云服务器内容精选

华为云首页用户手册

Ranger

数据治理中心 DATAARTS STUDIO-配置资源权限:创建Storm权限策略

创建Storm权限策略在 DataArts Studio 控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“资源权限配置”，进入资源权限配置页面。如果报错“获取资源服务失败，由于[ CDM 返回为空：[404 NOT FOUND]]”，请在管理中心参考 MRS Ranger数据连接参数说明，排查Ranger数据连接的RangerAdmin业务IP和Ranger服务端口是否正确。图22 资源权限配置页面单击待创建权限策略Storm组件的“配置” ，进入配置界面单击“创建”，新建权限策略。图23 新建Storm权限策略在弹出的策略配置页配置相关参数，配置完成单击“确定”，策略配置完成。图24 配置Storm权限策略表9 Storm权限策略参数表参数名参数描述策略类型根据用户所选服务组件自动生成。包括访问、脱敏、行过滤器，其中脱敏和行过滤器类型是Hive特有的。策略状态开启表示权限策略生效，关闭表示权限策略创建成功后不生效。默认开启。可覆盖开启可覆盖时，新创建的策略将覆盖当前策略（新策略生效而旧策略不生效）。默认开启。当用户需要创建一个临时访问策略时，“可覆盖”可以配合“有效时间”一起使用，那么即使临时访问策略超过有效期失效后，也不影响原有的权限策略继续生效。审计日志开启表示记录日志，日志内容包括客户端访问时间、客户端IP、客户端用户、操作资源结果等信息。策略名称名称为必填项，只能包含英文字母、数字、下划线和中划线，且长度为1~50个字符，且输入不能为空。描述对策略的描述信息，长度限制在256个字符以内。 Topology 该参数表示Storm集群中的任务。有效时间用户通过设置开始时间和结束时间来控制策略的生效时间段，可配置多条。允许访问定义允许访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义允许访问的用户拥有的权限。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。添加排除项允许访问勾选“添加排除项”意思是在允许访问的用户组里添加禁止访问的用户。禁止访问勾选“添加排除项”意思是在禁止访问的用户组里添加允许访问的用户。拒绝所有其他访问勾选此项表示只有策略中“允许访问”指定的用户或用户组可以访问，其他用户均禁止访问。禁止访问不勾选“拒绝所有其他访问”时显示此配置，该配置定义禁止访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义用户禁止的权限类型。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
数据治理中心 DATAARTS STUDIO-配置资源权限:创建Yarn权限策略

创建Yarn权限策略在DataArts Studio控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“资源权限配置”，进入资源权限配置页面。如果报错“获取资源服务失败，由于[CDM返回为空：[404 NOT FOUND]]”，请在管理中心参考MRS Ranger数据连接参数说明，排查Ranger数据连接的RangerAdmin业务IP和Ranger服务端口是否正确。图16 资源权限配置页面单击待创建权限策略Yarn组件的“配置” ，进入配置界面单击“创建”，新建权限策略。图17 新建Yarn权限策略在弹出的策略配置页配置相关参数，配置完成单击“确定”，完成策略配置。图18 配置Yarn权限策略表7 Yarn权限策略参数表参数名参数描述策略类型根据用户所选服务组件自动生成。包括访问、脱敏、行过滤器，其中脱敏和行过滤器类型是Hive特有的。策略状态开启表示权限策略生效，关闭表示权限策略创建成功后不生效。默认开启。可覆盖开启可覆盖时，新创建的策略将覆盖当前策略（新策略生效而旧策略不生效）。默认开启。当用户需要创建一个临时访问策略时，“可覆盖”可以配合“有效时间”一起使用，那么即使临时访问策略超过有效期失效后，也不影响原有的权限策略继续生效。审计日志开启表示记录日志，日志内容包括客户端访问时间、客户端IP、客户端用户、操作资源结果等信息。策略名称名称为必填项，只能包含英文字母、数字、下划线和中划线，且长度为1~50个字符，且输入不能为空。描述对策略的描述信息，长度限制在256个字符以内。队列 Yarn服务中的资源调度队列。有效时间用户通过设置开始时间和结束时间来控制策略的生效时间段，可配置多条。允许访问定义允许访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义允许访问的用户拥有的权限。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。添加排除项允许访问勾选“添加排除项”意思是在允许访问的用户组里添加禁止访问的用户。禁止访问勾选“添加排除项”意思是在禁止访问的用户组里添加允许访问的用户。拒绝所有其他访问勾选此项表示只有策略中“允许访问”指定的用户或用户组可以访问，其他用户均禁止访问。禁止访问不勾选“拒绝所有其他访问”时显示此配置，该配置定义禁止访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义用户禁止的权限类型。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
数据治理中心 DATAARTS STUDIO-配置资源权限:创建Kafka权限策略

