Ranger从入门到精通以及案例实操系列

1、Ranger概述

1.1、什么是Ranger

Apache Ranger是一个Hadoop平台上的全方位数据安全管理框架，它可以为整个Hadoop生态系统提供全面的安全管理。
随着企业业务的拓展，企业可能在多用户环境中运行多个工作任务，这就需要一个可以对安全策略进行集中管理，配置和监控用户访问的框架。Ranger由此产生！
Ranger的官网：https://ranger.apache.org/

1.2、Ranger的目标

• 允许用户使用UI或REST API对所有和安全相关的任务进行集中化的管理
• 允许用户使用一个管理工具对操作Hadoop体系中的组件和工具的行为进行细粒度的授权
• 支持Hadoop体系中各个组件的授权认证标准
• 增强了对不同业务场景需求的授权方法支持，例如基于角色的授权或基于属性的授权
• 支持对Hadoop组件所有涉及安全的审计行为的集中化管理

1.3、Ranger支持的框架

• Apache Hadoop
• Apache Hive
• Apache HBase
• Apache Storm
• Apache Knox
• Apache Solr
• Apache Kafka
• YARN
• NIFI

1.4、Ranger的架构

1.5、Ranger的工作原理

Ranager的核心是Web应用程序，也称为RangerAdmin模块，此模块由管理策略，审计日志和报告等三部分组成。

管理员角色的用户可以通过RangerAdmin提供的web界面或REST APIS来定制安全策略。这些策略会由Ranger提供的轻量级的针对不同Hadoop体系中组件的插件来执行。插件会在Hadoop的不同组件的核心进程启动后，启动对应的插件进程来进行安全管理！

2、Ranger的安装

2.1、环境说明

• Ranger2.0要求对应的Hadoop为3.x以上，Hive为3.x以上版本，JDK为1.8以上版本。
• Hadoop及Hive等需开启用户认证功能，本文基于开启Kerberos安全认证的Hadoop和Hive环境。

注：本文中Ranger相关组件均安装在hadoop102节点。

2.2、创建系统用户和Kerberos主体

Ranger的启动和运行需使用特定的用户，故须在Ranger所在节点创建所需系统用户并在Kerberos中创建所需主体。

2.2.1、创建ranger系统用户

[root@hadoop102 ~]# useradd  ranger -G hadoop
[root@hadoop102 ~]# echo ranger | passwd --stdin ranger

2.2.2、检查HTTP主体是否正常（该主体在Hadoop开启Kerberos时已创建）

1. 使用keytab文件认证HTTP主体

[root@hadoop102 ~]# kinit -kt /etc/security/keytab/spnego.service.keytab HTTP/hadoop102@EXAMPLE.COM

2. 查看认证状态，如下图所示，即为正常

[root@hadoop102 ~]# klist

3. 注销认证

[root@hadoop102 ~]# kdestroy 

2.2.3、创建rangeradmin主体

1. 创建主体

[root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"addprinc -randkey rangeradmin/hadoop102"

2. 生成keytab文件
   [root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"xst -k /etc/security/keytab/rangeradmin.keytab rangeradmin/hadoop102"
3. 修改keytab文件所有者
   [root@hadoop102 ~]# chown ranger:ranger /etc/security/keytab/rangeradmin.keytab

2.2.4、创建rangerlookup主体

1. 创建主体

[root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"addprinc -randkey rangerlookup/hadoop102"

2. 生成keytab文件

[root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"xst -k /etc/security/keytab/rangerlookup.keytab rangerlookup/hadoop102"

3. 修改keytab文件所有者

[root@hadoop102 ~]# chown ranger:ranger /etc/security/keytab/rangerlookup.keytab

2.2.5、创建rangerusersync主体

1. 创建主体

[root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"addprinc -randkey rangerusersync/hadoop102"

2. 生成keytab文件

[root@hadoop102 ~]# kadmin -padmin/admin -wadmin -q"xst -k /etc/security/keytab/rangerusersync.keytab rangerusersync/hadoop102"

3. 修改keytab文件所有者

[root@hadoop102 ~]# chown ranger:ranger /etc/security/keytab/rangerusersync.keytab