用户权限-华为云

硬件开发工具链平台云服务-角色管理:角色管理相关操作

角色管理相关操作在“角色管理”页面，您还可以进行如表2所示的操作。表2 角色管理相关操作操作描述编辑角色在“角色管理”页面，单击待编辑角色记录“操作”列的“编辑”，根据实际情况修改角色对应参数取值。删除角色在“角色管理”页面，单击待删除角色记录“操作”列的“删除”，删除角色。查询角色在“角色管理”页面，在角色列表上方输入框输入“角色代码”或“角色名称”信息，再单击“查询”，查询角色。

硬件开发工具链平台云服务用户权限

MAPREDUCE服务 MRS-Flink安全认证机制说明:Flink认证和加密

Flink认证和加密 Flink集群中，各部件支持认证。 Flink集群内部各部件和外部部件之间，支持和外部部件如YARN、HDFS、ZooKeeprer进行Kerberors认证。 Flink集群内部各部件之间，如Flink client和JobManager、JobManager和TaskManager、TaskManager和TaskManager之间支持security cookie认证。 Flink集群中，各部件支持SSL加密传输；集群内部各部件之间，如Flink client和JobManager、JobManager和TaskManager、TaskManager和TaskManager之间支持SSL加密传输。详情可参考配置Flink认证和加密。

MAPREDUCE服务 MRS Flink用户权限管理

MAPREDUCE服务 MRS-Flink安全认证机制说明:ACL控制

ACL控制在HA模式下，支持ACL控制。 Flink在HA模式下，支持用ZooKeeper来管理集群和发现服务。ZooKeeper支持SASL ACL控制，即只有通过SASL（kerberos）认证的用户，才有往ZK上操作文件的权限。如果要在Flink上使用SASL ACL控制，需要在Flink配置文件中设置如下配置： high-availability.zookeeper.client.acl: creator zookeeper.sasl.disable: false 具体配置项介绍请参考HA。

