Uso de LDAP la autenticación para Presto en Amazon EMR

Siga los pasos de esta sección para configurarloLDAP. Examine cada paso para ver ejemplos y enlaces a información adicional.

Paso 1: Recopile información sobre su LDAP servidor y copie el certificado del servidor en Amazon S3

Necesitará la información y los elementos de la siguiente sección de su LDAP servidor para configurar la LDAP autenticación.

La dirección IP o el nombre de host del LDAP servidor

El coordinador de Presto del nodo EMR maestro de Amazon debe poder comunicarse con el LDAP servidor en la dirección IP o el nombre de host especificados. De forma predeterminada, Presto se comunica con el LDAP servidor a LDAPS través del puerto 636. Si su LDAP implementación requiere un puerto personalizado, puede especificarlo mediante la ldap.url propiedad de Amazon EMR 5.16.0 o posterior, o authentication.ldap.url con versiones anteriores. Sustituya el puerto personalizado de 636 que se muestra en los ejemplos de clasificación de configuración presto-config en Paso 3: Cree una configuración JSON con las propiedades de Presto para LDAP. Asegúrese de que todos los firewalls y grupos de seguridad permiten el tráfico entrante y saliente en el puerto 636 (o en el puerto personalizado) y también en el puerto 8446 (o en el puerto personalizado), que se utiliza para las comunicaciones internas del clúster.

El certificado del servidor LDAP

Debe cargar el archivo de certificado en una ubicación segura en Amazon S3. Para obtener más información, consulte ¿Cómo puedo cargar archivos y carpetas en un bucket de S3? en la Guía del usuario de Amazon Simple Storage Service. Debe crear una acción de arranque que copie este certificado de Amazon S3 en cada nodo del clúster cuando se lance el clúster. En Paso 4: Cree el script para copiar el certificado LDAP del servidor y subirlo a Amazon S3. El certificado de ejemplo es s3://amzn-s3-demo-bucket/ldap_server.crt.

La configuración del LDAP servidor para el enlace anónimo

Si el enlace anónimo está deshabilitado en PrestoDB, necesitará el ID de usuario UID () y la contraseña de una cuenta con permisos para vincularse al servidor, de modo que LDAP el servidor PrestoDB pueda establecer una conexión. La contraseña UID y la contraseña se especifican mediante las internal-communication.authentication.ldap.password propiedades internal-communication.authentication.ldap.user y de la clasificación de configuración. presto-config Amazon EMR 5.10.0 no admite esta configuración, por lo que el LDAP servidor debe admitir el enlace anónimo cuando utilice esta versión de lanzamiento.

Tenga en cuenta que Trino no requiere la configuración de enlace anónimo.

Las configuraciones de ejemplo de Paso 3: Cree una configuración JSON con las propiedades de Presto para LDAP incluyen esta cuenta por razones de claridad, con la excepción del ejemplo de 5.10.0, en el que no se admite. Si el LDAP servidor utiliza un enlace anónimo, elimine los pares internal-communication.authentication.ldap.user y internal-communication.authentication.ldap.password nombre/valor.

El nombre LDAP distintivo (DN) de los usuarios de Presto

Al especificar la LDAP configuración de Presto, se especifica un patrón de encuadernación que consiste ${USER} en una unidad organizativa (OU) y componentes de dominio adicionales (DCs). Presto lo reemplaza por el ID de usuario (UID) real de cada usuario durante la autenticación ${USER} con contraseña para que coincida con el nombre distintivo (DN) que especifica este patrón de enlace. Necesita el nombre al OUs que pertenecen los usuarios aptos y el suyo. DCs Por ejemplo, para permitir que los usuarios de la unidad organizativa admins del dominio corp.example.com se autentiquen en Presto, debe especificar ${USER},ou=admins,dc=corp,dc=example,dc=com como el patrón de conexión del usuario.

Al utilizar Amazon EMR 5.10.0, solo puede especificar uno de esos patrones. Con Amazon EMR 5.11.0 o una versión posterior, puede especificar varios patrones separados por dos puntos (:). Los usuarios que intentan autenticarse en Presto se cotejan con el primer patrón, después con el segundo y así sucesivamente. Para ver un ejemplo, consulte Paso 3: Cree una configuración JSON con las propiedades de Presto para LDAP.

Paso 2: Definir una configuración de seguridad

Cree una configuración de seguridad con el cifrado en tránsito habilitado. Para obtener más información, consulta Cómo crear una configuración de seguridad en la Amazon EMR Management Guide. Los artefactos de cifrado que proporcionó al configurar el cifrado en tránsito se utilizan para cifrar la comunicación interna entre los nodos de Presto. Para obtener más información, consulte Proporcionar certificados para cifrado de datos en tránsito. El certificado LDAP del servidor se utiliza para autenticar las conexiones de los clientes al servidor de Presto.

Paso 3: Cree una configuración JSON con las propiedades de Presto para LDAP

Utilice la clasificación de presto-config configuración para establecer las propiedades de Presto. LDAP El formato y el contenido varían ligeramente según la versión de presto-config EMR lanzamiento de Amazon y la instalación de Presto (PrestoDB o Trino). Más adelante en esta sección, se proporcionan ejemplos de las diferencias de configuración. Para obtener más información, consulte Configuración de aplicaciones.

En los siguientes pasos se supone que guardas los JSON datos en un archivo, MyPrestoConfig.json. Si usa la consola, cargue el archivo en una ubicación segura en Amazon S3 para que pueda hacer referencia a él cuando cree el clúster. Si usa el AWS CLI, puede hacer referencia al archivo localmente.

[
   {
      "Classification":"prestosql-config",
      "Properties":{
         "http-server.authentication.type":"PASSWORD"
      }
   },
   {
      "Classification":"prestosql-password-authenticator",
      "Properties":{
         "password-authenticator.name":"ldap",
         "ldap.url":"ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
         "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal"
      }
   }
]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "PASSWORD"
                }
        },
        {
                "Classification": "presto-password-authenticator",
                "Properties": {
                        "password-authenticator.name": "ldap",
                        "ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "authentication.ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=prestousers,dc=ec2,dc=internal"
                }
        }]

Paso 4: Cree el script para copiar el certificado LDAP del servidor y subirlo a Amazon S3

Cree un script que copie el archivo de certificado en cada nodo del clúster y lo añada al almacén de claves. Cree el script con un editor de texto, guárdelo y, a continuación, cárguelo en Amazon S3. EnPaso 5: Crear el clúster, se hace referencia al archivo de script como s3://amzn-s3-demo-bucket/LoadLDAPCert.sh.

El siguiente script de ejemplo utiliza la contraseña predeterminada del almacén de claves, changeit. Se recomienda conectarse al nodo principal después de crear el clúster y cambiar la contraseña del almacén de claves mediante el comando keytool.

#!/bin/bash
aws s3 cp s3://amzn-s3-demo-bucket/ldap_server.crt .
sudo keytool -import -keystore /usr/lib/jvm/jre-1.8.0-openjdk.x86_64/lib/security/cacerts -trustcacerts -alias ldap_server -file ./ldap_server.crt -storepass changeit -noprompt

Paso 5: Crear el clúster

Al crear el clúster, especificas Presto y otras aplicaciones que deseas que Amazon EMR instale. Los siguientes ejemplos también hacen referencia a las propiedades de la clasificación de la configuración dentro de aJSON, pero también se puede especificar la clasificación de la configuración en línea.