ranger-kms安装

embedded/2024/11/17 22:08:21/

默认已安装ranger-admin和mysql服务。Ranger组件服务默认都在/opt/bigdata.test/core/ranger目录下安装。

    1. 解压安装包

[hadoop~]$ cd /opt/ranger

[hadoop@ ranger]$ tar -xzvf ranger-2.1.0-kms.tar.gz

[hadoop@x ranger]$ mv ranger-2.1.0-kms ranger/ranger-kms

    1. 修改install.properties

修改下列属性,没有出现的保持默认

[hadoop ranger-kms]$ more install.properties |grep -v "#"|grep -v ^$

PYTHON_COMMAND_INVOKER=python

DB_FLAVOR=MYSQL

SQL_CONNECTOR_JAR=/usr/share/java/mysql-connector-java.jar

db_root_user=root

db_root_password=xxxxx

db_host=-hadoop-0014:3318

#启用kerberos影响dbks-site.xml

db_name=rangerkms

db_user=rangerkms

db_password=xxxxx

ranger_kms_http_enabled=true

ranger_kms_https_keystore_file=

ranger_kms_https_keystore_keyalias=rangerkms

ranger_kms_https_keystore_password=

KMS_MASTER_KEY_PASSWD=Str0ngPassw0rd

kms_principal=rangerkms/x86-hadoop-0023.security.unicom@SECURITY.UNICOM

kms_keytab=/opt/key/rangerkms.keytab

hadoop_conf=/opt/hadoop/etc/hadoop/

#使用hadoop用户启动

unix_user=hadoop

unix_user_pwd=xxxxx

unix_group=hadoop

POLICY_MGR_URL=http://hadoop-0023:6080

REPOSITORY_NAME=kmsdev

SSL_KEYSTORE_FILE_PATH=/opt/ranger/kms/conf/ranger-plugin-keystore.jks

SSL_TRUSTSTORE_FILE_PATH=/opt/ranger/kms/conf/ranger-plugin-truststore.jks

RANGER_KMS_LOG_DIR=/opt/logs/ranger/kms

RANGER_KMS_PID_DIR_PATH=/opt/tmp/run/

    1. 运行./setup.sh安装

使install.properties生效,在$RANGER_HOME/ranger-kms/ews/webapp/WEB-INF/classes/conf下生成kms-site.xml和dbks-site.xml具体配置文件。对应mysql库生成保存密钥的表;

可能会报没权限创建/etc/ranger 需要先创建该目录

之后授权给hadoop权限,需要mkdir /etc/ranger 之后chown hadoop.hadoop /etc/ranger

授权hadoop权限,

后续会自动生成如下目录

执行安装语句

[root@hadoop-0023 ranger-kms]# ./setup.sh

....

Ranger Plugin for kms has been enabled. Please restart kms to ensure that changes are effective.

Installation of Ranger KMS is completed.

[hadoop@x86-hadoop-0023 conf]$ mysql -uroot -pXXX

MariaDB [rangerkms]> show tables;

+---------------------+

| Tables_in_rangerkms |

+---------------------+

| ranger_keystore     |

| ranger_masterkey    |

+---------------------+

2 rows in set (0.00 sec)

    1. 修改kms-site.xml

配置kerberos认证相关属性以及代理用户;任意principal转换成kms做代理。

hadoop@hadoop-0023 ~]$ cat /opt/ranger/ranger-kms/ews/webapp/WEB-INF/classes/conf/kms-site.xml |grep -v "#"|grep -v ^$

<configuration>

  <!-- KMS Backend KeyProvider -->

  <property>

    <name>hadoop.kms.key.provider.uri</name>

    <value>dbks://http@hadoop-0023:9292/kms</value>

      

  <!-- KMS Cache -->

  <property>

    <name>hadoop.kms.cache.enable</name>

    <value>true</value>

  </property>

  <property>

    <name>hadoop.kms.cache.timeout.ms</name>

    <value>600000</value>

  </property>

  <property>

    <name>hadoop.kms.current.key.cache.timeout.ms</name>

    <value>30000</value>

    

