07-如何为Hue集成AD认证

温馨提示：如果使用电脑查看图片不清晰，可以使用手机打开文章单击文中的图片放大查看高清原图。

Fayson的github： https://github.com/fayson/cdhproject

提示：代码块部分可以左右滑动查看噢

1.文档编写目的

Fayson在前面的文章《01-如何在Window Server 2012 R2搭建Acitve Directory域服务》、《02-Active Directory安装证书服务并配置》、《03-Active Directory的使用与验证》、《04-如何在RedHat7上配置OpenLDAP客户端及集成SSSD服务和集成SSH登录》、《05-如何为Hive集成AD认证》和《06-如何为Impala集成AD认证》。本篇文章Fayson主要介绍Hue集成AD认证。

• 内容概述

1.Hue配置AD认证

2.Hue中配置Hive和Impala

3.总结

• 测试环境

1.CM和CDH版本为5.15.0

2.集群已启用Kerberos

3.Window Server2012 R2

2.环境准备

这一步主要是在AD中创建两个用户huesuper和hiveadmin两个用户，huesuper为Hue的超级管理员，hiveadmin用户为Hive的超级管理员。

3.Hue配置AD认证

1.登录CM的Web控制台，进入Hue服务配置界面搜索“LDAP”，修改配置如下：

2.配置保存成功后，使用Hue提供的LDAP测试功能测试配置是否正常

测试成功显示如下：

3.将“身份验证后端”修改为默认的配置

“desktop.auth.backend.AllowFirstUserDjangoBackend”

4.保存配置并重启Hue服务，使用hue默认的管理员admin/admin登录，进入用户管理界面

点击“Add/Sync LDAP user”,将AD中创建的huesuper用户同步至Hue

同步成功后在用户列表显示huesuper用户

将huesuper用户修改为超级管理员

上面的配置方式主要是为了使用hue的超级管理员同步AD中的一个用户并将该用户设置为超级用户，这样我们将Hue的身份验证后端修改为LDAP方式，也有相应的超级用户登录hue进行用户同步。

5.进入Hue服务的配置界面将“身份验证后端”修改为LDAP认证方式

6.保存配置并重启Hue服务，接下来使用huesuper用户登录Hue进行用户同步

hiveadmin用户同步成功

进入Group管理界面，点击“Add/Sync LDAP group”同步AD中的hive组

将hiveadmin用户添加到hive组中

如上操作就完成了hiveadmin和huesuper用户的同步。

4.Hue中集成Hive和Impala

注意：如果Hive/Impala已设置了LDAP认证，需要在Hue中增加以下设置，否则Hue无法正常连接Hive或Impala进行查询，

1.通过CM在hue_safety_valve.ini中增加如下配置

[desktop]
ldap_username=hiveadmin
ldap_password=123!QAZ

（可左右滑动）

2.HDFS的core-site.xml配置中增加hiveadmin代理设置

<property>
    <name>hadoop.proxyuser.hiveadmin.hosts</name>
    <value>*</value>
</property>
<property>
    <name>hadoop.proxyuser.hiveadmin.groups</name>
    <value>*</value>
</property>

（可左右滑动）

3.在Impala中增加代理用户的所有权限

--authorized_proxy_user_config=hiveadmin=*

保存以上修改的配置后，回到CM主页根据提示重启相应服务。

5.Hue集成AD测试

在前面已经有测试过同步AD的用户和组操作，这里Fayson主要测试Hive和Impala集成。

1.使用testa用户登录Hue，在Hive执行引擎下执行SQL操作

执行Count操作

2.使用Impala执行引擎进行SQL操作

执行Count操作

6.总结

1.Hue默认第一个登录的用户为管理员账号，在集成AD时需要配置LDAP信息后再将Hue登录的认证方式修改为AllowFirstUserDjangoBackend，需要使用管理员用户先登录Hue将AD用户同步后，再修改为LDAP认证。

2.如果Hive或者Impala已集成AD，则需要在Hue、HDFS、Impala中增加额外的配置。

3.Hue管理LDAP用户组的逻辑是独立管理用户和组，在同步用户的时候是不会将用户的组信息同步。

4.在Hue集成OpenLDAP的时候有勾选“登录时创建OpenLDAP用户”，所以我们不需要先登录Hue管理员到用户界面去同步LDAP的用户。

提示：代码块部分可以左右滑动查看噢

为天地立心，为生民立命，为往圣继绝学，为万世开太平。 温馨提示：如果使用电脑查看图片不清晰，可以使用手机打开文章单击文中的图片放大查看高清原图。