引言

本文档描述了如何配置 Hadoop HTTP web 控制台以要求用户身份验证。

默认情况下，Hadoop HTTP web 控制台（ResourceManager、NameNode、NodeManagers 和 DataNodes）允许无需任何形式的身份验证即可访问。

Hadoop HTTP web 控制台可以配置为要求使用 HTTP SPNEGO 协议（由 Firefox 和 Internet Explorer 等浏览器支持）进行 Kerberos 身份验证。

此外，Hadoop HTTP web 控制台支持类似于 Hadoop 伪装/简单身份验证的等效方法。

如果启用了此选项，用户必须在第一次与浏览器的交互中使用 user.name 查询字符串参数指定用户名，例如：http://localhost:8088/cluster?user.name=babu。

如果需要为 HTTP web 控制台实现自定义身份验证机制，可以实现一个插件来支持替代的身份验证机制（请参阅 Hadoop hadoop-auth 了解有关编写 AuthenticationHandler 的详细信息）。

接下来的部分将描述如何配置 Hadoop HTTP web 控制台以要求用户身份验证。

配置

以下属性应该在集群中所有节点的 core-site.xml 文件中。

属性名 默认值 描述    
hadoop.http.filter.initializers   将 org.apache.hadoop.security.AuthenticationFilterInitializer 初始化类添加到此属性。    
hadoop.http.authentication.type simple 定义用于 HTTP web 控制台的身份验证。支持的值为：simple kerberos #AUTHENTICATION_HANDLER_CLASSNAME#。
hadoop.http.authentication.token.validity 36000 表示身份验证令牌在必须续订之前有效的时间（以秒为单位）。    
hadoop.http.authentication.token.max-inactive-interval -1（禁用） 指定客户端请求之间服务器将使令牌失效的时间（以秒为单位）。    
hadoop.http.authentication.signature.secret.file $user.home/hadoop-http-auth-signature-secret 用于签署身份验证令牌的签名密钥文件。集群中的每个服务，ResourceManager、NameNode、DataNode 和 NodeManager，应使用不同的密钥。此文件应仅由运行守护程序的 Unix 用户可读。    
hadoop.http.authentication.cookie.domain   用于存储身份验证令牌的 HTTP cookie 的域。为了使身份验证在集群中的所有节点上正常工作，必须正确设置域。没有默认值，HTTP cookie 不会具有仅与发出 HTTP cookie 的主机名一起工作的域。    
hadoop.http.authentication.cookie.persistent false（会话 cookie） 指定 HTTP cookie 的持久性。如果值为 true，则 cookie 是一个持久性 cookie。否则，它是一个会话 cookie。重要提示：当使用 IP 地址时，浏览器会忽略带有域设置的 cookie。为了使此设置正常工作，集群中的所有节点都必须配置为生成带有主机名.域名的 URL。    
hadoop.http.authentication.simple.anonymous.allowed true 指示在使用 ‘simple’ 身份验证时是否允许匿名请求。    
hadoop.http.authentication.kerberos.principal HTTP/_HOST@$LOCALHOST 指示在使用 ‘kerberos’ 身份验证时用于 HTTP 终端点的 Kerberos 主体。根据 Kerberos HTTP SPNEGO 规范，主体简称必须是 HTTP。如果存在 _HOST，则将其替换为 HTTP 服务器的绑定地址。    
hadoop.http.authentication.kerberos.keytab $user.home/hadoop.keytab 包含用于 HTTP 终端点的 Kerberos 主体的凭据的 keytab 文件的位置。    

CORS

为了启用跨域支持（CORS），请设置以下配置参数：

在 core-site.xml 中的 hadoop.http.filter.initializers 中添加 org.apache.hadoop.security.HttpCrossOriginFilterInitializer。

您还需要在 core-site.xml 中设置以下属性：

属性名 默认值 描述
hadoop.http.cross-origin.enabled false 启用所有 Web 服务的跨源支持
hadoop.http.cross-origin.allowed-origins * 允许的起源列表，以逗号分隔。以 regex: 开头的值被解释为正则表达式。也可以包含通配符 (*)，在这里生成正则表达式，不建议使用，并且仅为向后兼容性提供支持。
hadoop.http.cross-origin.allowed-methods GET,POST,HEAD 允许的方法列表，以逗号分隔
hadoop.http.cross-origin.allowed-headers X-Requested-With,Content-Type,Accept,Origin 允许的标头列表，以逗号分隔
hadoop.http.cross-origin.max-age 1800 预检请求可以缓存的秒数

Trusted Proxy

Trusted Proxy 添加了支持以最终用户而不是代理用户执行操作的功能。

它从 doAs 查询参数中获取最终用户。

为了启用 Trusted Proxy，请在 core-site.xml 中的 hadoop.http.filter.initializers 中添加 org.apache.hadoop.security.authentication.server.ProxyUserAuthenticationFilterInitializer，而不是 org.apache.hadoop.security.AuthenticationFilterInitializer。

参考资料

https://hadoop.apache.org/docs/stable/hadoop-project-dist/hadoop-common/HttpAuthentication.html