  </property>

  <!-- KMS Audit -->

  <property>

    <name>hadoop.kms.audit.aggregation.window.ms</name>

    <value>10000</value>

  </property>

  <!-- KMS Security -->

  <property>

    <name>hadoop.kms.authentication.type</name>

    <value>kerberos</value>

  </property>

  <property>

    <name>hadoop.kms.authentication.kerberos.keytab</name>

    <value>/opt/key/rangerkms.keytab</value>

  </property>

  <property>

    <name>hadoop.kms.authentication.kerberos.principal</name>

    <value>HTTP/hadoop-0023@SECURITY</value>

  </property>

  <property>

    <name>hadoop.kms.authentication.kerberos.name.rules</name>

    <value>RULE:[2:$1@$0](.*@.*SECURITY)s/.*/rangerkms/

           RULE:[1:$1@$0](.*@.*SECURITY)s/.*/rangerkms/

           DEFAULT</value>

    <description>

      Rules used to resolve Kerberos principal names. 

rangerkms是票据的名字不是安装用户的名字

    </description>

  </property>

  

  <property>

        <name>hadoop.kms.security.authorization.manager</name>

        <value>org.apache.ranger.authorization.kms.authorizer.RangerKmsAuthorizer</value>

  </property>

  <property>

        <name>hadoop.kms.proxyuser.rangeradmin.groups</name>

        <value>*</value>

  </property>

  <property>

        <name>hadoop.kms.proxyuser.rangeradmin.hosts</name>

        <value>*</value>

  </property>

  <property>

        <name>hadoop.kms.proxyuser.rangeradmin.users</name>

        <value>*</value>

  </property>

  <property>

        <name>hadoop.kms.proxyuser.rangerkms.groups</name>

        <value>*</value>

  </property>

  <property>

        <name>hadoop.kms.proxyuser.rangerkms.hosts</name>

        <value>*</value>

  </property>

  <property>

        <name>hadoop.kms.proxyuser.rangerkms.users</name>

        <value>*</value>

  </property>

</configuration>

    1. 修改hadoop的hdfs-sit.xml

cat hadoop/etc/hadoop/hdfs-site.xml

 <property>

   <name>dfs.encryption.zones.enabled</name>

   <value>true</value>

  </property>

  <property>

    <name>dfs.encryption.key.provider.uri</name>

    <value>kms://http@hadoop-0023:9292/kms</value>

  </property>

    1. 修改hadoop的core-site.xml

cat /opt/ranger/ranger-kms/ews/webapp/WEB-INF/classes/conf/core-site.xml |grep -v "#"|grep -v ^$

<property>

  <name>hadoop.security.auth_to_local</name>

  <value>

    RULE:[2:$1@$0](keyadmin.*@.*SECURITY)s/.*/keyadmin/

    RULE:[2:$1@$0](rangerkms.*@.*SECURITY)s/.*/rangerkms/

    RULE:[2:$1@$0](rangeradmin.*@.*SECURITY)s/.*/rangeradmin/

    DEFAULT

  </value>

  </property>

<!-- KMS Client Config -->

  <property>

    <name>hadoop.security.key.provider.path</name>

    <value>kms://http@hadoop-0023:9292/kms</value>

  <description>

    The KeyProvider to use when interacting with encryption keys used

    when reading and writing to an encryption zone.

  </description>

  <property>

     <name>dfs.encryption.key.provider.uri</name>

     <value>kms://http@hadoop-0023:9292/kms</value>

 </property>

<!-- KMS Client Config -->

  </property>

  <property>

    <name>hadoop.proxyuser.rangeradmin.users</name>

    <value>*</value>

</property>

  <property>

    <name>hadoop.proxyuser.rangeradmin.groups</name>

    <value>*</value>

</property>

<property>

    <name>hadoop.proxyuser.rangeradmin.hosts</name>

    <value>*</value>

</property>

<property>

    <name>hadoop.proxyuser.keyadmin.users</name>

    <value>*</value>

</property>

  <property>

    <name>hadoop.proxyuser.keyadmin.groups</name>

    <value>*</value>

</property>

<property>

    <name>hadoop.proxyuser.keyadmin.hosts</name>

    <value>*</value>

</property>

<property>

    <name>hadoop.proxyuser.hadoop.users</name>

    <value>*</value>

</property>

  <property>

    <name>hadoop.proxyuser.hadoop.groups</name>

    <value>*</value>

</property>

<property>

    <name>hadoop.proxyuser.hadoop.hosts</name>

    <value>*</value>

</property>

  <property>

        <name>hadoop.kms.proxyuser.rangerkms.groups</name>

        <value>*</value>

  </property>

  <property>

        <name>hadoop.kms.proxyuser.rangerkms.hosts</name>

        <value>*</value>

  </property>

  <property>

        <name>hadoop.kms.proxyuser.rangerkms.users</name>

        <value>*</value>

  </property>

注释:

hadoop.security.key.provider.path 指定的是密钥提供者的类路径,是 Hadoop 通用安全配置的一部分。

dfs.encryption.key.provider.uri 指定的是 HDFS 加密密钥提供者的具体 URI,是 HDFS 加密配置的一部分。

由于这两个参数分别服务于不同的配置目的和层次,因此它们不应该被合并。合并这两个参数可能会导致配置混乱、功能失效或安全问题。

    1. 配置ranger-kms-site.xml

cat ranger/ranger-kms/ews/webapp/WEB-INF/classes/conf/ranger-kms-site.xml |grep -v "#" |grep -v ^$

