスター内のサービスにアクセスできます。

  クライアントは TGT とアクセスしたいサービスの名前を使用して KDC からサービス発行チケット (SGT) を取得し、その SGT を使用してサービスにアクセスします。たとえば、サービスが HDFS の場合、サービスは関連情報を使用してクライアントを認証します。クライアントが認証されると、サービスにアクセスできるようになります。

次の KDC ソースがサポートされています。

• [セルフマネージド KDC]：クラスターによって作成される KDC です。これはデフォルト値です。

• [外部 KDC]：外部の KDC です。この場合、外部 KDC に関連するパラメーターを設定する必要があります。詳細については、「EMR クラスターを外部 KDC に接続する」をご参照ください。