10、Hadoop身份验证与授权详解

Hadoop身份验证与授权详解

1. 身份验证相关概念

在Hadoop环境中，身份验证是确保用户身份真实性的重要环节。其中，Kerberos是常用的身份验证方式，Hadoop利用Kerberos主体名称映射到用户名，并获取用户的组成员信息。同时，除了Kerberos身份验证，还存在使用委托令牌进行身份验证的方式。委托令牌在Hadoop身份验证架构中起着关键作用，它减少了完成工作流所需的Kerberos身份验证路径数量。例如，一个Oozie工作流执行Hive查询，最终转化为MapReduce作业处理文件，若没有委托令牌，每个步骤都需要Kerberos服务票据，会给Kerberos KDC带来压力。

另外，还涉及到模拟的概念。系统用户可以代表其他用户进行身份验证，这在实际应用中很常见，因为终端用户通常使用位于他们与所访问服务之间的工具。通过模拟，系统或服务可以与第二个远程服务进行身份验证，并获得访问权限，就好像终端用户直接进行了身份验证一样。

在配置Oozie时，若要使用多个SPN，可以进行如下配置：

<property>
    <name>oozie.authentication.kerberos.principal</name>
    <value>*</value>
</property>

而对于HBase的Kerberos身份验证配置，与核心Hadoop的配置非常相似。

2. 授权概述

身份验证只是整体安全的一部分，还需要一种方式来确定经过身份验