创建Kafka权限策略在DataArts Studio控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“资源权限配置”，进入资源权限配置页面。如果报错“获取资源服务失败，由于[CDM返回为空：[404 NOT FOUND]]”，请在管理中心参考MRS Ranger数据连接参数说明，排查Ranger数据连接的RangerAdmin业务IP和Ranger服务端口是否正确。图19 资源权限配置页面单击待创建权限策略Kafka组件的“配置” ，进入配置界面单击“创建”，新建权限策略。图20 新建kafka权限策略在弹出的策略配置页配置相关参数，配置完成单击“确定”，策略配置完成。图21 配置Kafka权限策略表8 Kafka权限策略参数表参数名参数描述策略类型根据用户所选服务组件自动生成。包括访问、脱敏、行过滤器，其中脱敏和行过滤器类型是Hive特有的。策略状态开启表示权限策略生效，关闭表示权限策略创建成功后不生效。默认开启。可覆盖开启可覆盖时，新创建的策略将覆盖当前策略（新策略生效而旧策略不生效）。默认开启。当用户需要创建一个临时访问策略时，“可覆盖”可以配合“有效时间”一起使用，那么即使临时访问策略超过有效期失效后，也不影响原有的权限策略继续生效。审计日志开启表示记录日志，日志内容包括客户端访问时间、客户端IP、客户端用户、操作资源结果等信息。策略名称名称为必填项，只能包含英文字母、数字、下划线和中划线，且长度为1~50个字符，且输入不能为空。描述对策略的描述信息，长度限制在256个字符以内。策略条件指定可访问Kafka主题的IP地址范围。 Topic Kafka集群的消息主题。有效时间用户通过设置开始时间和结束时间来控制策略的生效时间段，可配置多条。允许访问定义允许访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义允许访问的用户拥有的权限。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。策略条件：指定可访问Kafka主题的IP地址范围。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。添加排除项允许访问勾选“添加排除项”意思是在允许访问的用户组里添加禁止访问的用户。禁止访问勾选“添加排除项”意思是在禁止访问的用户组里添加允许访问的用户。禁止访问不勾选“拒绝所有其他访问”时显示此配置，该配置定义禁止访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义用户禁止的权限类型。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。策略条件：指定可访问Kafka主题的IP地址范围。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
数据治理中心 DATAARTS STUDIO-配置资源权限:创建HBase权限策略

