用户权限-华为云

数据复制服务 DRS-源数据库用户权限是否足够:处理建议

处理建议在使用DRS进行迁移或同步时，连接源数据库的账号需要满足一定的权限要求，才能启动任务。不同引擎、不同模式的任务，需要的账号权限也不同。DRS会在“预检查”阶段对数据库账号权限进行自动检查，并给出处理建议。以MySQL的迁移为例，源数据用户权限要求如下：全量迁移权限要求： SELECT、SHOW VIEW、EVENT。参考语句：GRANT SELECT, SHOW VIEW, EVENT ON *.* TO 'user1'; 全量+增量迁移权限要求： SELECT、SHOW VIEW、EVENT、LOCK TABLES、REPLICATION SLAVE、REPLICATION CLIENT。其中，REPLICATION SLAVE、REPLICATION CLIENT是全局权限，必须单独开启。参考语句如下： GRANT REPLICATION SLAVE, REPLICATION CLIENT ON *.* TO 'user1'; SELECT、SHOW VIEW、EVENT、LOCK TABLES是非全局权限，参考语句如下： GRANT SELECT, SHOW VIEW, EVENT, LOCK TABLES ON [待迁移数据库].* TO 'user1';

数据复制服务 DRS 数据库用户权限检查

硬件开发工具链平台云服务-角色管理:角色管理相关操作

角色管理相关操作在“角色管理”页面，您还可以进行如表2所示的操作。表2 角色管理相关操作操作描述编辑角色在“角色管理”页面，单击待编辑角色记录“操作”列的“编辑”，根据实际情况修改角色对应参数取值。删除角色在“角色管理”页面，单击待删除角色记录“操作”列的“删除”，删除角色。查询角色在“角色管理”页面，在角色列表上方输入框输入“角色代码”或“角色名称”信息，再单击“查询”，查询角色。

硬件开发工具链平台云服务用户权限

MapReduce服务 MRS-配置HetuEngine使用代理用户鉴权

配置HetuEngine使用代理用户鉴权适用于 MRS 3.3.0及以后版本。 HetuEngine支持使用 FusionInsight Manager用户认证时通过客户自有用户（代理用户）使用Ranger鉴权的能力。即在使用HetuEngine客户端时，通过--session-user来指定代理用户。创建认证用户或代理用户请参考创建HetuEngine权限角色。启用Ranger鉴权并为代理用户配置操作数据源的数据库、表、列的管理权限，具体操作请参考添加HetuEngine的Ranger访问权限策略。集群已启用Kerberos认证（安全模式）使用kinit指定认证用户（需为HetuEngine管理员用户，并额外添加supergroup用户组才能代理其他用户鉴权），如hetuadmin1。 kinit hetuadmin1 根据提示输入用户密码，首次登录需重置密码。再使用--session-user指定代理用户，如user1。 hetu-cli --session-user user1 集群未启用Kerberos认证（普通模式）使用--user指定认证用户（需拥有hetuuser用户组才能代理其他用户鉴权），如user；使用--session-user指定代理用户，如user1。 hetu-cli --user user --session-user user1 该功能不适用于HiveMetastore数据源鉴权与多用户映射共存的场景。父主题： HetuEngine用户权限管理

MapReduce服务 MRS HetuEngine用户权限管理

MapReduce服务 MRS-配置Doris表的列权限管理:操作场景

操作场景在FE的自定义配置项中添加“enable_col_auth”参数开启列授权后，Doris支持对列级别权限的管理。该特性仅MRS 3.3.1及之后版本支持。表的列级别的授权仅支持Select_priv权限。必须使用具有Grant_priv权限的用户进行列权限的管理操作。被授予了列级别Select_priv权限的用户，如果执行select *查询表数据，结果只返回具有Select_priv权限的列。被授予了列级别Select_priv权限的用户，如果执行desc tbl查询表的详细信息，结果只返回具有Select_priv权限的列。支持视图和物化视图的列级别授权。

