Utilisation de LDAP l'authentification pour Presto sur Amazon EMR

Suivez les étapes décrites dans cette section pour configurerLDAP. Chaque étape contient des exemples et des liens vers des informations complémentaires.

Étape 1 : recueillir des informations sur votre LDAP serveur et copier le certificat du serveur sur Amazon S3

Vous aurez besoin des informations et des éléments de la section suivante auprès de votre LDAP serveur pour configurer LDAP l'authentification.

Adresse IP ou nom d'hôte du LDAP serveur

Le coordinateur Presto sur le nœud EMR principal Amazon doit pouvoir accéder au LDAP serveur à l'adresse IP ou au nom d'hôte spécifiés. Par défaut, Presto communique avec le LDAP serveur LDAPS via le port 636. Si votre LDAP implémentation nécessite un port personnalisé, vous pouvez le spécifier à l'aide de la ldap.url propriété avec Amazon EMR 5.16.0 ou version ultérieure, ou en utilisant authentication.ldap.url des versions antérieures. Remplacez 636 par le port personnalisé comme illustré dans les exemples de configuration presto-config de Étape 3 : Création d'une configuration JSON avec les propriétés Presto pour LDAP. Assurez-vous que les pare-feu et les groupes de sécurité autorisent le trafic entrant et sortant sur le port 636 (ou votre port personnalisé) ainsi que sur le port 8446 (ou votre port personnalisé), qui est utilisé pour les communications de cluster internes.

Le certificat LDAP du serveur

Vous devez charger le fichier de certificat dans un emplacement sécurisé dans Amazon S3. Pour plus d'informations, consultez Comment charger des fichiers ou des dossiers dans un compartiment S3 dans le Guide de l'utilisateur Amazon Simple Storage Service. Vous créez une action d'amorçage qui copie ce certificat depuis Amazon S3 vers chaque nœud du cluster lors du lancement du cluster. Dans Étape 4 : créer le script pour copier le certificat LDAP du serveur et le télécharger sur Amazon S3. L'exemple de certificat est s3://amzn-s3-demo-bucket/ldap_server.crt.

Les paramètres du LDAP serveur pour la liaison anonyme

Si la liaison anonyme est désactivée sur PrestoDB, vous avez besoin de l'ID utilisateur UID () et du mot de passe d'un compte autorisé à établir une liaison au serveur afin que le LDAP serveur PrestoDB puisse établir une connexion. Vous spécifiez le mot de passe UID et à l'aide internal-communication.authentication.ldap.password des propriétés internal-communication.authentication.ldap.user et de la classification presto-config de configuration. Amazon EMR 5.10.0 ne prend pas en charge ces paramètres. La liaison anonyme doit donc être prise en charge sur le LDAP serveur lorsque vous utilisez cette version.

Notez que Trino ne nécessite pas la configuration de liaison anonyme.

Les exemples de configuration dans Étape 3 : Création d'une configuration JSON avec les propriétés Presto pour LDAP incluent ce compte pour plus de clarté, à l'exception de l'exemple 5.10.0, dans lequel il n'est pas pris en charge. Si le LDAP serveur utilise une liaison anonyme, supprimez les paires internal-communication.authentication.ldap.password nom/valeur internal-communication.authentication.ldap.user et.

Le nom LDAP distinctif (DN) pour les utilisateurs de Presto

Lorsque vous spécifiez la LDAP configuration de Presto, vous spécifiez un modèle de liaison composé d'${USER}une unité organisationnelle (UO) et de composants de domaine supplémentaires (DCs). Presto remplace ${USER} par l'ID utilisateur (UID) réel de chaque utilisateur lors de l'authentification par mot de passe afin qu'il corresponde au nom distinctif (DN) spécifié par ce modèle de liaison. Vous avez besoin de OUs ceux auxquels appartiennent les utilisateurs éligibles et de leursDCs. Par exemple, pour autoriser les utilisateurs de l'unité d'organisation admins ou du domaine corp.example.com à s'authentifier auprès de Presto, vous spécifiez ${USER},ou=admins,dc=corp,dc=example,dc=com en tant que modèle de liaison utilisateur.