创建HBase权限策略在DataArts Studio控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“资源权限配置”，进入资源权限配置页面。如果报错“获取资源服务失败，由于[CDM返回为空：[404 NOT FOUND]]”，请在管理中心参考MRS Ranger数据连接参数说明，排查Ranger数据连接的RangerAdmin业务IP和Ranger服务端口是否正确。图13 资源权限配置页面单击待创建权限策略HBase组件的“配置” ，进入配置界面单击“创建”，新建权限策略。图14 创建HBase权限策略在弹出的策略配置页配置相关参数，配置完成单击“确定”，策略配置完成。图15 配置HBase权限策略表6 HBase权限策略参数表参数名参数描述策略类型根据用户所选服务组件自动生成。包括访问、脱敏、行过滤器，其中脱敏和行过滤器类型是Hive特有的。策略状态开启表示权限策略生效，关闭表示权限策略创建成功后不生效。默认开启。可覆盖开启可覆盖时，新创建的策略将覆盖当前策略（新策略生效而旧策略不生效）。默认开启。当用户需要创建一个临时访问策略时，“可覆盖”可以配合“有效时间”一起使用，那么即使临时访问策略超过有效期失效后，也不影响原有的权限策略继续生效。审计日志开启表示记录日志，日志内容包括客户端访问时间、客户端IP、客户端用户、操作资源结果等信息。策略名称名称为必填项，只能包含英文字母、数字、下划线和中划线，且长度为1~50个字符，且输入不能为空。描述对策略的描述信息，长度限制在256个字符以内。数据表必填项，此项表示需要进行权限控制的数据表，支持模糊搜索。列必填项，此项表示需要进行权限控制的列，支持模糊搜索。列族必填项，此项表示HBase中Column Family，多列的集合。有效时间用户通过设置开始时间和结束时间来控制策略的生效时间段，可配置多条。允许访问定义允许访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义允许访问的用户拥有的权限。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。添加排除项允许访问勾选“添加排除项”意思是在允许访问的用户组里添加禁止访问的用户。禁止访问勾选“添加排除项”意思是在禁止访问的用户组里添加允许访问的用户。拒绝所有其他访问勾选此项表示只有策略中“允许访问”指定的用户或用户组可以访问，其他用户均禁止访问。禁止访问不勾选“拒绝所有其他访问”时显示此配置，该配置定义禁止访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义用户禁止的权限类型。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
数据治理中心 DATAARTS STUDIO-配置资源权限:创建Hive行级过滤器权限策略

创建Hive行级过滤器权限策略在DataArts Studio控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“资源权限配置”，进入资源权限配置页面。如果报错“获取资源服务失败，由于[CDM返回为空：[404 NOT FOUND]]”，请在管理中心参考MRS Ranger数据连接参数说明，排查Ranger数据连接的RangerAdmin业务IP和Ranger服务端口是否正确。图10 资源权限配置页面单击待创建权限策略Hive组件的“配置” ，进入配置界面选择“行级过滤器”页签，单击“创建”，新建权限策略。图11 创建Hive行级过滤器权限策略在弹出的策略配置页配置相关参数，配置完成单击“确定”，策略配置完成。图12 配置Hive权限策略参数表5 Hive权限策略参数说明表参数名参数描述策略类型根据用户所选服务组件自动生成。包括访问、脱敏、行过滤器，其中脱敏和行过滤器类型是Hive特有的。策略状态开启表示权限策略生效，关闭表示权限策略创建成功后不生效。默认开启。可覆盖开启可覆盖时，新创建的策略将覆盖当前策略（新策略生效而旧策略不生效）。默认开启。当用户需要创建一个临时访问策略时，“可覆盖”可以配合“有效时间”一起使用，那么即使临时访问策略超过有效期失效后，也不影响原有的权限策略继续生效。审计日志开启表示记录日志，日志内容包括客户端访问时间、客户端IP、客户端用户、操作资源结果等信息。策略名称名称为必填项，只能包含英文字母、数字、下划线和中划线，且长度为1~50个字符，且输入不能为空。描述对策略的描述信息，长度限制在256个字符以内。数据库必填项，此项表示需要进行权限控制的数据库，支持模糊搜索。数据表必填项，此项表示需要进行权限控制的数据表，支持模糊搜索。列必填项，此项表示需要进行权限控制的列，支持模糊搜索。有效时间用户通过设置开始时间和结束时间来控制策略的生效时间段，可配置多条。行级过滤器定义允许访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义允许访问的用户拥有的权限。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。行级过滤器：根据字段内容进行过滤，格式一般为：属性=属性值。例如：state=1。

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
数据治理中心 DATAARTS STUDIO-配置资源权限:创建Hive脱敏权限策略

