Amazon での Presto のLDAP認証の使用 EMR

このセクションの手順に従って を設定しますLDAP。例および詳細へのリンクについては、各ステップを参照してください。

ステップ 1: LDAPサーバーに関する情報を収集し、サーバー証明書を Amazon S3 にコピーする

LDAP 認証LDAPを設定するには、サーバーから次のセクションの情報と項目が必要です。

LDAP サーバーの IP アドレスまたはホスト名

Amazon EMRマスターノードの Presto コーディネーターは、指定された IP アドレスまたはホスト名でLDAPサーバーに到達できる必要があります。デフォルトでは、Presto はポート 636 LDAPS経由で を使用してLDAPサーバーと通信します。LDAP 実装にカスタムポートが必要な場合は、Amazon 5.16.0 EMR 以降の ldap.urlプロパティを使用するか、以前のバージョンauthentication.ldap.urlで を使用して指定できます。「636」の presto-config の設定分類の例に示すように、ステップ 3: の Presto プロパティJSONを使用して設定を作成する LDAP のカスタムポートを置き換えます。ファイアウォールやセキュリティグループにより、ポート 636 (またはカスタムポート) およびポート 8446 (またはカスタムポート) でインバウンドおよびアウトバウンドトラフィックが許可されることを確認します。これは内部クラスター通信に使用されます。

LDAP サーバー証明書

証明書ファイルを Amazon S3 の安全な場所にアップロードする必要があります。詳細については、「Amazon Simple Storage Service ユーザーガイド」の「S3 バケットにファイルとフォルダをアップロードする方法」を参照してください。クラスターの起動時に、この証明書を Amazon S3 からクラスター内の各ノードにコピーするブートストラップアクションを作成します。「ステップ 4: LDAPサーバー証明書をコピーして Amazon S3 にアップロードするスクリプトを作成する」で、証明書の例は ですs3://amzn-s3-demo-bucket/ldap_server.crt。

匿名バインディングのLDAPサーバー設定

PrestoDB で匿名バインドが無効になっている場合は、PrestoDB サーバーが接続を確立できるように、LDAPサーバーにバインドするアクセス許可を持つアカウントのユーザー ID (UID) とパスワードが必要です。presto-config 設定分類の UIDおよび internal-communication.authentication.ldap.passwordプロパティを使用して、 internal-communication.authentication.ldap.userおよび パスワードを指定します。Amazon EMR 5.10.0 はこれらの設定をサポートしていないため、このリリースバージョンを使用する場合はLDAP、サーバーで匿名バインディングをサポートする必要があります。

Trino では匿名バインディングを設定する必要はありません。

ステップ 3: の Presto プロパティJSONを使用して設定を作成する LDAP の設定例には、わかりやすくするためにこのアカウントが含まれています。ただし、5.10.0 の例は例外で、サポートされていません。LDAP サーバーが匿名バインディングを使用している場合は、 internal-communication.authentication.ldap.userと internal-communication.authentication.ldap.passwordの名前と値のペアを削除します。

Presto ユーザーのLDAP識別名 (DN)

Presto LDAPの設定を指定するときは、組織単位 (OU) および追加のドメインコンポーネント () ${USER}とともに で構成されるバインドパターンを指定しますDCs。Presto は${USER}、このバインドパターンが指定する識別名 (DNUID) と一致するように、パスワード認証中に を各ユーザーの実際のユーザー ID () に置き換えます。対象となるユーザーが属OUsする とその が必要ですDCs。たとえば、admins ドメインの corp.example.com OU のユーザーが Presto に対して認証されるようにするには、ユーザーバインドパターンとして ${USER},ou=admins,dc=corp,dc=example,dc=com を指定します。

Amazon 5EMR.10.0 を使用する場合、このようなパターンは 1 つだけ指定できます。Amazon 5EMR.11.0 以降では、コロン (:) で区切られた複数のパターンを指定できます。Presto に対して認証を試みるユーザーは最初のパターンと比較されてから、2 番目のパターンに比較され、以降も同様に比較されます。例については、ステップ 3: の Presto プロパティJSONを使用して設定を作成する LDAPを参照してください。

