HDFS ACL权限设置

HDFS版本：3.1.1

今天主要给大家说一下HDFS文件权限的问题。当一个普通用户去访问HDFS文件时，可能会报Permission denied的错误。那么你会怎么做呢？

像修改linux文件似的，可能的做法有：

• 修改文件所有者
• 直接将文件赋予全部的权限，即rwx权限。

上面的做法虽然可以达到目的，但是相对来说对权限的把握不是很精准，不适用于生产环境。

本文主要讲解HDFS的ACL(Access Control List)权限，通过hdfs超级用户，来为普通用户分配权限。

一、背景

如下图所示，我使用hue用户想创建一个简单的hive表。由于hue用户对/warehouse/tablespace/managed/hive目录没有权限，所以创建失败了。

这里就用到了HDFS的ACL权限设置。

二、前提条件

需要确定hdfs-site.xml文件的两个配置项为true：

<property>
    <name>dfs.permissions.enabled</name>
    <value>true</value>
</property>
<property>
    <name>dfs.namenode.acls.enabled</name>
    <value>true</value>
</property>

三、语法

1. setfacl

Usage: hdfs dfs -setfacl -R|[--set <acl_spec> <path>]

设置文件和目录的访问控制列表（ACL）。

选项：

• -b: 删除基本ACL条目以外的所有条目。保留用户，组和其他条目以与权限位兼容。
• -k: 删除默认ACL。default
• -R: 以递归方式将操作应用于所有文件和目录。常用。
• -m: 修改ACL。新条目将添加到ACL，并保留现有条目。常用。
• -x: 删除指定的ACL条目。保留其他ACL条目。常用。
• –set: 完全替换ACL，丢弃所有现有条目。 acl_spec必须包含用户，组和其他条目，以便与权限位兼容。
• acl_spec: 逗号分隔的ACL条目列表。
• path: 要修改的文件或目录。

示例：

• hdfs dfs -setfacl -m user:hadoop:rw- /file
• hdfs dfs -setfacl -x user:hadoop /file
• hdfs dfs -setfacl -b /file
• hdfs dfs -setfacl -k /dir
• hdfs dfs -setfacl --set user::rw-,user:hadoop:rw-,group::r–,other::r-- /file
• hdfs dfs -setfacl -R -m user:hadoop:r-x /dir
• hdfs dfs -setfacl -m default:user:hadoop:r-x /dir

2. getfacl

Usage: hdfs dfs -getfacl [-R] <path>

显示文件和目录的访问控制列表（ACL）。如果目录具有默认ACL，则getfacl还会显示默认ACL。

选项：

• -R: 以递归方式列出所有文件和目录的ACL。
• path: 要列出的文件或目录。

示例：

• hdfs dfs -getfacl /file
• hdfs dfs -getfacl -R /dir

四、为hue用户赋予权限

使用hdfs超级用户来设置acl：使用-m参数

sudo -u hdfs hdfs dfs -setfacl -m user:hue:rwx /warehouse/tablespace/managed/hive

查看文件目录的acl权限：

hdfs dfs -getfacl /warehouse/tablespace/managed/hive

文件acl权限如下图所示：

现在hue用户就对/warehouse/tablespace/managed/hive这个目录有了rwx全部权限了。

我们使用hue用户创建hive表试试，成功了，如下图所示：

备注：

不过是仅限于hive这个目录，对于里面不是hue用户创建的目录或文件，hue用户还是无权访问。

如果需要访问递归的子文件，可以使用-R参数，再次授权。

五、总结

其实这次分享的知识点很简单，但是却很实用。就安全的角度来看，比起chmod 777来说，也比较严谨。

还是希望大家多多练习本文讲述的两个命令：

• setfacl
• getfacl

看看这两个命令的其它参数具体什么意思。

关于HDFS shell命令，可以查看官网链接：http://hadoop.apache.org/docs/r2.6.5/hadoop-project-dist/hadoop-common/FileSystemShell.html

---

码字不易，如果您觉得文章写得不错，请扫码关注公众号支持作者~ 您的关注是我写作的最大动力?