创建Hive脱敏权限策略在DataArts Studio控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“资源权限配置”，进入资源权限配置页面。如果报错“获取资源服务失败，由于[CDM返回为空：[404 NOT FOUND]]”，请在管理中心参考MRS Ranger数据连接参数说明，排查Ranger数据连接的RangerAdmin业务IP和Ranger服务端口是否正确。图7 资源权限配置页面单击待创建权限策略Hive组件的“配置” ，进入配置界面选择“脱敏”页签，单击“创建”，新建权限策略。图8 新建权限策略界面在弹出的策略配置页配置相关参数，配置完成单击“确定”，策略配置完成。图9 配置Hive权限策略界面表4 Hive权限策略参数说明表参数名参数描述策略类型根据用户所选服务组件自动生成。包括访问、脱敏、行过滤器，其中脱敏和行过滤器类型是Hive特有的。策略状态开启表示权限策略生效，关闭表示权限策略创建成功后不生效。默认开启。可覆盖开启可覆盖时，新创建的策略将覆盖当前策略（新策略生效而旧策略不生效）。默认开启。当用户需要创建一个临时访问策略时，“可覆盖”可以配合“有效时间”一起使用，那么即使临时访问策略超过有效期失效后，也不影响原有的权限策略继续生效。审计日志开启表示记录日志，日志内容包括客户端访问时间、客户端IP、客户端用户、操作资源结果等信息。策略名称名称为必填项，只能包含英文字母、数字、下划线和中划线，且长度为1~50个字符，且输入不能为空。描述对策略的描述信息，长度限制在256个字符以内。数据库必填项，此项表示需要进行权限控制的数据库，支持模糊搜索。数据表必填项，此项表示需要进行权限控制的数据表，支持模糊搜索。列必填项，此项表示需要进行权限控制的列，支持模糊搜索。有效时间用户通过设置开始时间和结束时间来控制策略的生效时间段，可配置多条。脱敏定义用户或用户组访问数据的脱敏方式。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义允许访问的用户拥有的权限。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。脱敏方式：按照该参数选定的值对Hive表中需要进行权限控制的列进行脱敏。

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
数据治理中心 DATAARTS STUDIO-配置资源权限:创建HDFS权限策略

创建HDFS权限策略在DataArts Studio控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“资源权限配置”，进入资源权限配置页面。如果报错“获取资源服务失败，由于[CDM返回为空：[404 NOT FOUND]]”，请在管理中心参考MRS Ranger数据连接参数说明，排查Ranger数据连接的RangerAdmin业务IP和Ranger服务端口是否正确。图1 资源权限配置页面单击待创建权限策略HDFS组件下“hacluster”的“配置” ，进入配置界面单击“创建”，新建权限策略。图2 新建权限策略在弹出的策略配置页配置相关参数，配置完成单击“确定”，策略配置完成。图3 配置权限策略表2 配置HDFS权限策略参数说明参数名参数描述策略类型根据用户所选服务组件自动生成。包括访问、脱敏、行过滤器，其中脱敏和行过滤器类型是Hive特有的。策略状态开启表示权限策略生效，关闭表示权限策略创建成功后不生效。默认开启。可覆盖开启可覆盖时，新创建的策略将覆盖当前策略（新策略生效而旧策略不生效）。默认开启。当用户需要创建一个临时访问策略时，“可覆盖”可以配合“有效时间”一起使用，那么即使临时访问策略超过有效期失效后，也不影响原有的权限策略继续生效。审计日志开启表示记录日志，日志内容包括客户端访问时间、客户端IP、客户端用户、操作资源结果等信息。策略名称名称为必填项，只能包含英文字母、数字、下划线和中划线，且长度为1~50个字符，且输入不能为空。描述对策略的描述信息，长度限制在256个字符以内。资源路径访问权限控制的HDFS路径。递归开启表示资源路径为递归方式。关闭表示资源路径为非递归方式。默认开启。有效时间用户通过设置开始时间和结束时间来控制策略的生效时间段，可配置多条。允许访问定义允许访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义允许访问的用户拥有的权限。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。添加排除项允许访问勾选“添加排除项”意思是在允许访问的用户组里添加禁止访问的用户。禁止访问勾选“添加排除项”意思是在禁止访问的用户组里添加允许访问的用户。拒绝所有其他访问勾选此项表示只有策略中“允许访问”指定的用户或用户组可以访问，其他用户均禁止访问。禁止访问不勾选“拒绝所有其他访问”时显示此配置，该配置定义禁止访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义用户禁止的权限类型。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
数据治理中心 DATAARTS STUDIO-配置资源权限:创建Hive访问权限策略