MAPREDUCE服务 MRS Flink用户权限管理

MAPREDUCE服务 MRS-Flink安全认证机制说明:Web安全

Web安全 Flink Web安全加固，支持白名单过滤，Flink Web只能通过YARN代理访问，支持安全头域增强。在Flink集群中，各部件的监测端口支持范围可配置。编码规范：说明：Web Service客户端和服务器间使用相同的编码方式，是为了防止出现乱码现象，也是实施输入校验的基础。安全加固：web server响应消息统一采用UTF-8字符编码。支持IP白名单过滤：说明：防止非法用户登录，需在web server侧添加IP Filter过滤源IP非法的请求。安全加固：支持IP Filter实现Web白名单配置，配置项是“jobmanager.web.allow-access-address”，默认情况下只支持YARN用户接入。安装客户端之后需要将客户端节点IP追加到jobmanager.web.allow-access-address配置项中。禁止将文件绝对路径发送到客户端：说明：文件绝对路径发送到客户端会暴露服务端的目录结构信息，有助于攻击者遍历了解系统，为攻击者攻击提供帮助。安全加固：Flink配置文件中所有配置项中如果包含以/开头的，则删掉第一级目录。同源策略：适用于 MRS 3.x及之后版本。说明：如果两个URL的协议，主机和端口均相同，则它们同源；如果不同源，默认不能相互访问；除非被访问者在其服务端显示指定访问者的来源。安全加固：响应头“Access-Control-Allow-Origin”头域默认配置为YARN集群ResourceManager的IP地址，如果源不是来自YARN的，则不能互相访问。防范敏感信息泄露：适用于MRS 3.x及之后版本。说明：带有敏感数据的Web页面都应该禁止缓存，以防止敏感信息泄漏或通过代理服务器上网的用户数据互窜现象。安全加固：添加“Cache-control”、“Pragma”、“Expires”安全头域，默认值为：“Cache-Control：no-store”，“Pragma ：no-cache”，“Expires ： 0”。实现了安全加固，Flink和web server交互的内容将不会被缓存。防止劫持：适用于MRS 3.x及之后版本。说明：由于点击劫持（ClickJacking）和框架盗链都利用到框架技术，所以需要采用安全措施。安全加固：添加“X-Frame-Options”安全头域，给浏览器提供允许一个页面可否在“iframe”、“frame”或“object”网站中的展现页面的指示，如果默认配置为“X-Frame-Options: DENY”，则确保任何页面都不能被嵌入到别的“iframe”、“frame”或“object”网站中，从而避免了点击劫持 (clickjacking) 的攻击。对Web Service接口调用记录日志：适用于MRS 3.x及之后版本。说明：对“Flink webmonitor restful”接口调用进行日志记录。安全加固：“access log”支持配置：“jobmanager.web.accesslog.enable”，默认为“true”。且日志保存在单独的“webaccess.log”文件中。跨站请求（ CS RF）伪造防范：适用于MRS 3.x及之后版本。说明：在B/S应用中，对于涉及服务器端数据改动（如增加、修改、删除）的操作必须进行跨站请求伪造的防范。跨站请求伪造是一种挟制终端用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。安全加固：现有请求修改的接口有2个post，1个delete，其余均是get请求，非get请求的接口均已删除。异常处理：适用于MRS 3.x及之后版本。说明：应用程序出现异常时，捕获异常，过滤返回给客户端的信息，并在日志中记录详细的错误信息。安全加固：默认的错误提示页面，进行信息过滤，并在日志中记录详细的错误信息。新加四个配置项，默认配置为 FusionInsight 提供的跳转URL，错误提示页面跳转到固定配置的URL中，防止暴露不必要的信息。表1 四个配置项参数介绍参数描述默认值是否必选配置 jobmanager.web.403-redirect-url web403页面，访问若遇到403错误，则会重定向到配置的页面。 - 是 jobmanager.web.404-redirect-url web404页面，访问若遇到404错误，则会重定向到配置的页面。 - 是 jobmanager.web.415-redirect-url web415页面，访问若遇到415错误，则会重定向到配置的页面。 - 是 jobmanager.web.500-redirect-url web500页面，访问若遇到500错误，则会重定向到配置的页面。 - 是 HTML5安全：适用于MRS 3.x及之后版本。说明：HTML5是下一代的Web开发规范，为开发者提供了许多新的功能并扩展了标签。这些新的标签及功能增加了攻击面，存在被攻击的风险（例如跨域资源共享、客户端存储、WebWorker、WebRTC、WebSocket等）。安全加固：添加“Access-Control-Allow-Origin”配置，如运用到跨域资源共享功能，可对HTTP响应头的“Access-Control-Allow-Origin”属性进行控制。 Flink不涉及如客户端存储、WebWorker、WebRTC、WebSocket等安全风险。

MAPREDUCE服务 MRS Flink用户权限管理

MAPREDUCE服务 MRS-Hive用户权限说明:Hive权限模型

Hive权限模型使用Hive组件，必须对Hive数据库和表（含外表和视图）拥有相应的权限。在MRS中，完整的Hive权限模型由Hive元数据权限与HDFS文件权限组成。使用数据库或表时所需要的各种权限都是Hive权限模型中的一种。 Hive元数据权限。与传统关系型数据库类似，MRS的Hive数据库包含“建表”和“查询”权限，Hive表和列包含“查询”、“插入”和“删除”权限。Hive中还包含拥有者权限“OWNERSHIP”和“Hive管理员权限”。 Hive数据文件权限，即HDFS文件权限。 Hive的数据库、表对应的文件保存在HDFS中。默认创建的数据库或表保存在HDFS目录“/user/hive/warehouse”。系统自动以数据库名称和数据库中表的名称创建子目录。访问数据库或者表，需要在HDFS中拥有对应文件的权限，包含“读”、“写”和“执行”权限。用户对Hive数据库或表执行不同操作时，需要关联不同的元数据权限与HDFS文件权限。例如，对Hive数据表执行查询操作，需要关联元数据权限“查询”，以及HDFS文件权限“读”和“写”。使用Manager界面图形化的角色管理功能来管理Hive数据库和表的权限，只需要设置元数据权限，系统会自动关联HDFS文件权限，减少界面操作，提高效率。

