Menggunakan LDAP otentikasi untuk Presto di Amazon EMR

Ikuti langkah-langkah di bagian ini untuk mengkonfigurasiLDAP. Lihat setiap langkah untuk contoh dan tautan ke informasi lebih lanjut.

Langkah 1: Kumpulkan informasi tentang LDAP server Anda dan salin sertifikat server ke Amazon S3

Anda akan memerlukan informasi dan item di bagian berikut dari LDAP server Anda untuk mengonfigurasi LDAP otentikasi.

Alamat IP atau nama host LDAP server

Koordinator Presto pada node EMR master Amazon harus dapat mencapai LDAP server pada alamat IP atau nama host yang ditentukan. Secara default, Presto berkomunikasi dengan LDAP server menggunakan LDAPS lebih dari port 636. Jika LDAP implementasi Anda memerlukan port khusus, Anda dapat menentukannya menggunakan ldap.url properti dengan Amazon EMR 5.16.0 atau yang lebih baru, atau menggunakan authentication.ldap.url dengan versi sebelumnya. Mengganti port kustom untuk 636 seperti yang ditunjukkan dalam presto-config contoh klasifikasi konfigurasi di Langkah 3: Buat konfigurasi JSON dengan properti Presto untuk LDAP. Pastikan bahwa firewall dan grup keamanan memungkinkan lalu lintas masuk dan keluar pada port 636 (atau port kustom Anda) dan juga port 8446 (atau port kustom Anda), yang digunakan untuk komunikasi cluster internal.

Sertifikat LDAP server

Anda harus meng-upload file sertifikat ke lokasi yang aman di Amazon S3. Untuk informasi selengkapnya, lihat Bagaimana cara mengunggah file dan folder ke Bucket S3 di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon. Anda membuat bootstrap tindakan yang menyalin sertifikat ini dari Amazon S3 untuk setiap node dalam gugus ketika kluster meluncurkan. Masuk Langkah 4: Buat skrip untuk menyalin sertifikat LDAP server dan mengunggahnya ke Amazon S3. Contoh sertifikat adalah s3://amzn-s3-demo-bucket/ldap_server.crt.

Pengaturan LDAP server untuk pengikatan anonim

Jika pengikatan anonim dinonaktifkan pada PrestoDB, Anda memerlukan ID pengguna UID () dan kata sandi akun dengan izin untuk mengikat ke LDAP server sehingga server PrestoDB dapat membuat koneksi. Anda menentukan UID dan kata sandi menggunakan internal-communication.authentication.ldap.password properti internal-communication.authentication.ldap.user dan dalam klasifikasi presto-config konfigurasi. Amazon EMR 5.10.0 tidak mendukung pengaturan ini, jadi pengikatan anonim harus didukung di LDAP server saat Anda menggunakan versi rilis ini.

Perhatikan bahwa Trino tidak memerlukan konfigurasi pengikatan anonim.

Konfigurasi contoh dalam Langkah 3: Buat konfigurasi JSON dengan properti Presto untuk LDAP sertakan akun ini untuk kejelasan, dengan pengecualian contoh 5.10.0, di mana tidak didukung. Jika LDAP server menggunakan pengikatan anonim, hapus pasangan internal-communication.authentication.ldap.user internal-communication.authentication.ldap.password nama/nilai.

Nama LDAP terhormat (DN) untuk pengguna Presto

Ketika Anda menentukan LDAP konfigurasi untuk Presto, Anda menentukan pola mengikat yang terdiri dari ${USER} bersama dengan unit organisasi (OU) dan komponen domain tambahan (DCs). Presto menggantikan ${USER} dengan User ID (UID) aktual dari setiap pengguna selama otentikasi kata sandi untuk mencocokkan nama yang dibedakan (DN) yang ditentukan oleh pola bind ini. Anda membutuhkan pengguna OUs yang memenuhi syarat milik dan milik merekaDCs. Misalnya, untuk memungkinkan pengguna dari admins OU di corp.example.com domain untuk otentikasi ke Presto, Anda tentukan ${USER},ou=admins,dc=corp,dc=example,dc=com sebagai pola mengikat pengguna.

