hive 整合ranger
一、安装hive插件
1、解压安装
# tar zxvf ranger-2.0.0-SNAPSHOT-hive-plugin.tar.gz -C /data1/hadoop/
2、修改install.properties
POLICY_MGR_URL=http://192.168.4.50:6080
REPOSITORY_NAME=hivedev
COMPONENT_INSTALL_DIR_NAME=/data1/hadoop/hive #hive安装目录
XAAUDIT.SOLR.ENABLE=true
XAAUDIT.SOLR.URL=http://192.168.4.50:6083/solr/ranger_audits
CUSTOM_USER=hduser
CUSTOM_GROUP=hduser
3、启动hive插件
# sudo ./enable-hive-plugin.sh
启动hive插件以后，默认生成hiveserver2-site.xml文件，或者在已经存在的该文件下添加如下信息：
<property>
<name>hive.security.authorization.enabled</name>
<value>true</value>
</property>
<property>
<name>hive.security.authorization.manager</name>
<value>org.apache.ranger.authorization.hive.authorizer.RangerHiveAuthorizerFactory</value>
</property>
<property>
<name>hive.security.authenticator.manager</name>
<value>org.apache.hadoop.hive.ql.security.SessionStateUserAuthenticator</value>
</property>
<property>
<name>hive.conf.restricted.list</name>
<value>hive.security.authorization.enabled,hive.security.authorization.manager,hive.security.authenticator.manager</value>
</property>
4、前台界面配置policy
点击加号添加服务
如果测试连接ok，说明配置成功。
注：我在配置的时候，这里测试连接失败，集群的hiveserver2服务启动，端口也正常监听，在集群内部使用beeline方式连接到集群进行操作时，提示如下错误：
Caused by: java.lang.NoSuchFieldError: REPLLOAD
最后发现是由于hive的版本与ranger hive里面的包版本不一致导致，我使用的hive版本是hive2.x，而ranger2.x对于的hive版本是3.x，所以，在使用的时候要注意版本的问题。
5、配置策略
当创建好服务以后，ranger默认就创建了一些policy，如下：
如果想要添加策略，可以添加右上角的add
6、测试
注意：ranger权限对应hive客户端是没有任何作用的，如果想要对hive客户端做权限认证，则可以使用hive基于sql的安全认证，ranger只是对hiveserver2方式进行权限控制。
(1) 首先使用beeline -u jdbc:hive2://localhost:10000 -n hduser 连接到hive
- 创建数据库(shanghai)，该条语句可以正常执行。
- 在shanghai库里面创建表(test)，则会创建失败，如下：
0: jdbc:hive2://192.168.0.230:10000> create table test(a string);
Error: Error while compiling statement: FAILED: HiveAccessControlException Permission denied: user [hduser] does not have [CREATE] privilege on [shanghai/test] (state=42000,code=40000)
提示没有权限
(2) 添加策略，在上图policy ID为10的这条策略里面修改如下：
上述的hduser的新添加的。添加完保存，格一小会，在再beeline模式下执行创建表的测试，看是否成功，当然，这里给了该用户所有的权限，所以，该用户还可以进行insert等操作。
(3) 测试其他用户，比如当前的操作系统上面有一个yjt用户，我想该用户对test表有查询权限，先在beeline模式下测试改用户是否有select权限，如下：
[hduser@yjt ~]$ beeline -u jdbc:hive2://192.168.0.230:10000 -n yjt #指定登录用户为yjt
0: jdbc:hive2://192.168.0.230:10000> select * from shanghai.test;
Error: Error while compiling statement: FAILED: HiveAccessControlException Permission denied: user [yjt] does not have [SELECT] privilege on [shanghai/test/*] (state=42000,code=40000)
可以发现，yjt这个用户对于shanghai数据库下的test这个表是没有select权限的，添加权限：
还是在上述的策略10里面添加，如下：
上述保存以后，如下：
策略添加完以后，需要等待策略的下发，权限控制才生效。
注意：策略修改完以后，不用重新启动beeline。
说明策略配置成功，那么上述配置了yjt这个用户的select权限，是否该用户真的只有select权限呢？继续测试改用户是否真的只有select权限，所以这里使用该用户insert 一条数据到test表，如下：
额，这还没到权限认证就开始报错了，上述的错误可以看到该用户对应hdfs的目录或者文件没有写权限，从这里也可以看到，还可以使用hdfs的权限认证限制hive用户。修改上述目录或者文件的权限为777(主要为了测试用户是否被hive ranger控制，所以这里设置为777，以排除其他干扰。)
[hduser@yjt conf]$ hadoop fs -setfacl -m user:yjt:rwx hdfs://yjt:9000/hive/warehouse/shanghai.db/test/
上述添加一条ACL。允许yjt所有操作
0: jdbc:hive2://192.168.0.230:10000> insert into table test values("test insert");
Error: Error while compiling statement: FAILED: HiveAccessControlException Permission denied: user [yjt] does not have [UPDATE] privilege on [shanghai/test] (state=42000,code=40000)
这里发现用户没有UPDATE权限，说明配置成功(在ranger里面，其实没有insert权限，只有update权限)，接下来，在policy里面添加update权限，看是否可以成功的insert数据。
借鉴：
https://www.jianshu.com/p/d9941b8687b7