创建Hive访问权限策略在DataArts Studio控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“资源权限配置”，进入资源权限配置页面。如果报错“获取资源服务失败，由于[CDM返回为空：[404 NOT FOUND]]”，请在管理中心参考MRS Ranger数据连接参数说明，排查Ranger数据连接的RangerAdmin业务IP和Ranger服务端口是否正确。图4 资源权限配置页面单击待创建权限策略Hive组件的“配置” ，进入配置界面选择“访问”页签，单击“创建”，新建权限策略。图5 新建权限策略入口在弹出的策略配置页配置相关参数，配置完成单击“确定”，策略配置完成。图6 配置Hive权限策略权限策略参数说明表：表3 Hive权限策略参数说明表参数名参数描述策略类型根据用户所选服务组件自动生成。包括访问、脱敏、行过滤器，其中脱敏和行过滤器类型是Hive特有的。策略状态开启表示权限策略生效，关闭表示权限策略创建成功后不生效。默认开启。可覆盖开启可覆盖时，新创建的策略将覆盖当前策略（新策略生效而旧策略不生效）。默认开启。当用户需要创建一个临时访问策略时，“可覆盖”可以配合“有效时间”一起使用，那么即使临时访问策略超过有效期失效后，也不影响原有的权限策略继续生效。审计日志开启表示记录日志，日志内容包括客户端访问时间、客户端IP、客户端用户、操作资源结果等信息。策略名称名称为必填项，只能包含英文字母、数字、下划线和中划线，且长度为1~50个字符，且输入不能为空。描述对策略的描述信息，长度限制在256个字符以内。数据库必填项，此项表示需要进行权限控制的数据库，支持模糊搜索。数据表必填项，此项表示需要进行权限控制的数据表，支持模糊搜索。列必填项，此项表示需要进行权限控制的列，支持模糊搜索。有效时间用户通过设置开始时间和结束时间来控制策略的生效时间段，可配置多条。允许访问定义允许访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义允许访问的用户拥有的权限。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。添加排除项允许访问勾选“添加排除项”意思是在允许访问的用户组里添加禁止访问的用户。禁止访问勾选“添加排除项”意思是在禁止访问的用户组里添加允许访问的用户。拒绝所有其他访问勾选此项表示只有策略中“允许访问”指定的用户或用户组可以访问，其他用户均禁止访问。禁止访问不勾选“拒绝所有其他访问”时显示此配置，该配置定义禁止访问的用户和用户组。用户：MRS服务的用户。角色：MRS服务的角色。用户组：MRS服务的用户组。权限：定义用户禁止的权限类型。权限和用户允许同时为空值，或者同时不为空值。服务相关权限详情请参考表1。委托用户：当勾选此项时，管理权限将分配给适用的用户和组。受委托的管理员可以更新和删除策略，还可以基于原始策略创建子策略。

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
数据治理中心 DATAARTS STUDIO-配置资源权限:支持访问控制的MRS组件及权限列表

支持访问控制的MRS组件及权限列表通过Ranger可以对MRS集群（MRS集群版本为3.0.0及以上）中的组件进行集成，实现组件的细粒度访问权限控制。目前已经支持的组件及相关权限如表1所示。具体权限解释可参考MRS配置组件权限策略。表1 支持的组件及权限列表组件名权限说明 HDFS HDFS文件的权限： Read：读权限 Write：写权限 Excute：执行权限 Hive Hive数据库、数据表、列的权限： Select：查询权限 Update：更新权限 Create：创建权限 Drop：drop操作权限 Alter：alter操作权限 All：所有执行权限 Temporary UDF Admin：临时UDF管理权限 Yarn Yarn队列权限： submit-app：提交队列任务权限 admin-queue：管理队列任务权限 HBase HBase列、列族的权限： Read：读权限 Write：写权限 Create：创建权限 Admin：管理员权限 Kafka Kafka的Topic权限： Publish：生产权限 Consume：消费权限 Configure：topic扩容权限 Describe：查询权限 Create：创建主题权限 Delete：删除主题权限 Describe Configs：查询配置权限 Alter Configs：修改配置权限 Storm Storm的Topology权限： Submit Topology：提交拓扑 File Upload：上传文件 File DownLoad：下载文件 Kill Topology：删除拓扑 Rebalance：Rebalance权限 Activate：激活权限 Deactivate：去激活权限 Get Topology Conf：获取拓扑配置 Get Topology：获取拓扑 Get User Topology：获取用户拓扑 Get Topology Info：获取拓扑信息 Upload New Credential：上传新的凭证

