Utilizzo LDAP dell'autenticazione per Presto su Amazon EMR

Segui i passaggi di questa sezione per configurareLDAP. Vedi ogni passo per esempi e link per ulteriori informazioni.

Passaggio 1: raccogli informazioni sul tuo LDAP server e copia il certificato del server su Amazon S3

Per configurare l'LDAPautenticazione, avrai bisogno delle informazioni e degli elementi riportati nella sezione seguente dal tuo LDAP server.

L'indirizzo IP o il nome host del LDAP server

Il coordinatore Presto sul nodo EMR master Amazon deve essere in grado di raggiungere il LDAP server all'indirizzo IP o al nome host specificato. Per impostazione predefinita, Presto comunica con il LDAP server utilizzando la porta LDAPS 636. Se la tua LDAP implementazione richiede una porta personalizzata, puoi specificarla utilizzando la ldap.url proprietà con Amazon EMR 5.16.0 o versioni successive oppure utilizzarla authentication.ldap.url con versioni precedenti. Sostituire la porta personalizzati per 636 come mostrato negli esempi di classificazione della configurazione presto-config in Fase 3: Creare una configurazione JSON con le proprietà Presto per LDAP. Verificare che i firewall e i gruppi di sicurezza consentano il traffico in entrata e in uscita sulla porta 636 (o la porta personalizzata) e anche sulla porta 8446 (o la porta personalizzata), che viene utilizzata per le comunicazioni interne del cluster.

Il certificato del server LDAP

È necessario caricare il file del certificato in un percorso sicuro in Amazon S3. Per ulteriori informazioni, consulta Come caricare file e cartelle in un bucket S3 nella Guida per l'utente di Amazon Simple Storage Service. È possibile creare un'operazione di bootstrap che copi questo certificato da Amazon S3 su ogni nodo nel cluster quando il cluster viene avviato. Nello stato Passaggio 4: creare lo script per copiare il certificato del LDAP server e caricarlo su Amazon S3. Il certificato di esempio è s3://amzn-s3-demo-bucket/ldap_server.crt.

Le impostazioni del LDAP server per l'associazione anonima

Se l'associazione anonima è disabilitata su PrestoDB, sono necessari l'ID utente UID () e la password di un account con autorizzazioni per l'associazione al LDAP server in modo che il server PrestoDB possa stabilire una connessione. È possibile specificare la password UID e utilizzando le proprietà internal-communication.authentication.ldap.user and internal-communication.authentication.ldap.password nella classificazione della configurazione. presto-config Amazon EMR 5.10.0 non supporta queste impostazioni, quindi l'associazione anonima deve essere supportata sul LDAP server quando si utilizza questa versione di rilascio.

Occorre notare che Trino non richiede la configurazione dell'associazione anonima.

Le configurazioni di esempio in Fase 3: Creare una configurazione JSON con le proprietà Presto per LDAP includono questo account per chiarezza, ad eccezione dell'esempio 5.10.0, dove non è supportato. Se il LDAP server utilizza l'associazione anonima, rimuovete internal-communication.authentication.ldap.user le coppie internal-communication.authentication.ldap.password nome/valore.

Il nome LDAP distinto (DN) per gli utenti Presto

Quando si specifica la LDAP configurazione per Presto, si specifica un pattern di ${USER} associazione composto da un'unità organizzativa (OU) e componenti di dominio aggiuntivi (DCs). Presto lo sostituisce ${USER} con l'ID utente effettivo (UID) di ciascun utente durante l'autenticazione tramite password in modo che corrisponda al nome distinto (DN) specificato da questo modello di associazione. È necessario OUs che gli utenti idonei appartengano e i loro. DCs Ad esempio, per consentire agli utenti dell'UO admins nel dominio corp.example.com di autenticarsi per Presto, è necessario specificare ${USER},ou=admins,dc=corp,dc=example,dc=com come modello bind dell'utente.

Quando usi Amazon EMR 5.10.0, puoi specificare solo uno di questi modelli. Con Amazon EMR 5.11.0 o versioni successive, puoi specificare più modelli separati da due punti (:). Gli utenti che tentano di effettuare l'autenticazione su Presto sono paragonati al primo modello, quindi al secondo e così via. Per vedere un esempio, consulta Fase 3: Creare una configurazione JSON con le proprietà Presto per LDAP.

Fase 2: impostazione di una configurazione di sicurezza

Creare una configurazione di sicurezza con la crittografia dei dati in transito abilitata. Per ulteriori informazioni, consulta Creare una configurazione di sicurezza nell'Amazon EMR Management Guide. Gli artefatti della crittografia forniti durante la configurazione della crittografia dei dati in transito vengono utilizzati per crittografare le comunicazioni interne tra i nodi Presto. Per ulteriori informazioni, consulta Fornitura di certificati per la crittografia dei dati in transito. Il certificato del LDAP server viene utilizzato per autenticare le connessioni dei client al server Presto.

Fase 3: Creare una configurazione JSON con le proprietà Presto per LDAP

Si utilizza la classificazione presto-config di configurazione per impostare le proprietà Presto perLDAP. Il formato e il contenuto di presto-config sono leggermente diversi a seconda della versione di EMR rilascio di Amazon e dell'installazione di Presto (PrestoDB o Trino). Più avanti in questa sezione verranno forniti alcuni esempi di differenze di configurazione. Per ulteriori informazioni, consulta Configurazione delle applicazioni.

I passaggi seguenti presuppongono il salvataggio dei JSON dati in un file, MyPrestoConfig.json. Se usi la console, carica il file in una posizione sicura in Amazon S3 in modo da potervi fare riferimento quando crei il cluster. Se usi il AWS CLI, puoi fare riferimento al file localmente.

[
   {
      "Classification":"prestosql-config",
      "Properties":{
         "http-server.authentication.type":"PASSWORD"
      }
   },
   {
      "Classification":"prestosql-password-authenticator",
      "Properties":{
         "password-authenticator.name":"ldap",
         "ldap.url":"ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
         "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal"
      }
   }
]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "PASSWORD"
                }
        },
        {
                "Classification": "presto-password-authenticator",
                "Properties": {
                        "password-authenticator.name": "ldap",
                        "ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "authentication.ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=prestousers,dc=ec2,dc=internal"
                }
        }]

Passaggio 4: creare lo script per copiare il certificato del LDAP server e caricarlo su Amazon S3

Crea uno script che copia il file di certificato su ogni nodo nel cluster e lo aggiunge al keystore. Crea lo script utilizzando un editor di testo, salvalo e quindi caricalo su Amazon S3. NelFase 5: creazione del cluster, il file di script è referenziato come s3://amzn-s3-demo-bucket/LoadLDAPCert.sh.

Lo script di esempio seguente utilizza la password predefinita del keystore, changeit. Si consiglia di connettersi al nodo master dopo aver creato il cluster e modificato la password del keystore utilizzando il comando keytool.

#!/bin/bash
aws s3 cp s3://amzn-s3-demo-bucket/ldap_server.crt .
sudo keytool -import -keystore /usr/lib/jvm/jre-1.8.0-openjdk.x86_64/lib/security/cacerts -trustcacerts -alias ldap_server -file ./ldap_server.crt -storepass changeit -noprompt

Fase 5: creazione del cluster

Quando crei il cluster, specifichi Presto e altre applicazioni che desideri che Amazon EMR installi. Gli esempi seguenti fanno anche riferimento alle proprietà di classificazione della configurazione all'interno di aJSON, ma è anche possibile specificare la classificazione della configurazione in linea.