MAPREDUCE服务 MRS Hive用户权限管理

MAPREDUCE服务 MRS-ClickHouse用户及权限管理:用户权限模型

用户权限模型 ClickHouse用户权限管理实现了对集群中各个ClickHouse实例上用户、角色、权限的统一管理。通过Manager UI的权限管理模块进行创建用户、创建角色、绑定ClickHouse访问权限配置等操作，通过用户绑定角色的方式，实现用户权限控制。管理资源：Clickhouse权限管理支持的资源如表1所示。资源权限：ClickHouse支持的资源权限如表2所示。本章节不支持MRS 3.1.0普通模式（未开启Kerberos认证）集群。表1 ClickHouse支持的权限管理对象资源列表是否集成备注数据库是（一级） - 表是（二级） - 视图是（二级）与表一致表2 资源权限列表资源对象可选权限备注数据库（DATABASE） CREATE CREATE DATABASE/TABLE/VIEW/DICTIONARY权限表/视图（TABLE/VIEW） SELECT/INSERT -

MAPREDUCE服务 MRS ClickHouse用户权限管理

MAPREDUCE服务 MRS-Flink用户权限说明

Flink用户权限说明访问并使用Flink WebUI进行业务操作需为用户赋予FlinkServer相关权限，Manager的admin用户没有FlinkServer的业务操作权限。 FlinkServer中应用（租户）是最大管理范围，包含集群连接管理、数据连接管理、应用管理、流表和作业管理等。 FlinkServer中有如表1所示三种资源权限：表1 FlinkServer资源权限权限名称权限描述备注 FlinkServer管理员权限具有所有应用的编辑、查看权限。是FlinkServer的最高权限。如果已经具有FlinkServer管理员权限，则会自动具备所有应用的权限。应用编辑权限具有当前应用编辑权限的用户，可以执行创建、编辑和删除集群连接、数据连接，创建流表、创建作业及运行作业等操作。同时具有当前应用查看权限。应用查看权限具有当前应用查看权限的用户，可以查看应用。 - 父主题： Flink用户权限管理

MAPREDUCE服务 MRS Flink用户权限管理

MAPREDUCE服务 MRS-配置Hive业务使用其他组件的用户权限:操作场景

操作场景 Hive业务还可能需要关联使用其他组件，例如HQL语句触发MapReduce任务需要设置Yarn权限，或者Hive over HBase的场景需要HBase权限。以下介绍Hive关联Yarn和Hive over HBase两个场景下的权限操作。安全模式下Yarn和HBase的权限管理默认是开启的，因此在安全模式下默认需要配置Yarn和HBase权限。在普通模式下，Yarn和HBase的权限管理默认是关闭的，即任何用户都有权限，因此普通模式下默认不需要配置Yarn和HBase权限。如果用户修改了Yarn或者HBase的配置来开启权限管理，则修改后也需要配置Yarn和HBase权限。如果当前组件使用了Ranger进行权限控制，须基于Ranger配置相关策略进行权限管理，具体操作可参考添加Hive的Ranger访问权限策略。

MAPREDUCE服务 MRS Hive用户权限管理

MAPREDUCE服务 MRS-创建HetuEngine权限角色:HetuEngine权限角色介绍

HetuEngine权限角色介绍安全模式的集群，在使用HetuEngine服务前，需集群管理员创建用户并指定其操作权限以满足业务使用需求。 HetuEngine用户分为管理员用户和普通用户，系统默认的HetuEngine管理员用户组为“hetuadmin”，HetuEngine普通用户对应用户组为“hetuuser”。关联了“hetuadmin”用户组的用户可获得HetuEngine的HSConsole WebUI界面和HetuEngine计算实例WebUI的运维管理员权限。关联了“hetuuser”用户组的用户可获得SQL执行权限。可以访问HSConsole WebUI界面，查看当前用户关联租户的集群信息以及所有数据源的基本信息，可以访问计算实例的WebUI界面，并对当前用户的SQL有查询和运维的权限。启用了Ranger鉴权时，如果用户创建后需要继续为用户配置操作数据源的数据库、表、列的管理权限，请参考添加HetuEngine的Ranger访问权限策略。在使用HetuEngine服务请确保已提前规划并创建HetuEngine用户待关联的租户。