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
数据治理中心 DATAARTS STUDIO-配置资源权限:前提条件

前提条件已在管理中心创建Ranger类型的数据连接，并确保已参考MRS Ranger数据连接参数说明填写正确的RangerAdmin业务IP和Ranger服务端口。在管理中心测试Ranger数据连接时，不会校验Ranger业务IP和服务端口，即使填写错误也不会提示，因此建议进行人工检查。已开启对应MRS集群的Ranger鉴权功能，安全模式默认开启Ranger鉴权，普通模式默认关闭Ranger鉴权。详情请参考启用Ranger鉴权。

数据治理中心 DATAARTS STUDIO Ranger权限访问控制
MAPREDUCE服务 MRS-添加Hive的Ranger访问权限策略:Hive数据脱敏

Hive数据脱敏 Ranger支持对Hive数据进行脱敏处理（Data Masking），可对用户执行的select操作的返回结果进行处理，以屏蔽敏感信息。登录Ranger WebUI界面，在首页中单击“HADOOP SQL”区域的“Hive” 在“Masking”页签单击“Add New Policy”，添加Hive权限控制策略。根据业务需求配置相关参数。表3 Hive数据脱敏参数参数名称描述 Policy Name 策略名称，可自定义，不能与本服务内其他策略名称重复。 Policy Conditions IP过滤策略，可自定义，配置当前策略适用的主机节点，可填写一个或多个IP或IP段，并且IP填写支持“*”通配符，例如：192.168.1.10,192.168.1.20或者192.168.1.*。 Policy Label 为当前策略指定一个标签，您可以根据这些标签搜索报告和筛选策略。 Hive Database MRS 3.3.0之前版本，配置当前策略适用的Hive中数据库名称。 MRS 3.3.0及之后版本，配置当前策略适用的Hive中数据库名称，支持设置多个数据库名，并且填写支持“*”通配符，例如：aa、a*、*b、a*b或者*。 Hive Table MRS 3.3.0之前版本，配置当前策略适用的Hive中的表名称。 MRS 3.3.0及之后版本，配置当前策略适用的Hive中的表名称，支持设置多个表名，并且填写支持“*”通配符，例如：aa、a*、*b、a*b或者*。 Hive Column MRS 3.3.0之前版本，可添加列名。 MRS 3.3.0及之后版本，可添加列名，支持设置多个列名，并且填写支持“*”通配符，例如：aa、a*、*b、a*b或者*。 Description 策略描述信息。 Audit Logging 是否审计此策略。 Mask Conditions 在“Select Role”、“Select Group”、“Select User”列选择已创建好的需要授予权限的对象，单击“Add Conditions”，添加策略适用的IP地址范围，然后再单击“Add Permissions”，勾选“select”权限。单击“Select Masking Option”，选择数据脱敏时的处理策略： Redact：用x屏蔽所有字母字符，用0屏蔽所有数字字符。 Partial mask: show last 4：只显示最后的4个字符，其他用x代替。 Partial mask: show first 4：只显示开始的4个字符，其他用x代替。 Hash：用值的哈希值替换原值，采用的是hive的内置mask_hash函数，只对string、char、varchar类型的字段生效，其他类型的字段会返回NULL值。 Nullify：用NULL值替换原值。 Unmasked(retain original value)：原样显示。 Date: show only year：仅显示日期字符串的年份部分，并将月份和日期默认为01/01。 Custom：可使用任何有效返回与被屏蔽的列中的数据类型相同的数据类型来自定义策略。如需添加多列的脱敏策略，可单击按钮添加。单击“Add”，在策略列表可查看策略的基本信息。用户通过Hive客户端对配置了数据脱敏策略的表执行select操作，系统将对数据进行处理后进行展示。处理数据需要用户同时具有向Yarn队列提交任务的权限。