        <property>

                <name>ranger.service.host</name>

                <value>hadoop-0023</value>

        </property>

        <property>

                <name>ranger.service.http.port</name>

                <value>9292</value>

        </property>

    1. 启动Ranger-KMS服务

[hadoop@hadoop-0023 ranger-kms]$ ranger-kms start

[hadoop@hadoop-0023 ranger-kms]$ ranger-kms stop

[hadoop@hadoop-0023 ranger-kms]$ ranger-kms restart


http://www.ppmy.cn/embedded/138358.html

相关文章

【LeetCode】每日一题 2024_11_15 最少翻转次数使二进制矩阵回文 I(模拟、矩阵遍历(竖着遍历))

前言 每天和你一起刷 LeetCode 每日一题~ 决定在前言里面加上新内容&#xff01;新增模块&#xff1a;“本期看点” 本期看点&#xff1a;如何竖着遍历矩阵&#xff1f; LeetCode 启动&#xff01; 题目&#xff1a;最少翻转次数使二进制矩阵回文 I 代码与解题思路 先读题…

MinIO 的 S3 over RDMA 计划: 为高速人工智能数据基础设施设定对象存储新标准

随着 AI 和机器学习的需求不断加速&#xff0c;数据中心网络正在迅速发展以跟上步伐。对于许多企业来说&#xff0c;400GbE 甚至 800GbE 正在成为标准选择&#xff0c;因为数据密集型和时间敏感型 AI 工作负载需要高速、低延迟的数据传输。用于大型语言处理、实时分析和计算机视…

【CubeMX-HAL库】STM32H743II——SDRAM配置所遇问题

使用FMC访问外部地址时&#xff0c;必须配置MPU(内存保护单元)&#xff01; 推荐的博客和视频&#xff1a; 1、【CubeMX-HAL库】STM32H743—FMC配置SDRAM_stm32h743 sdram 速度-CSDN博客 2、【【STM32CubeMX教程】STM32全外设原理、配置和常用HAL、LL库API使用详解】 3、在…

网上商城开发:Spring Boot技术指南

2 相关技术 2.1 SpringBoot框架介绍 Spring Boot是一种不需要代码生成的一种框架&#xff0c;并且可以不需要配置任何的XML文件就可以&#xff0c;因为Spring Boot里面自带了很多接口&#xff0c;只需要配置不同的接口就会自动的应用并且识别需要的依赖&#xff0c;在配置方面非…

Redisson的可重入锁

初始状态&#xff1a; 表示系统或资源在没有线程持有锁的情况下的状态&#xff0c;任何线程都可以尝试获取锁。 线程 1 获得锁&#xff1a; 线程 1 首次获取了锁并进入受保护的代码区域。 线程 1 再次请求锁&#xff1a; 在持有锁的情况下&#xff0c;线程 1 再次请求锁&a…

CSS盒子的定位>(上篇)#定位属性#相对定位-附练习

一、定位属性 1.定位方式 position属性可以选择4种不同类型的定位方式。 语法格式&#xff1a;position&#xff1a;relation | absolute | fixed参数&#xff1a;①relative生成相对定位的元素&#xff0c;相对于其正常位置进行定位。 ②absolute生成绝对定位的…

uniapp 本地打包后使用http-server预览不了

使用nginx处理 我的环境 Apple M3 Max 14.1 (23B2073) 安装nginx brew install nginx找到nginx.conf文件 /opt/homebrew/etc/nginx/nginx.conf增加server server {listen 8091; # 或者其他未被占用的端口server_name localhost;location / {root /path/to/your/project/u…

如何实现主备租户的无缝切换 | OceanBase应用实践

对于DBA而言&#xff0c;确保数据库的高可用性、容灾等能力是其日常工作中需要持续思考和关注的重要事项。一方面&#xff0c;可以利用数据库自身所具备的功能来实现这些目标&#xff1b;若数据库本身不提供相应功能&#xff0c;DBA则需寻找其他工具来增强数据库的高可用性和容…