hadoop - 在没有 Sentry 的情况下授权 Hadoop 用户

Question

我有一个 Kerberized CDH 集群，其中运行着一些日常的 oozie 工作流。它们都使用 shell、impala-shell、hive 和 sqoop 将数据提取到 Hive 表(让我们调用这些表 SensitiveTables)

现在，我想创建 2 个新的 BI 用户来使用集群并试验一些其他摄取的数据。

要求是这些新的 BI 用户:

• 不应该访问SensitiveTables
• 应该能够spark-submit 作业到集群
• (可选)使用 Hue

除了设置Apache Sentry (这是推荐的方法)，是否有机会使用文件权限或 ACL 和服务级别授权来满足这些要求？

到目前为止，我设法(通过 hadoop fs -chmod o-rwx/user/hive/warehouse/sensitive)通过 Hive(使用用户模拟)，但未能通过 Impala 执行此操作(它以用户 impala 的身份将所有作业提交到集群)。还有什么我应该尝试的吗？

谢谢，

哎呀

Answer 1

经过大量研究并根据我描述的假设，答案是否定的。此外，无法以这种方式保护 Metastore。