Configure LDAP authentication for Kyuubi Gateway - E-MapReduce

LDAP kimlik doğrulamasını etkinleştirmek Kyuubi güvenliğini artırır. Bu yapılandırma, istemcilerin bir Kyuubi Server'a bağlanmak, Spark oturumu başlatmak ve SQL sorgularını çalıştırmak için geçerli bir kullanıcı adı ve parola sağlamasını gerektirir. Böylece hassas verilere ve özelliklere yetkisiz erişim engellenir.

Ön Koşullar

Bir Kyuubi Gateway ve bir belirteç oluşturun. Daha fazla bilgi için Gateway yönetimi konusuna bakın.

Aşağıdaki motor sürümleri önerilir:
- esr-4.x: esr-4.3.0 veya üzeri.
- esr-3.x: esr-3.3.0 veya üzeri.
- esr-2.x: esr-2.7.0 veya üzeri.
(İsteğe bağlı) Alibaba Cloud EMR on ECS kümesinin OpenLDAP hizmetini kullanmak istiyorsanız OpenLDAP hizmetini içeren bir küme oluşturmanız ve kullanıcılar eklemeniz gerekir. Daha fazla bilgi için Küme oluşturma ve OpenLDAP kullanıcı yönetimi konularına bakın.

Yordam

Adım 1: Ağı hazırlayın

Başlamadan önce EMR Serverless Spark ile Virtual Private Cloud (VPC) arasında ağ bağlantısı olduğundan emin olun. Bu bağlantı Kyuubi Gateway'in kimlik doğrulama için LDAP hizmetinize bağlanmasını sağlar. Talimatlar için EMR Serverless Spark ile diğer VPC'ler arasındaki ağ bağlantısı konusuna bakın.

Adım 2: Kyuubi Gateway'i yapılandırın

Bir Kyuubi Gateway için LDAP kimlik doğrulamasını etkinleştirmek üzere öncelikle gateway'i durdurun. Ardından Kyuubi Gateway'i düzenleyin, Normal Network Connection açılır listesinden bağlantı adını seçin ve Kyuubi Configuration bölümüne aşağıdaki parametreleri ekleyin. Düzenlemeyi tamamladıktan sonra değişikliklerin uygulanması için Kyuubi Gateway'i yeniden başlatın.

kyuubi.authentication                       LDAP
kyuubi.authentication.ldap.baseDN           <ldap_base_dn>
kyuubi.authentication.ldap.userDNPattern    <ldap_user_pattern>
kyuubi.authentication.ldap.binddn           <ldap_bind_dn>
kyuubi.authentication.ldap.bindpw           <ldap_bind_pwd>
kyuubi.authentication.ldap.url              ldap://<ldap_url>:<ldap_port>/

Bu tabloda parametreler açıklanmaktadır. Yer tutucu değerleri kendi bilgilerinizle değiştirin.

Not

Alibaba Cloud EMR on ECS kümesinin OpenLDAP hizmetine bağlanıyorsanız örnek değerlere başvurabilirsiniz.

Parametre	Açıklama	Örnek
`kyuubi.authentication`	LDAP kimlik doğrulamasını etkinleştirmek için `LDAP` olarak ayarlayın.	`LDAP`
`kyuubi.authentication.ldap.baseDN`	LDAP hizmetindeki aramalar için temel ayırt edici ad (DN).	`o=emr`
`kyuubi.authentication.ldap.userDNPattern`	Oturum açma kullanıcı adını tam bir LDAP DN'sine dönüştürmek için kullanılan desen.	`uid=%s,ou=people,o=emr` Örneğin `test` adlı bir kullanıcı oturum açtığında sistem doğrulama için kullanıcı adını `uid=test,ou=people,o=emr` DN'sine dönüştürür.
`kyuubi.authentication.ldap.binddn`	LDAP hizmetine bağlanmak için kullanılan DN.	`uid=admin,o=emr`
`kyuubi.authentication.ldap.bindpw`	Bağlantı DN'sinin parolası.	OpenLDAP hizmetinin yapılandırmasındaki admin_pwd parametresinin değerini bulun.
`kyuubi.authentication.ldap.url`	LDAP hizmeti için bağlantı URL'si. Biçim şöyledir: `ldap://<ldap_url>:<ldap_port>`.	`<ldap_url>` değerini ana düğümün iç IP adresine veya alan adına ayarlayın. `<ldap_port>` varsayılan olarak 10389'dur. Örneğin: ldap://master-1-1.c-xxxxxxxxxx.cn-hangzhou.emr.aliyuncs.com:10389. Not LDAP yüksek kullanılabilirliğe sahip bir hizmetse birden çok LDAP bağlantı adresini boşlukla ayırmanız gerekir. Örneğin: `ldap://<ldap_url_1>:<ldap_port> ldap://<ldap_url_2>:<ldap_port>`.

Adım 3: Kyuubi Gateway'e bağlanın

Bu bölümde iki yaygın bağlantı yöntemi sunulmaktadır. Kyuubi Gateway'e bağlanmadan önce aşağıdaki yer tutucuları kendi bilgilerinizle değiştirin:

<endpoint>: Overview sekmesindeki Endpoint (Public) veya Endpoint (Internal) bilgisi.

Dahili uç noktayı kullanırsanız Kyuubi Gateway'e erişim aynı VPC içindeki kaynaklarla sınırlıdır.
<token>: Token Management sekmesindeki belirteç bilgisi.
<port>: Bağlantı noktası numarası. Genel uç nokta üzerinden erişim için bağlantı noktası 443 dahili aynı bölge uç noktası üzerinden erişim için ise 80'dir.
<username> ve <password>: LDAP hizmetinde oturum açmak için kullanılan kullanıcı adı ve parola. Alibaba Cloud EMR on ECS kümesinin OpenLDAP hizmetine bağlanıyorsanız EMR on ECS'teki Users sayfasında eklediğiniz kullanıcı adı ve parolayı kullanın.

Yöntem 1: kyuubi-beeline CLI kullanın

Kullanıcı adı ve parolayı doğrudan belirtin: Kimlik bilgilerini komut satırı bağımsız değişkenleri olarak doğrudan sağlayabilirsiniz ancak bu yöntem parolayı açığa çıkarır.
```
kyuubi-beeline -u 'jdbc:hive2://<endpoint>:<port>/;transportMode=http;httpPath=cliservice/token/<token>' -n <username> -p <password>
```
Parolayı etkileşimli olarak girin: Daha iyi güvenlik için -p seçeneğinden parolayı çıkarın. Bu durumda parola manuel olarak girilmesi istenir ve girilen karakterler görüntülenmez.
```
kyuubi-beeline -u 'jdbc:hive2://<endpoint>:<port>/;transportMode=http;httpPath=cliservice/token/<token>' -n <username> -p
```

Yöntem 2: JDBC URL kullanın

Bir Java programı gibi başka bir uygulamadan bağlanmak veya eksiksiz bir JDBC URL'si oluşturmak için aşağıdaki biçimi kullanın.

jdbc:hive2://<endpoint>:<port>/;transportMode=http;httpPath=cliservice/token/<token>;user=<username>;password=<password>