Knox 使用 ACL 授权

Question

服务级别授权

Knox Gateway 具有开箱即用的授权提供者程序，允许管理员限制对 Hadoop 集群中各个服务的访问。该提供者利用简单熟悉的 ACL 模式来通过指定允许访问的用户，组和IP地址来保护 Hadoop 资源。

使用 ACL 授权的配置如下：

<provider>
    <role>authorization</role>
    <name>AclsAuthz</name>
    <enabled>true</enabled>
</provider>

上述默认设置没有包含任何 ACL 清单，因此对于访问Hadoop服务没有任何限制。了保护资源和指定用户、组或IP的访问权限，需要提供如下参数：

<param>
    <name>{serviceName}.acl</name>
    <value>username[,*|username...];group[,*|group...];ipaddr[,*|ipaddr...]</value>
</param>

身份断言的例子

身份断言提供者的主要映射方面对于理解为了充分利用该提供者的授权特征是重要的。 此功能允许我们将经过身份验证的主体映射到后端中的 Hadoop 服务的断定或假冒主体。

<provider>
  <role>identity-assertion</role>
  <name>Default</name>
  <enabled>true</enabled>
  <param>
    <name>principal.mapping</name>
    <value>guest=hdfs;</value>
  </param>
  <param>
    <name>group.principal.mapping</name>
    <value>*=users;hdfs=admin</value>
  </param>
</provider>