hive - 需要为哨兵禁用 HiveServer2 模拟

Question

我已经通过 Sentry 配置了 Hive 授权并进行了所有需要的更改。其中一项更改是通过设置以下属性来禁用 HiveServer2 模拟：

hive.server2.enable.doAs to false

这是 Cloudera Doc here中提到的 Sentry 的强制性要求。那么这样做的必要性是什么，因为这是对 BI 工具的非常标准的要求。一个用户将启动应用程序并且将模拟登录用户。如果需要由于此限制而缺少某些方面，请告诉我。

Answer 1

在这种情况下关闭模拟表明查询将以 hive 用户身份运行。事实上，Hive 仓库中管理此查询的表的底层 HDFS 目录将归 hive 用户所有。但是，访问控制列表 (ACL) 将授权“真实”用户对底层 HDFS 文件执行读取、写入和/或执行操作。此外，“真实”用户将有权对表或表中的列进行操作。ACL 和表/列权利构成了所谓的 Sentry 策略。由于该策略是 Hive 查询执行的一部分，因此无需模拟“真实”用户。将 Sentry 策略文件视为 RBAC（即基于角色的访问控制）权限集。有了这些权限，