MAPREDUCE服务 MRS HetuEngine用户权限管理

MAPREDUCE服务 MRS-Kafka用户权限说明:操作场景

操作场景在启用Kerberos认证的集群中，用户使用Kafka前需要拥有对应的权限。MRS集群支持将Kafka的使用权限，授予不同用户。 Kafka默认用户组如表1所示。 Kafka支持两种鉴权插件：“Kafka开源自带鉴权插件”和“Ranger鉴权插件”。本章节描述的是基于“Kafka开源自带鉴权插件”的用户权限管理。如果想使用 “Ranger鉴权插件”，请参考添加Kafka的Ranger访问权限策略。表1 Kafka默认用户组用户组名称描述 kafkaadmin Kafka管理员用户组。添加入本组的用户，拥有所有主题的创建，删除，授权及读写权限。 kafkasuperuser Kafka高级用户组。添加入本组的用户，拥有所有主题的读写权限。 kafka Kafka普通用户组。添加入本组的用户，需要被kafkaadmin组用户授予特定主题的读写权限，才能访问对应主题。

MAPREDUCE服务 MRS Kafka用户权限管理

数据复制服务 DRS-目标数据库用户权限是否足够:处理建议

处理建议在使用DRS进行迁移或同步时，连接目标数据库的账号需要满足一定的权限要求，才能启动任务。不同引擎的任务，需要的账号权限也不同。DRS会在“预检查”阶段对数据库账号权限进行自动检查，并给出处理建议。以MySQL的迁移为例，目标数据用户权限要求如下： SELECT、CREATE、ALTER、DROP、DELETE、INSERT、UPDATE、INDEX、EVENT、CREATE VIEW、CREATE ROUTINE、TRIGGER、REFEREN CES 、WITH GRANT OPTION。当目标库为8.0.14-8.0.18版本时，还需要有SESSION_VARIABLES_ADMIN权限。参考语句：GRANT SELECT, CREATE, ALTER, DROP, DELETE, INSERT, UPDATE, INDEX, EVENT, CREATE VIEW, CREATE ROUTINE, TRIGGER, REFERENCES ON [待迁移数据库].* TO 'user1' WITH GRANT OPTION;

数据复制服务 DRS 数据库用户权限检查

MAPREDUCE服务 MRS-MRS集群用户权限模型:基于策略的权限控制

基于策略的权限控制 Ranger组件通过PBAC（policy-based access control，基于策略的权限控制）方式进行权限管理，可对HDFS、Hive、HBase等组件进行更加细粒度的数据访问控制。组件同时只支持一种权限控制机制，当组件启用Ranger权限控制策略后，通过FusionInsight Manager创建的角色中关于该组件的权限将失效（HDFS与Yarn的组件ACL规则仍将生效），用户需通过Ranger管理界面添加策略进行资源的赋权。 Ranger的权限模型由多条权限策略组成，权限策略主要由以下几方面组成：资源组件所提供的可由用户访问的对象，例如HDFS的文件或文件夹、Yarn中的队列、Hive中的数据库/表/列等。用户系统的访问者，每个用户的权限由该用户关联的策略来获得。LDAP中的用户、用户组、角色信息会周期性的同步至Ranger。权限策略中针对资源可配置各种访问条件，例如文件的读写，具体可以配置允许条件、拒绝条件以及例外条件等。