MapReduce服务 MRS Doris用户权限管理

MapReduce服务 MRS-MRS集群用户认证策略:安全模式

安全模式安全模式的集群统一使用Kerberos认证协议进行安全认证。Kerberos协议支持客户端与服务端进行相互认证，提高了安全性，可有效消除使用网络发送用户凭据进行模拟认证的安全风险。集群中由KrbServer服务提供Kerberos认证支持。 Kerberos用户对象 Kerberos协议中，每个用户对象即一个principal。一个完整的用户对象包含两个部分信息：用户名和域名。在运维管理或应用开发的场景中，需要在客户端认证用户身份后才能连接到集群服务端。系统操作运维与业务场景中主要使用的用户分为“人机”用户和“机机”用户。二者主要区别在于“机机”用户密码由系统随机生成。 Kerberos认证 Kerberos认证支持两种方式：密码认证及keytab认证。认证有效时间默认为24小时。密码认证：通过输入用户正确的密码完成身份认证。主要在运维管理场景中使用“人机”用户进行认证，命令为kinit 用户名。 keytab认证：keytab文件包含了用户principal和用户凭据的加密信息。使用keytab文件认证时，系统自动使用加密的凭据信息进行认证无需输入用户密码。主要在组件应用开发场景中使用“机机”用户进行认证。keytab文件也支持在kinit命令中使用。

MapReduce服务 MRS 集群用户权限概述

MapReduce服务 MRS-MRS集群用户认证策略:普通模式

普通模式普通模式的集群不同组件使用原生开源的认证机制，不支持kinit认证命令。FusionInsight Manager（含DBService、KrbServer和LdapServer）使用的认证方式为用户名密码方式。组件使用的认证机制如表1所示。表1 组件认证方式一览表服务认证方式 IoTDB simple认证 CDL 无认证 ClickHouse simple认证 Flume 无认证 HBase WebUI：无认证客户端：simple认证 HDFS WebUI：无认证客户端：simple认证 HetuEngine WebUI：无认证客户端：无认证 Hive simple认证 Hue 用户名密码认证 Kafka 无认证 Loader WebUI：用户名密码认证客户端：无认证 Mapreduce WebUI：无认证客户端：无认证 Oozie WebUI：用户名密码认证客户端：simple认证 Spark2x WebUI：无认证客户端：simple认证 Storm 无认证 Yarn WebUI：无认证客户端：simple认证 ZooKeeper simple认证认证方式解释如下： “simple认证”：在客户端连接服务端的过程中，默认以客户端执行用户（例如操作系统用户“root”或“omm”）自动进行认证，管理员或业务用户不显式感知认证，不需要kinit完成认证过程。 “用户名密码认证”：使用集群中“人机”用户的用户名与密码进行认证。 “无认证”：默认任意的用户都可以访问服务端。

MapReduce服务 MRS 集群用户权限概述

MapReduce服务 MRS-配置HDFS用户访问HDFS文件权限:配置HDFS文件和目录的权限

配置HDFS文件和目录的权限 HDFS支持用户进行文件和目录默认权限的修改。HDFS默认用户创建文件和目录的权限的掩码为“022”，如果默认权限满足不了用户的需求，可以通过配置项进行默认权限的修改。参数入口：请参考修改集群服务配置参数，进入HDFS的“全部配置”页面，在搜索框中输入参数名称。表1 参数说明参数描述默认值 fs.permissions.umask-mode 当客户端在HDFS上创建文件和目录时使用此umask值（用户掩码）。类似于linux上的文件权限掩码。可以使用八进制数字也可以使用符号，例如：“022” (八进制，等同于以符号表示的u=rwx,g=r-x,o=r-x)，或者“u=rwx,g=rwx,o=”(符号法，等同于八进制的“007”)。说明： 8进制的掩码，和实际权限设置值正好相反，建议使用符号表示法，描述更清晰。 022

