RangerによるHueユーザー別HDFSアクセス権限管理

VPC環境で利用できます。

Apache Rangerを用いて、ビッグデータエコシステムに対するセキュリティルールを実装できます。Rangerプロジェクトは、すべてのHadoopアプリケーションに一貫した方法でセキュリティガイドラインを定義して適用できるようにします。

このガイドでは、Rangerのユーザーベースのアクセス権限管理機能を通じてユーザー別にアクセスできるHDFSディレクトリを指定する方法を説明します。

Rangerアーキテクチャの要約

• クライアント側からリソースにアクセスする際、Rangerが中間でPolicyを基準にアクセス制御機能を実行します。
• HDFS以外にもHive、HBaseなどのコンポーネントリソースに対してアクセス制御できます。

HUEを利用したUserの作成

1. HUE UIにアクセスします。
   • HUEの使用に関する内容は、HUEを使用するをご参照ください。
2. 左下のプロフィールにマウスオーバーし、[ユーザーの管理] をクリックします。
   
3. 右上の [ユーザーの追加] をクリックし、ユーザー名とパスワードを入力して新しいユーザーを作成します。
   

• ユーザーの作成に成功すると、ユーザーの管理ページで作成されたユーザーを確認できます。
• 追加で左側の [ファイル] タブをクリックし、/userパスでユーザー名のディレクトリを確認できます。

Ranger Userの作成<

1. Ranger UIにアクセスし、上段の Settings > [Users/Groups] ボタンをクリックします。
2. 上段のGroupsタブをクリックし、[Add New Group] ボタンをクリックします。
3. Rangerユーザーを追加するために、上段のUsersタブをクリックして [Add New User] ボタンをクリックします。
   • User Name項目にHUEで作成したユーザー名と同じユーザーを作成します。
   • PasswordとFirst Name項目は自由に設定できます。
   • Select Role項目で管理者(Admin)と一般ユーザー(User)の有無を選択できます。
   • Group項目には、あらかじめ作成したグループを選択します。
     
4. ユーザーの作成が完了したら、Ranger UIで次のようにユーザーリストを確認できます。
   

Ranger Policyの作成

1. Policyを設定するために上段の Access Manager > Resource Based Policies をクリックします。
2. HDFS タブにある [{クラスタ名}_hadoop] サービスをクリックします。
   
3. 右側の [Add New Policy] ボタンをクリックします。
   

リソースの設定

• Create Policy > Policy Detailsで、Policyの名前と管理したいリソースを設定できます。
  
• [Resource Path] 項目にアクセスを制御するHDFSディレクトリのパスを入力します。
• [recursive] オプションは、下位ディレクトリが含まれるかどうかを表します。

Conditionの作成

• Ranger Policyを別に作成していない場合でも、HUEからHDFSにアクセスできます。

• Ranger PolicyのConditionには、アクセス許可のためのAllow Conditionとアクセス制限のためのDeny Conditionの2種類があります。
• HDFSはConditionが存在しなくても既にアクセスできるため、Ranger Policyを作成してまずDeny Conditionを作成することでHDFSアクセスを制限できます。

• [Deny Condtions] タブの下の [Select User] 項目をクリックしてアクセスを制限するユーザーをすべて選択します。
• 特定ユーザーのみアクセスを許可するように設定するには、[Exclude from Deny Conditions] タブの下の [Select User] 項目をクリックして例外ユーザーを指定できます。
• Conditionの作成が完了したら、下段の [Add] ボタンをクリックしてPolicyを作成します。
  
• 正常にアクセス制限を設定した場合、HUEでアクセス制限が適用されたHDFSディレクトリをアクセスした時、右上に警告ポップアップメッセージが出力されます。
• 上記の例は、user-2ユーザーにログインしてから/user/user-1ディレクトリにアクセスを試みた時の画面です。アクセスが制限され、警告ポップアップメッセージの出力が確認できます。
  

Ranger Auditの確認

• アクセス制限になった原因は、Ranger UIを通じて正確に把握できます。
• 右上の [Audit] ボタンをクリックします。
  
• アクセスリストで、Rangerによってアクセスが制限されたディレクトリを確認できます。
• HDFSの独自ACLではなくRangerによって制限されたリソースは、Access Enforcerタブに'hadoop-acl'ではなく'ranger-acl'が出力されています。