Amazon での認証に Kerberos を使用する EMR

Amazon EMRリリース 5.10.0 以降では、Kerberos がサポートされています。Kerberos は、シークレットキーの暗号化を使用して強力な認証を提供するネットワーク認証プロトコルであり、パスワードやその他の認証情報が暗号化されていない形式でネットワーク経由で送信されることはありません。

Kerberos では、認証を必要とするサービスやユーザーはプリンシパルと呼ばれます。プリンシパルは Kerberos 領域内に存在します。領域内では、キー分散センター (KDC） と呼ばれる Kerberos サーバーが、プリンシパルが認証する手段を提供します。は、認証のチケットを発行することでこれKDCを行います。は、プリンシパルのデータベースをその領域、パスワード、および各プリンシパルに関するその他の管理情報内にKDC保持します。KDC は、クロス領域信頼と呼ばれる、他の領域のプリンシパルからの認証情報を受け入れることもできます。さらに、 EMRクラスターは外部 を使用してプリンシパルKDCを認証できます。

クロス領域信頼を確立したり、外部 を使用したりするための一般的なシナリオKDCは、Active Directory ドメインからユーザーを認証することです。これにより、ユーザーは SSHを使用してEMRクラスターに接続したり、ビッグデータアプリケーションを操作したりするときに、ドメインアカウントで クラスターにアクセスできます。

Kerberos 認証を使用する場合、Amazon はクラスターにインストールするアプリケーション、コンポーネント、サブシステムに対して Kerberos EMRを設定し、相互に認証されるようにします。

Amazon を使用して Kerberos を設定する前にEMR、Kerberos の概念、 で実行されるサービスKDC、Kerberos サービスを管理するためのツールについて理解しておくことをお勧めします。詳細については、MITKerberos コンソーシアムによって公開されている Kerberos ドキュメントを参照してください。