MapReduce服务 MRS HDFS用户权限管理

MapReduce服务 MRS-ClickHouse用户及权限管理:用户权限模型

用户权限模型 ClickHouse用户权限管理实现了对集群中各个ClickHouse实例上用户、角色、权限的统一管理。通过Manager UI的权限管理模块进行创建用户、创建角色、绑定ClickHouse访问权限配置等操作，通过用户绑定角色的方式，实现用户权限控制。管理资源：Clickhouse权限管理支持的资源如表1所示。资源权限：ClickHouse支持的资源权限如表2所示。本章节不支持MRS 3.1.0普通模式（未开启Kerberos认证）集群。表1 ClickHouse支持的权限管理对象资源列表是否集成备注数据库是（一级） - 表是（二级） - 视图是（二级）与表一致表2 资源权限列表资源对象可选权限备注数据库（DATABASE） CREATE CREATE DATABASE/TABLE/VIEW/DICTIONARY权限表/视图（TABLE/VIEW） SELECT/INSERT -

MapReduce服务 MRS ClickHouse用户权限管理

MapReduce服务 MRS-配置Spark表、列和数据库的用户权限:相关概念

相关概念 SparkSQL的语句在SparkSQL中进行处理，权限要求如表1所示。表1 使用SparkSQL表、列或数据库场景权限一览操作场景用户需要的权限 CREATE TABLE “创建”，RWX+ownership（for create external table - the location）说明：按照指定文件路径创建datasource表时，需要path后面文件的RWX+ownership权限。 DROP TABLE “Ownership”（of table） DROP TABLE PROPERTIES “Ownership” DESCRIBE TABLE “查询” SHOW PARTITIONS “查询” ALTER TABLE LOCATION “Ownership”，RWX+ownership (for new location) ALTER PARTITION LOCATION “Ownership”，RWX+ownership (for new partition location) ALTER TABLE ADD PARTITION “插入”，RWX+ownership (for partition location) ALTER TABLE DROP PARTITION “删除” ALTER TABLE(all of them except the ones above) “Update”，“Ownership” TRUNCATE TABLE “Ownership” CREATE VIEW “查询”，“Grant Of Select”，“创建” ALTER VIEW PROPERTIES “Ownership” ALTER VIEW RENAME “Ownership” ALTER VIEW ADD PARTS “Ownership” ALTER VIEW AS “Ownership” ALTER VIEW DROPPARTS “Ownership” ANALYZE TABLE “查询”，“插入” SHOW COLUMNS “查询” SHOW TABLE PROPERTIES “查询” CREATE TABLE AS SELECT “查询”，“创建” SELECT “查询” 说明：与表一样，对视图进行SELECT操作的时候需要有该视图的“查询”权限。 INSERT “插入”，“删除 (for overwrite)” LOAD “插入”，“删除”，RWX+ownership(input location) SHOW CREATE TABLE “查询”，“Grant Of Select” CREATE FUNCTION “管理” DROP FUNCTION “管理” DESC FUNCTION - SHOW FUNCTIONS - MSCK (metastore check) “Ownership” ALTER DATABASE “管理” CREATE DATABASE - SHOW DATABASES - EXPLAIN “查询” DROP DATABASE “Ownership” DESC DATABASE - CACHE TABLE “查询” UNCACHE TABLE “查询” CLEAR CACHE TABLE “管理” REFRESH TABLE “查询” ADD FILE “管理” ADD JAR “管理” HEALTHCHECK -

MapReduce服务 MRS Spark用户权限管理

MapReduce服务 MRS-配置Spark表、列和数据库的用户权限:操作步骤

操作步骤 SparkSQL表授权、列授权、数据库授权与Hive的操作相同，详情请参见Hive用户权限管理。在权限管理中，为了方便用户使用，授予数据库下表的任意权限将自动关联该数据库目录的HDFS权限。为了避免产生性能问题，取消表的任意权限，系统不会自动取消数据库目录的HDFS权限，但对应的用户只能登录数据库和查看表名。若为角色添加或删除数据库的查询权限，数据库中的表也将自动添加或删除查询权限。此机制为Hive实现，SparkSQL与Hive保持一致。 Spark不支持struct数据类型中列名称含有特殊字符（除字母、数字、下划线外的其他字符）。如果struct类型中列名称含有特殊字符，在FusionInsight Manager的“编辑角色”页面进行授权时，该列将无法正确显示。