MAPREDUCE服务 MRS Ranger权限策略配置示例
MAPREDUCE服务 MRS-配置HBase权限策略时无法使用通配符搜索已存在的HBase表:回答

回答 Ranger界面上HBase服务插件的“hbase.rpc.protection”参数值和HBase服务端的“hbase.rpc.protection”参数值必须保持一致。参考登录Ranger WebUI界面章节，登录Ranger管理界面。在首页中“HBASE”区域，单击组件插件名称，如HBase的按钮搜索配置项“hbase.rpc.protection”，修改配置项的value值，与HBase服务端的“hbase.rpc.protection”的值保持一致。单击“保存”。

MAPREDUCE服务 MRS Ranger故障排除
MAPREDUCE服务 MRS-配置HBase权限策略时无法使用通配符搜索已存在的HBase表:问题

问题添加HBase的Ranger访问权限策略时，在策略中使用通配符搜索已存在的HBase表时，搜索不到已存在的表，并且在/var/log/Bigdata/ranger/rangeradmin/ranger-admin-*log中报以下错误 Caused by: javax.security.sasl.SaslException: No common protection layer between client and server at com.sun.security.sasl.gsskerb.GssKrb5Client.doFinalHandshake(GssKrb5Client.java:253) at com.sun.security.sasl.gsskerb.GssKrb5Client.evaluateChallenge(GssKrb5Client.java:186) at org.apache.hadoop.hbase.security.AbstractHBaseSaslRpcClient.evaluateChallenge(AbstractHBaseSaslRpcClient.java:142) at org.apache.hadoop.hbase.security.NettyHBaseSaslRpcClientHandler$2.run(NettyHBaseSaslRpcClientHandler.java:142) at org.apache.hadoop.hbase.security.NettyHBaseSaslRpcClientHandler$2.run(NettyHBaseSaslRpcClientHandler.java:138) at java.security.AccessController.doPrivileged(Native Method) at javax.security.auth.Subject.doAs(Subject.java:422) at org.apache.hadoop.security.UserGroupInformation.doAs(UserGroupInformation.java:1761) at org.apache.hadoop.hbase.security.NettyHBaseSaslRpcClientHandler.channelRead0(NettyHBaseSaslRpcClientHandler.java:138) at org.apache.hadoop.hbase.security.NettyHBaseSaslRpcClientHandler.channelRead0(NettyHBaseSaslRpcClientHandler.java:42) at org.apache.hbase.thirdparty.io.netty.channel.SimpleChannelInboundHandler.channelRead(SimpleChannelInboundHandler.java:105) at org.apache.hbase.thirdparty.io.netty.channel.AbstractChannelHandlerContext.invokeChannelRead(AbstractChannelHandlerContext.java:362)

