Uso de la autenticación LDAP para Presto en Amazon EMR

Siga los pasos de esta sección para configurar LDAP. Examine cada paso para ver ejemplos y enlaces a información adicional.

Paso 1: recopilar información sobre su servidor LDAP y copiar el certificado de servidor en Amazon S3

Necesitará la información y los elementos de la siguiente sección de su servidor LDAP para configurar la autenticación de LDAP.

La dirección IP o el nombre de host del servidor LDAP

El coordinador de Presto en el nodo maestro de Amazon EMR debe poder conectarse al servidor LDAP en la dirección IP o el nombre de host especificados. De forma predeterminada, Presto se comunica con el servidor LDAP mediante LDAPS a través del puerto 636. Si su implementación de LDAP requiere un puerto personalizado, puede especificarlo mediante la propiedad ldap.url con Amazon EMR 5.16.0 o versiones posteriores, o utilizar authentication.ldap.url con versiones anteriores. Sustituya el puerto personalizado de 636 que se muestra en los ejemplos de clasificación de configuración presto-config en Paso 3: Crear una configuración JSON con propiedades de Presto para LDAP. Asegúrese de que todos los firewalls y grupos de seguridad permiten el tráfico entrante y saliente en el puerto 636 (o en el puerto personalizado) y también en el puerto 8446 (o en el puerto personalizado), que se utiliza para las comunicaciones internas del clúster.

El certificado del servidor LDAP

Debe cargar el archivo de certificado en una ubicación segura en Amazon S3. Para obtener más información, consulte ¿Cómo puedo cargar archivos y carpetas en un bucket de S3? en la Guía del usuario de Amazon Simple Storage Service. Debe crear una acción de arranque que copie este certificado de Amazon S3 en cada nodo del clúster cuando se lance el clúster. En Paso 4: crear el script para copiar el certificado de servidor LDAP y cargarlo en Amazon S3. El certificado de ejemplo es s3://amzn-s3-demo-bucket/ldap_server.crt.

La configuración del servidor LDAP para la conexión anónima

Si la conexión anónima está deshabilitada en PrestoDB, necesita el ID de usuario (UID) y la contraseña de una cuenta con permisos para conectarse al servidor LDAP, de modo que el servidor de PrestoDB pueda establecer una conexión. El UID y la contraseña se especifican con las propiedades internal-communication.authentication.ldap.user e internal-communication.authentication.ldap.password en la clasificación de configuración presto-config. Amazon EMR 5.10.0 no admite esta configuración, por lo que la conexión anónima debe permitirse en el servidor LDAP cuando se utiliza esta versión.

Tenga en cuenta que Trino no requiere la configuración de enlace anónimo.

Las configuraciones de ejemplo de Paso 3: Crear una configuración JSON con propiedades de Presto para LDAP incluyen esta cuenta por razones de claridad, con la excepción del ejemplo de 5.10.0, en el que no se admite. Si el servidor LDAP utiliza la conexión anónima, quite el par de nombre-valor internal-communication.authentication.ldap.user e internal-communication.authentication.ldap.password.

El nombre distintivo (DN) de LDAP para los usuarios de Presto

Cuando especifique la configuración de LDAP para Presto, debe especificar un patrón de conexión que conste de ${USER} junto con una unidad organizativa (OU) y los componentes de dominio (DC) adicionales. Presto sustituye ${USER} por el ID de usuario (UID) real de cada usuario durante la autenticación de contraseñas para que coincida con el nombre distintivo (DN) que este patrón de conexión especifica. Necesita las unidades organizativas a las que pertenecen los usuarios y sus DC. Por ejemplo, para permitir que los usuarios de la unidad organizativa admins del dominio corp.example.com se autentiquen en Presto, debe especificar ${USER},ou=admins,dc=corp,dc=example,dc=com como el patrón de conexión del usuario.

Cuando utilice Amazon EMR 5.10.0, solo puede especificar un patrón de este tipo. Con Amazon EMR 5.11.0 o versiones posteriores, puede especificar varios patrones separados por un signo de dos puntos (:). Los usuarios que intentan autenticarse en Presto se cotejan con el primer patrón, después con el segundo y así sucesivamente. Para ver un ejemplo, consulte Paso 3: Crear una configuración JSON con propiedades de Presto para LDAP.

Paso 2: Definir una configuración de seguridad

Cree una configuración de seguridad con el cifrado en tránsito habilitado. Para obtener más información, consulte Creación de una configuración de seguridad en la Guía de administración de Amazon EMR. Los artefactos de cifrado que proporcionó al configurar el cifrado en tránsito se utilizan para cifrar la comunicación interna entre los nodos de Presto. Para obtener más información, consulte Proporcionar certificados para cifrado de datos en tránsito. El certificado de servidor LDAP se utiliza para autenticar las conexiones cliente con el servidor de Presto.

Paso 3: Crear una configuración JSON con propiedades de Presto para LDAP

Se utiliza la clasificación de configuración presto-config para establecer las propiedades de Presto para LDAP. El formato y el contenido de presto-config varían ligeramente según la versión de lanzamiento de Amazon EMR y la instalación de Presto (PrestoDB o Trino). Más adelante en esta sección, se proporcionan ejemplos de las diferencias de configuración. Para obtener más información, consulte Configuración de aplicaciones.

En los siguientes pasos, se presupone que se guardan los datos de JSON en un archivo, MyPrestoConfig.json. Si utiliza la consola, cargue el archivo en un lugar seguro en Amazon S3 para que pueda hacer referencia a él cuando cree el clúster. Si utiliza la AWS CLI, puede hacer referencia al archivo localmente.

[
   {
      "Classification":"prestosql-config",
      "Properties":{
         "http-server.authentication.type":"PASSWORD"
      }
   },
   {
      "Classification":"prestosql-password-authenticator",
      "Properties":{
         "password-authenticator.name":"ldap",
         "ldap.url":"ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
         "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal"
      }
   }
]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "PASSWORD"
                }
        },
        {
                "Classification": "presto-password-authenticator",
                "Properties": {
                        "password-authenticator.name": "ldap",
                        "ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "authentication.ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=prestousers,dc=ec2,dc=internal"
                }
        }]

Paso 4: crear el script para copiar el certificado de servidor LDAP y cargarlo en Amazon S3

Cree un script que copie el archivo de certificado en cada nodo del clúster y lo añada al almacén de claves. Cree el script con un editor de texto, guárdelo y, a continuación, cárguelo en Amazon S3. En Paso 5: Crear el clúster, se hace referencia al archivo de script como s3://amzn-s3-demo-bucket/LoadLDAPCert.sh.

El siguiente script de ejemplo utiliza la contraseña del almacén de claves predeterminada, changeit. Le recomendamos que se conecte al nodo principal después de crear el clúster y que cambie la contraseña del almacén de claves con el comando keytool.

#!/bin/bash
aws s3 cp s3://amzn-s3-demo-bucket/ldap_server.crt .
sudo keytool -import -keystore /usr/lib/jvm/jre-1.8.0-openjdk.x86_64/lib/security/cacerts -trustcacerts -alias ldap_server -file ./ldap_server.crt -storepass changeit -noprompt

Paso 5: Crear el clúster

Al crear el clúster, debe especificar Presto y demás aplicaciones que desee que Amazon EMR instale. Los siguientes ejemplos también hacen referencia a las propiedades de clasificación de configuración de un archivo JSON, pero también puede especificar la clasificación de configuración directamente.