Saat menggunakan Amazon EMR 5.10.0, Anda hanya dapat menentukan satu pola seperti itu. Menggunakan Amazon EMR 5.11.0 atau yang lebih baru, Anda dapat menentukan beberapa pola yang dipisahkan oleh titik dua (:). Pengguna mencoba untuk mengotentikasi ke Presto dibandingkan dengan pola pertama, maka yang kedua, dan seterusnya. Sebagai contoh, lihat Langkah 3: Buat konfigurasi JSON dengan properti Presto untuk LDAP.

Langkah 2: Mengatur konfigurasi keamanan

Buat konfigurasi keamanan dengan enkripsi dalam transit diaktifkan. Untuk informasi selengkapnya, lihat Membuat konfigurasi keamanan di Panduan EMR Manajemen Amazon. Artefak enkripsi yang Anda berikan ketika Anda mengatur di-transit enkripsi yang digunakan untuk mengenkripsi komunikasi internal antara Presto node. Untuk informasi selengkapnya, lihat Menyediakan sertifikat untuk enkripsi data in-transit. Sertifikat LDAP server digunakan untuk mengautentikasi koneksi klien ke server Presto.

Langkah 3: Buat konfigurasi JSON dengan properti Presto untuk LDAP

Anda menggunakan klasifikasi presto-config konfigurasi untuk mengatur properti Presto. LDAP Format dan isinya sedikit presto-config berbeda tergantung pada versi EMR rilis Amazon dan instalasi Presto (PrestoDB atau Trino). Contoh perbedaan konfigurasi disediakan nanti dalam bagian ini. Untuk informasi selengkapnya, lihat Konfigurasikan aplikasi.

Langkah-langkah berikut mengasumsikan bahwa Anda menyimpan JSON data ke file, MyPrestoConfig.json. Jika Anda menggunakan konsol, unggah file ke lokasi aman di Amazon S3 sehingga Anda dapat mereferensikannya saat membuat cluster. Jika Anda menggunakan AWS CLI, Anda dapat mereferensikan file secara lokal.

[
   {
      "Classification":"prestosql-config",
      "Properties":{
         "http-server.authentication.type":"PASSWORD"
      }
   },
   {
      "Classification":"prestosql-password-authenticator",
      "Properties":{
         "password-authenticator.name":"ldap",
         "ldap.url":"ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
         "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal"
      }
   }
]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "PASSWORD"
                }
        },
        {
                "Classification": "presto-password-authenticator",
                "Properties": {
                        "password-authenticator.name": "ldap",
                        "ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "authentication.ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=prestousers,dc=ec2,dc=internal"
                }
        }]

Langkah 4: Buat skrip untuk menyalin sertifikat LDAP server dan mengunggahnya ke Amazon S3

Membuat script yang menyalin file sertifikat untuk setiap node dalam gugus dan menambahkan ke keystore. Buat skrip menggunakan editor teks, simpan, dan kemudian muat naik ke Amazon S3. DalamLangkah 5: Membuat cluster, file skrip direferensikan sebagai s3://amzn-s3-demo-bucket/LoadLDAPCert.sh.

Contoh skrip berikut menggunakan kata sandi keystore default, changeit. Kami menyarankan Anda terhubung ke node master setelah Anda membuat cluster dan mengubah kata sandi keystore menggunakan perintah keytool.

#!/bin/bash
aws s3 cp s3://amzn-s3-demo-bucket/ldap_server.crt .
sudo keytool -import -keystore /usr/lib/jvm/jre-1.8.0-openjdk.x86_64/lib/security/cacerts -trustcacerts -alias ldap_server -file ./ldap_server.crt -storepass changeit -noprompt

Langkah 5: Membuat cluster

Ketika Anda membuat cluster, Anda menentukan Presto dan aplikasi lain yang Anda ingin Amazon EMR untuk menginstal. Contoh berikut juga mereferensikan properti klasifikasi konfigurasi dalam aJSON, tetapi Anda juga dapat menentukan klasifikasi konfigurasi sebaris.