MAPREDUCE服务 MRS Ranger故障排除
MAPREDUCE服务 MRS-添加HDFS的Ranger访问权限策略:操作步骤

操作步骤使用Ranger管理员用户rangeradmin登录Ranger管理页面，具体操作可参考登录Ranger WebUI界面。在首页中单击“HDFS”区域的组件插件名称，例如“hacluster”。单击“Add New Policy”，添加HDFS权限控制策略。根据业务需求配置相关参数。表1 HDFS权限参数参数名称描述 Policy Name 策略名称，可自定义，不能与本服务内其他策略名称重复。 Policy Conditions IP过滤策略，可自定义，配置当前策略适用的主机节点，可填写一个或多个IP或IP段，并且IP填写支持“*”通配符，例如：192.168.1.10,192.168.1.20或者192.168.1.*。 Policy Label 为当前策略指定一个标签，可以根据这些标签搜索报告和筛选策略。 Resource Path 资源路径，配置当前策略适用的HDFS路径文件夹或文件，可填写多个值，支持使用通配符“*”（例如“/test/*”）。如需子目录继承上级目录权限，可打开递归开关按钮。如果父目录开启递归，同时子目录也配置了策略，以子目录策略为准。 non-recursive：关闭递归 recursive：打开递归 Description 策略描述信息。 Audit Logging 是否审计此策略。 Allow Conditions 策略允许条件，配置本策略内允许的权限及例外，例外条件优先级高于正常条件。在“Select Role”、“Select Group”、“Select User”列选择已创建好的需要授予权限的Role、用户组或用户，单击“Add Conditions”，添加策略适用的IP地址范围，单击“Add Permissions”，添加对应权限。 Read：读权限 Write：写权限 Execute：执行权限 Select/Deselect All：全选/取消全选如需让当前条件中的用户或用户组管理本条策略，可勾选“Delegate Admin”使这些用户或用户组成为受委托的管理员。被委托的管理员可以更新、删除本策略，还可以基于原始策略创建子策略。如需添加多条权限控制规则，可单击按钮添加。如需删除权限控制规则，可单击按钮删除。 Exclude from Allow Conditions：配置排除在允许条件之外的例外规则。 Deny All Other Accesses 是否拒绝其他所有访问。 True：拒绝其他所有访问。 False：设置为false，可配置Deny Conditions。 Deny Conditions 策略拒绝条件，配置本策略内拒绝的权限及例外，配置方法与“Allow Conditions”类似，拒绝条件的优先级高于“Allow Conditions”中配置的允许条件。 Exclude from Deny Conditions：配置排除在拒绝条件之外的例外规则。例如为用户“testuser”添加“/user/test”目录的写权限，配置如下：表2 设置权限任务场景角色授权操作设置HDFS管理员权限在首页中单击“HDFS”区域的组件插件名称，例如“hacluster”。选择“Policy Name”为“all - path”的策略，单击按钮编辑策略。在“Allow Conditions”区域，单击“Select User”下选择框选择用户。设置用户执行HDFS检查和HDFS修复的权限在“Resource Path”配置文件夹或文件。在“Allow Conditions”区域，单击“Select User”下选择框选择用户。单击“Add Permissions”，勾选“Read”和“Execute”。设置用户读取其他用户的目录或文件的权限在“Resource Path”配置文件夹或文件。在“Allow Conditions”区域，单击“Select User”下选择框选择用户。单击“Add Permissions”，勾选“Read”和“Execute”。设置用户在其他用户的文件写入数据的权限在“Resource Path”配置文件夹或文件。在“Allow Conditions”区域，单击“Select User”下选择框选择用户。单击“Add Permissions”，勾选“Write”和“Execute”。设置用户在其他用户的目录新建或删除子文件、子目录的权限在“Resource Path”配置文件夹或文件。在“Allow Conditions”区域，单击“Select User”下选择框选择用户。单击“Add Permissions”，勾选“Write”和“Execute”。设置用户在其他用户的目录或文件执行的权限在“Resource Path”配置文件夹或文件。在“Allow Conditions”区域，单击“Select User”下选择框选择用户。单击“Add Permissions”，勾选“Execute”。设置子目录继承上级目录权限在“Resource Path”配置文件夹或文件。打开递归开关按钮，“Recursive”即为打开递归。（可选）添加策略有效期。在页面右上角单击“Add Validity period”，设置“Start Time”和“End Time”，选择“Time Zone”。单击“Save”保存。如需添加多条策略有效期，可单击按钮添加。如需删除策略有效期，可单击按钮删除。单击“Add”，在策略列表可查看策略的基本信息。等待策略生效后，验证相关权限是否正常。如需禁用某条策略，可单击按钮编辑策略，设置策略开关为“Disabled”。如果不再使用策略，可单击按钮删除策略。

MAPREDUCE服务 MRS Ranger权限策略配置示例
MAPREDUCE服务 MRS-登录Ranger WebUI界面:Ranger用户类型

Ranger用户类型 Ranger中的用户可分为Admin、User、Auditor等类型，不同用户具有的Ranger管理界面查看和操作权限不同。 Admin：Ranger安全管理员，可查看所有页面内容，进行服务权限管理插件及权限访问控制策略的管理操作，可查看审计信息内容，可进行用户类型设置。 Auditor：Ranger审计管理员，可查看服务权限管理插件及权限访问控制策略的内容。 User：普通用户，可以被Ranger管理员赋予具体权限。

MAPREDUCE服务 MRS 使用Ranger