Lorsque vous utilisez Amazon EMR 5.10.0, vous ne pouvez spécifier qu'un seul modèle de ce type. À l'aide d'Amazon EMR 5.11.0 ou version ultérieure, vous pouvez spécifier plusieurs modèles séparés par deux points (:). Les utilisateurs qui tentent de s'authentifier auprès de Presto sont comparés au premier modèle, puis au deuxième, et ainsi de suite. Pour obtenir un exemple, consultez Étape 3 : Création d'une configuration JSON avec les propriétés Presto pour LDAP.

Étape 2 : Définir une configuration de sécurité

Créez une configuration de sécurité avec le chiffrement en transit activé. Pour plus d'informations, consultez la section Création d'une configuration de sécurité dans le guide EMR de gestion Amazon. Les artefacts de chiffrement que vous fournissez lorsque vous configurez le chiffrement en transit sont utilisés pour chiffrer les communications internes entre les nœuds Presto. Pour plus d'informations, consultez Mise à disposition des certificats de chiffrement des données en transit. Le certificat de LDAP serveur est utilisé pour authentifier les connexions des clients au serveur Presto.

Étape 3 : Création d'une configuration JSON avec les propriétés Presto pour LDAP

Vous utilisez la classification presto-config de configuration pour définir les propriétés Presto pourLDAP. Le format et le contenu de presto-config sont légèrement différents selon la EMR version d'Amazon et l'installation de Presto (PrestoDB ou Trino). Des exemples de configuration sont fournis plus tard dans cette section. Pour de plus amples informations, veuillez consulter Configuration des applications.

Les étapes suivantes supposent que vous enregistrez les JSON données dans un fichier, MyPrestoConfig.json. Si vous utilisez la console, chargez le fichier sur un emplacement sécurisé dans Amazon S3 afin de pouvoir le référencer lors de la création du cluster. Si vous utilisez le AWS CLI, vous pouvez référencer le fichier localement.

[
   {
      "Classification":"prestosql-config",
      "Properties":{
         "http-server.authentication.type":"PASSWORD"
      }
   },
   {
      "Classification":"prestosql-password-authenticator",
      "Properties":{
         "password-authenticator.name":"ldap",
         "ldap.url":"ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
         "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal"
      }
   }
]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "PASSWORD"
                }
        },
        {
                "Classification": "presto-password-authenticator",
                "Properties": {
                        "password-authenticator.name": "ldap",
                        "ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "authentication.ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=prestousers,dc=ec2,dc=internal"
                }
        }]

Étape 4 : créer le script pour copier le certificat LDAP du serveur et le télécharger sur Amazon S3

Créez un script qui copie le fichier de certificat sur chaque nœud du cluster et l'ajoute au keystore. Créez le script à l'aide d'un éditeur de texte, enregistrez-le, puis chargez-le dans Amazon S3. DansÉtape 5 : Créer le cluster, le fichier de script est référencé comme s3://amzn-s3-demo-bucket/LoadLDAPCert.sh.

L'exemple de script suivant utilise le mot de passe du keystore par défaut, changeit. Nous vous recommandons de vous connecter au nœud principal après avoir créé le cluster et modifié le mot de passe du keystore à l'aide de la commande keytool.

#!/bin/bash
aws s3 cp s3://amzn-s3-demo-bucket/ldap_server.crt .
sudo keytool -import -keystore /usr/lib/jvm/jre-1.8.0-openjdk.x86_64/lib/security/cacerts -trustcacerts -alias ldap_server -file ./ldap_server.crt -storepass changeit -noprompt

Étape 5 : Créer le cluster

Lorsque vous créez le cluster, vous spécifiez Presto et les autres applications que vous souhaitez qu'Amazon EMR installe. Les exemples suivants font également référence aux propriétés de classification de configuration au sein d'unJSON, mais vous pouvez également spécifier la classification de configuration en ligne.