ステップ 2: セキュリティ設定をセットアップする

転送時の暗号化を有効にして、セキュリティ設定を作成します。詳細については、「Amazon EMR 管理ガイド」の「セキュリティ設定の作成」を参照してください。転送時の暗号化を設定する際に指定する暗号化アーティファクトは、Presto のノード間の内部通信を暗号化するために使用されます。詳細については、「伝送中のデータの暗号化のための証明書を提供する」を参照してください。LDAP サーバー証明書は、Presto サーバーへのクライアント接続を認証するために使用されます。

ステップ 3: の Presto プロパティJSONを使用して設定を作成する LDAP

presto-config 設定分類を使用して、 の Presto プロパティを設定しますLDAP。の形式と内容はpresto-config、Amazon EMRリリースバージョンと Presto のインストール (PrestoDB または Trino) によって若干異なります。設定の違いの例については、このセクションの後半で示します。詳細については、「アプリケーションの設定」を参照してください。

次の手順では、JSONデータをファイル に保存することを前提としていますMyPrestoConfig.json。コンソールを使用する場合、Amazon S3 の安全な場所にファイルをアップロードし、クラスターを作成するときに参照できるようにします。を使用する場合は AWS CLI、ファイルをローカルで参照できます。

[
   {
      "Classification":"prestosql-config",
      "Properties":{
         "http-server.authentication.type":"PASSWORD"
      }
   },
   {
      "Classification":"prestosql-password-authenticator",
      "Properties":{
         "password-authenticator.name":"ldap",
         "ldap.url":"ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
         "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal"
      }
   }
]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "PASSWORD"
                }
        },
        {
                "Classification": "presto-password-authenticator",
                "Properties": {
                        "password-authenticator.name": "ldap",
                        "ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "authentication.ldap.user-bind-pattern": "uid=${USER},ou=admins,dc=ec2,dc=internal:uid=${USER},ou=datascientists,dc=ec2,dc=internal",
                        "internal-communication.authentication.ldap.user": "presto",
                        "internal-communication.authentication.ldap.password": "123456"
                }
        }]

[{
        "Classification": "presto-config",
                "Properties": {
                        "http-server.authentication.type": "LDAP",
                        "authentication.ldap.url": "ldaps://ip-xxx-xxx-xxx-xxx.ec2.internal:636",
                        "ldap.user-bind-pattern": "uid=${USER},ou=prestousers,dc=ec2,dc=internal"
                }
        }]

ステップ 4: LDAPサーバー証明書をコピーして Amazon S3 にアップロードするスクリプトを作成する

クラスターの各ノードに証明書ファイルをコピーするスクリプトを作成し、キーストアに追加します。テキストエディタを使用してスクリプトを作成し、保存した後、Amazon S3 にアップロードします。ではステップ 5: クラスターを作成する、スクリプトファイルは として参照されますs3://amzn-s3-demo-bucket/LoadLDAPCert.sh。

次のスクリプト例では、デフォルトのキーストアパスワード を使用しますchangeit。クラスターの作成後にマスターノードに接続し、keytool コマンドを使用してキーストアパスワードを変更することをお勧めします。

#!/bin/bash
aws s3 cp s3://amzn-s3-demo-bucket/ldap_server.crt .
sudo keytool -import -keystore /usr/lib/jvm/jre-1.8.0-openjdk.x86_64/lib/security/cacerts -trustcacerts -alias ldap_server -file ./ldap_server.crt -storepass changeit -noprompt

ステップ 5: クラスターを作成する

クラスターを作成するときは、Presto と Amazon がEMRインストールするその他のアプリケーションを指定します。次の例では、 内の設定分類プロパティも参照しますがJSON、設定分類をインラインで指定することもできます。