Rangerを通じたユーザー別 HDFSアクセス権限管理

VPC環境で利用できます。

Apache Rangerでビックデータのエコシステムに関するセキュリティルールを実現できます。Rangerプロジェクトは、すべての Hadoopアプリケーションに統一した方式でセキュリティガイドラインを定義して適用するのに役立ちます。

本ガイドでは、Rangerのユーザーベースアクセス権限管理機能を使用して、ユーザーごとにアクセス可能な HDFSディレクトリを指定する方法について説明します。

Rangerアーキテクチャのサマリー

• クライアント側がリソースにアクセスする際、Rangerが間で Policyに基づいてアクセス制御機能を実行します。
• HDFS以外の Hive、HBaseなどのコンポーネントのリソースもアクセス制御が可能です。

Hueを用いた User作成

1. Hue Web UIにアクセスします。
   • Hueの使用についての内容は、Hue を使用するガイドをご参照ください。
2. 画面左下のプロファイルにカーソルを合わせ、 [ユーザー管理] をクリックします。
   
3. 画面右上の [ユーザー追加] ボタンをクリックした後、ユーザー名とパスワードを入力して新しいユーザーを作成します。
   

• ユーザーが正常に作成された場合、管理ユーザーページで作成されたユーザーを確認できます。
• さらに、画面左側のメニューバーのファイルメニューをクリックすると、/user パスでユーザー名が付いたディレクトリを確認できます。

Ranger User作成

1. Ranger UIにアクセスし、画面上部の Settings > [Users/Groups/Roles] ボタンをクリックします。
2. Groups > [Add New Group] ボタンをクリックした後、グループを作成します。
3. Rangerユーザーを追加するには、画面上部の [Users] タブをクリックした後、 [Add New User] ボタンをクリックします。
   • User Name項目に Hueで作成したユーザー名と同じユーザーを作成します。
   • Passwordと First Name項目は自由に設定できます。
   • Select Role項目で管理者(Admin)と一般ユーザー(User)のどちらかを選択できます。
   • Group項目では、事前に作成したグループを選択します。
     
4. ユーザーの作成が完了すると、Ranger UIでユーザーリストを以下のように確認できます。
   

Ranger Policy作成

1. Policyを設定するには、画面上部の Access Manager > Resource Based Policiesをクリックします。
2. [HDFS] タブにある [{クラスタ名}_hadoop] サービスをクリックします。
   
3. 画面右側の [Add New Policy] ボタンをクリックします。
   

Resource設定

• Create Policy > Policy Detailsで Policyの名前と管理対象リソースを設定できます。
  
• [Resource Path] 項目にアクセスを制御したい HDFSディレクトリの Pathを入力します。
• [recursive] オプションは、サブディレクトリを含むかどうかを示します。

Condition作成

• Ranger Policyを別途作成していなくても、Hueから HDFSへのアクセスが可能です。

• Ranger Policyの Conditionには、アクセス許可のための Allow Conditionと、アクセス制限のための Deny Conditionの2種類が存在します。
• HDFSは Conditionが存在しなくても既にアクセスが可能なため、Ranger Policyを作成して Deny Conditionを事前にに設定することで HDFSへのアクセス制限が可能になります。

• Deny Condtions項目の [Select User] をクリックし、アクセスを制限するユーザーをすべて選択します。
• 特定のユーザーのみアクセスを許可するように設定するには、 [Exclude from Deny Conditions] タブ下の [Select User] 項目をクリックして例外ユーザーを指定できます。
• [Permissions] で権限を設定します。
• Conditionの作成が完了したら、画面下部の [Add] ボタンをクリックして Policyを作成します。
  
• アクセス制限が正常に設定されている場合、Hueでアクセス制限が適用された HDFSディレクトリにアクセスすると、画面右上に警告ポップアップメッセージが表示されます。
• 以下の例は、「user-2」ユーザーとしてログイン後、/user/user-1 ディレクトリにアクセスしようとした際の画面です。アクセスが制限され、警告ポップアップメッセージが表示されたことを確認できます。
  

Ranger Audit確認

• アクセスが制限された原因は、Ranger UIを通じて正確に把握できます。
• 画面上部の [Audit] タブをクリックします。
  
• アクセスリストで Rangerによってアクセスが制限されたディレクトリを確認できます。
• HDFSの独自の ACLではなく Rangerによって制限されたリソースは、Access Enforcerタブに hadoop-aclではなく ranger-aclが表示されています。