Amazon での Kerberos アーキテクチャオプション EMR

利点

• Amazon EMRは の完全な所有権を持っていますKDC。

• EMR クラスターKDC上の は、Microsoft Active Directory や などの一元化されたKDC実装から独立しています AWS Managed Microsoft AD。

• はクラスター内のローカルノードの認証のみKDCを管理するため、パフォーマンスへの影響は最小限です。

• オプションで、他の Kerberos 認証済みクラスターは、 を外部 KDCとして参照できますKDC。詳細については、「外部 KDC— 別のクラスターのプライマリノード」を参照してください。

考慮事項と制限事項

• Kerberos 認証済みクラスターは相互に認証できないため、アプリケーションを相互運用することはできません。クラスターアプリケーションが相互運用する必要がある場合は、クラスター間でクロス領域信頼を確立するか、1 つのクラスターを他のクラスターKDCの外部として設定する必要があります。クロス領域信頼が確立された場合、 には異なる Kerberos 領域KDCsが必要です。

• ユーザープリンシパルに対応するプライマリノードのEC2インスタンスに、各KDCユーザーのHDFSディレクトリとともに Linux ユーザーを作成する必要があります。

• ユーザープリンシパルは、EC2プライベートキーファイルとkinit認証情報を使用して、 を使用してクラスターに接続する必要がありますSSH。

利点

• がインストールされているEMRクラスターKDCは、 の完全な所有権を維持しますKDC。

• Active Directory を使用すると、Amazon は のユーザープリンシパルに対応する Linux ユーザーEMRを自動的に作成しますKDC。引き続き、ユーザーごとにHDFSディレクトリを作成する必要があります。さらに、Active Directory ドメインのユーザープリンシパルは、EC2プライベートキーファイルを使用せずに、kinit認証情報を使用して Kerberos 認証されたクラスターにアクセスできます。これにより、クラスターユーザー間でプライベートキーを共有する必要がなくなります。

• 各クラスターはクラスター内のノードの認証KDCを管理するため、クラスター間で多数のノードのネットワークレイテンシーと処理オーバーヘッドの影響は最小限に抑えられます。

考慮事項と制限事項

• Active Directory 領域を使用して信頼性を確立する場合、クラスター作成時に、ドメインにプリンシパルを結合する許可がある Active Directory のユーザー名とパスワードを提供する必要があります。

• クロス領域信頼を同名の Kerberos 領域間に確立することはできません。

• クロス領域信頼は明示的に確立する必要があります。例えば、クラスター A とクラスター B の両方が とのクロス領域信頼を確立した場合KDC、本質的に相互に信頼することはなく、アプリケーションは相互運用のために相互に認証することはできません。

• KDCs は、ユーザープリンシパルの認証情報が正確に一致するように、個別に維持し、調整する必要があります。

• 外部 KDC—MIT KDC

• 外部 KDC— 別のクラスターのプライマリノード

• 外部 KDC— Active Directory クロス領域信頼を持つ別のクラスターKDC上のクラスター

利点

• プリンシパルの管理は 1 つの に統合されますKDC。

• 複数のクラスターが同じ Kerberos 領域KDCで同じ を使用できます。詳細については、「同じ で複数のクラスターを使用するための要件 KDC」を参照してください。

• Kerberos 認証済みクラスターのプライマリノードには、 の維持に関連するパフォーマンスの負担はありませんKDC。

考慮事項と制限事項

• 各 Kerberos 認証済みクラスターのプライマリノードのEC2インスタンスで、ユーザープリンシパルに対応する Linux KDC ユーザーと、各ユーザーのHDFSディレクトリを作成する必要があります。

• ユーザープリンシパルは、 を使用して Kerberos 認証されたクラスターに接続するには、EC2プライベートキーファイルとkinit認証情報を使用する必要がありますSSH。

• Kerberos 認証済みEMRクラスターの各ノードには、 へのネットワークルートが必要ですKDC。

• Kerberos 認証されたクラスターの各ノードは、外部 に認証の負担をかけるためKDC、 の設定はクラスターのパフォーマンスKDCに影響します。KDC サーバーのハードウェアを設定するときは、同時にサポートされる Amazon EMRノードの最大数を考慮してください。

• クラスターのパフォーマンスは、Kerberos 認証されたクラスターと のノード間のネットワークレイテンシーによって異なりますKDC。

• 相互依存関係のため、トラブルシューティングはより困難になることがあります。

利点

• プリンシパルの管理は 1 つの に統合されますKDC。

• 複数のクラスターが同じ Kerberos 領域KDCで同じ を使用できます。詳細については、「同じ で複数のクラスターを使用するための要件 KDC」を参照してください。

考慮事項と制限事項

• 各 Kerberos 認証済みクラスターのプライマリノードのEC2インスタンスで、ユーザープリンシパルに対応する Linux KDC ユーザーと、各ユーザーのHDFSディレクトリを作成する必要があります。

• ユーザープリンシパルは、 を使用して Kerberos 認証されたクラスターに接続するには、EC2プライベートキーファイルとkinit認証情報を使用する必要がありますSSH。

• 各EMRクラスターの各ノードには、 へのネットワークルートが必要ですKDC。

• Kerberos 認証されたクラスターの各 Amazon EMRノードは、外部 に認証の負担をかけるためKDC、 の設定はクラスターのパフォーマンスKDCに影響します。KDC サーバーのハードウェアを設定するときは、同時にサポートされる Amazon EMRノードの最大数を考慮してください。

• クラスターのパフォーマンスは、クラスター内のノードと 間のネットワークレイテンシーによって異なりますKDC。

• 相互依存関係のため、トラブルシューティングはより困難になることがあります。

利点

• プリンシパルの管理は Active Directory ドメインに統合されています。

• Amazon は Active Directory 領域EMRに参加するため、Active Directory ユーザーに対応する Linux ユーザーを作成する必要がなくなります。引き続き、ユーザーごとにHDFSディレクトリを作成する必要があります。

• 複数のクラスターが同じ Kerberos 領域KDCで同じ を使用できます。詳細については、「同じ で複数のクラスターを使用するための要件 KDC」を参照してください。

• Active Directory ドメインのユーザープリンシパルは、EC2プライベートキーファイルを使用せずに、kinit認証情報を使用して Kerberos 認証されたクラスターにアクセスできます。これにより、クラスターユーザー間でプライベートキーを共有する必要がなくなります。

• を維持するのは 1 つの Amazon EMRプライマリノードのみでありKDC、 KDCと Active Directory 間のクロス領域信頼のために Active Directory 認証情報を使用してクラスターを作成する必要があります。

考慮事項と制限事項

• 各EMRクラスターの各ノードには、 KDCおよび Active Directory ドメインコントローラーへのネットワークルートが必要です。

• 各 Amazon EMRノードは外部 に認証の負担をかけるためKDC、 の設定はクラスターのパフォーマンスKDCに影響します。KDC サーバーのハードウェアを設定するときは、同時にサポートされる Amazon EMRノードの最大数を考慮してください。

• クラスターのパフォーマンスは、クラスター内のノードとKDCサーバー間のネットワークレイテンシーによって異なります。

• 相互依存関係のため、トラブルシューティングはより困難になることがあります。