MapReduce服务 MRS Spark用户权限管理

MapReduce服务 MRS-Flink用户权限说明

Flink用户权限说明访问并使用Flink WebUI进行业务操作需为用户赋予FlinkServer相关权限，Manager的admin用户没有FlinkServer的业务操作权限。 FlinkServer中应用（租户）是最大管理范围，包含集群连接管理、数据连接管理、应用管理、流表和作业管理等。 FlinkServer中有如表1所示三种资源权限：表1 FlinkServer资源权限权限名称权限描述备注 FlinkServer管理员权限具有所有应用的编辑、查看权限。是FlinkServer的最高权限。如果已经具有FlinkServer管理员权限，则会自动具备所有应用的权限。应用编辑权限具有当前应用编辑权限的用户，可以执行创建、编辑和删除集群连接、数据连接，创建流表、创建作业及运行作业等操作。同时具有当前应用查看权限。应用查看权限具有当前应用查看权限的用户，可以查看应用。 - 父主题： Flink用户权限管理

MapReduce服务 MRS Flink用户权限管理

MapReduce服务 MRS-Kafka用户权限说明:操作场景

操作场景在启用Kerberos认证的集群中，用户使用Kafka前需要拥有对应的权限。MRS集群支持将Kafka的使用权限，授予不同用户。 Kafka默认用户组如表1所示。在MRS 3.x及之后版本中，Kafka支持两种鉴权插件：“Kafka开源自带鉴权插件”和“Ranger鉴权插件”。本章节描述的是基于“Kafka开源自带鉴权插件”的用户权限管理。若想使用 “Ranger鉴权插件”，请参考添加Kafka的Ranger访问权限策略。表1 Kafka默认用户组用户组名称描述 kafkaadmin Kafka管理员用户组。添加入本组的用户，拥有所有主题的创建，删除，授权及读写权限。 kafkasuperuser Kafka高级用户组。添加入本组的用户，拥有所有主题的读写权限。 kafka Kafka普通用户组。添加入本组的用户，需要被kafkaadmin组用户授予特定主题的读写权限，才能访问对应主题。

MapReduce服务 MRS Kafka用户权限管理

MapReduce服务 MRS-创建Hive角色:操作场景

操作场景该任务指导MRS集群管理员在Manager创建并设置Hive的角色。Hive角色可设置Hive管理员权限以及Hive数据表的数据操作权限。用户使用Hive并创建数据库需要加入hive组，不需要角色授权。用户在Hive和HDFS中对自己创建的数据库或表拥有完整权限，可直接创建表、查询数据、删除数据、插入数据、更新数据以及授权他人访问表与对应HDFS目录与文件。默认创建的数据库或表保存在HDFS目录“/user/hive/warehouse”。安全模式支持创建Hive角色，普通模式不支持创建Hive角色。 MRS 3.x及后续版本支持Ranger，如果当前组件使用了Ranger进行权限控制，须基于Ranger配置相关策略进行权限管理，具体操作可参考添加Hive的Ranger访问权限策略。

MapReduce服务 MRS Hive用户权限管理

边缘数据中心管理 EDCM-创建区域内角色并授权:相关任务

相关任务用户可根据需要进行如下操作：查看区域内角色信息：单击目标角色名称。修改区域内角色信息：单击角色名称，并单击“修改”。删除角色：单击目标“操作”列的“删除”，或选中多个角色单击“删除”。不能删除区域管理员角色和当前用户的所属角色。导出角色信息：单击，选择“导出全部角色”。单个文件最多包含500条角色信息，当角色的个数超过500个时，导出文件为多个。区域管理员只能导出本区域内角色。导出的文件为 CS V格式或XLSX格式，并以ZIP压缩包格式下载到本地。

边缘数据中心管理 EDCM 用户权限区域管理

云服务器内容精选

用户权限

7*24

备案

专业服务

退订

建议反馈

售前咨询热线