MAPREDUCE服务 MRS 集群用户权限概述

MAPREDUCE服务 MRS-MRS集群用户权限模型:权限机制

权限机制 MRS集群采用LDAP存储用户和用户组的数据；角色的定义信息保存在关系数据库中，角色和权限的对应关系则保存在组件侧。 MRS使用Kerberos进行统一认证。用户权限校验流程大致如下：客户端（用户终端或MRS组件服务）调用MRS认证接口。 MRS使用登录用户名和密码，到Kerberos进行认证。如果认证成功，客户端会发起访问服务端（MRS组件服务）的请求。服务端会根据登录的用户，找到其属于的用户组和角色。服务端获得用户组拥有的所有权限和角色拥有的所有权限的并集。服务端判断客户端是否有权限访问其请求的资源。示例场景（RBAC）： HDFS中有三个文件fileA、fileB、fileC。定义角色roleA对fileA有读和写权限，角色roleB对fileB有读权限。定义groupA属于roleA；groupB属于roleB。定义userA属于groupA和roleB，userB属于GroupB。当userA登录成功并访问HDFS时： HDFS获得useA属于的所有角色（roleB）。 HDFS同时还会获得userA属于的所有用户组所属于的角色（roleA）。此时，userA拥有roleA和roleB对应权限的并集。因此对于fileA，则userA有读写权限；对fileB，有读权限；对于fileC，无任何权限。同理userB登录后： userB只拥有roleB对应的权限。对于fileA，则userB无权限；对fileB，有读权限；对于fileC，无任何权限。

MAPREDUCE服务 MRS 集群用户权限概述

MAPREDUCE服务 MRS-MRS集群用户权限模型:基于角色的权限控制

基于角色的权限控制 MRS集群通过采用RBAC（role-based access control，基于角色的权限控制）方式对大数据系统进行权限管理，将系统中各组件零散的权限管理功能集中呈现和管理，对普通用户屏蔽掉了内部的权限管理细节，对管理员简化了权限管理的操作方法，提升权限管理的易用性和用户体验。 MRS集群权限模型由“用户－用户组－角色－权限”四类对象构成。图1 权限模型权限由组件侧定义，允许访问组件某个资源的能力。不同组件针对自己的资源，有不同的权限。例如： HDFS针对文件资源权限，有读、写、执行等权限。 HBase针对表资源权限，有创建、读、写等权限。角色组件权限的一个集合，一个角色可以包含多个组件的多个权限，不同的角色也可以拥有同一个组件的同一个资源的权限。用户组用户的集合，当用户组关联某个或者多个角色后，该用户组内的用户就将拥有这些角色所定义的组件权限。不同用户组可以关联同一个角色，一个用户组也可以不关联任何角色，该用户组原则上将不具有任何组件资源的权限。部分组件针对特定的默认用户组，系统默认赋予了部分权限。用户系统的访问者，每个用户的权限由该用户关联的用户组和角色所对应的权限构成，用户需要加入用户组或者关联角色来获得对应的权限。

MAPREDUCE服务 MRS 集群用户权限概述

MAPREDUCE服务 MRS-MRS集群用户认证策略:安全模式

安全模式安全模式的集群统一使用Kerberos认证协议进行安全认证。Kerberos协议支持客户端与服务端进行相互认证，提高了安全性，可有效消除使用网络发送用户凭据进行模拟认证的安全风险。集群中由KrbServer服务提供Kerberos认证支持。 Kerberos用户对象 Kerberos协议中，每个用户对象即一个principal。一个完整的用户对象包含两个部分信息：用户名和域名。在运维管理或应用开发的场景中，需要在客户端认证用户身份后才能连接到集群服务端。系统操作运维与业务场景中主要使用的用户分为“人机”用户和“机机”用户。二者主要区别在于“机机”用户密码由系统随机生成。 Kerberos认证 Kerberos认证支持两种方式：密码认证及keytab认证。认证有效时间默认为24小时。密码认证：通过输入用户正确的密码完成身份认证。主要在运维管理场景中使用“人机”用户进行认证，命令为kinit 用户名。 keytab认证：keytab文件包含了用户principal和用户凭据的加密信息。使用keytab文件认证时，系统自动使用加密的凭据信息进行认证无需输入用户密码。主要在组件应用开发场景中使用“机机”用户进行认证。keytab文件也支持在kinit命令中使用。

MAPREDUCE服务 MRS 集群用户权限概述

云服务器内容精选

用户权限

7*24

备案

专业服务

退订

建议反馈

售前咨询热线