问题标签 [apache-sentry]

假设我有一个用户jack和一个组datateam。用户jack属于组datateam。

使用 Sentry 进行授权。

现在该角色admin具有以下特权。

假设我有这个数据库。

这是成功的。用户jack创建了一个数据库testdb。

使用 Sentry 撤销testdb;

特权还是一样的。

Sentry 不应该将数据库的权限testdb从服务器上拿走server1吗？

我将 Cloudera 5.4.2 与 Sentry 一起使用，并成功授予对数据库角色的访问权限。我现在的挑战是让一个组只能从具有许多其他表的数据库中读取一个表。我无法在角色对数据库没有任何权限的特定表上授予选择权限。在查看 Cloudera 文档时，我没有看到这样的示例，并且围绕授予表访问权限的措辞听起来很直接。

这是一个示例，说明我想运行以获取test对表的角色访问权限，private_table而无需访问数据库中的任何其他表testdb。

我们计划从 In home Cloudera Cluster 迁移到 AWS EMR。计划是将数据存储在 S3 中并使用 EMR Hive 处理它们。我们有很多访问数据的业务用户。

目前我们使用 sentry 进行授权，我们在 AWS EMR 中使用的类似。EMR 是否支持基于哨兵的 Hive 授权？

众所周知，apache sentry 支持列级访问，但是，我这里有一个案例：A组和B组的数据都在一个hive表中，所以A组的用户只需要查询A组的数据，并没有查询B组数据的特权，所以我想知道apache sentry是否支持我的情况？

我们刚刚从 CDH 5.3.6 升级到 5.10.0，在尝试写入 Kafka 主题时开始出现错误。我们对所有东西都有默认设置，没有启用 SSL 或 Kerberos 身份验证。当使用控制台生产者写入我的一个主题时，我收到此错误：

/usr/bin/kafka-console-producer --broker-list=myhost1.dev.com:9092,myhost2.dev.com:9092 --topic 测试

查看 /var/log/kafka/，我看到了一堆这样的异常：

我一直在寻找解决此问题的方法，但到目前为止还空无一物。我是否需要将匿名用户分配给某处的某些组？我能够在 CDH 5.3.6 中将消息写入我的主题，但升级中似乎出现了问题。

只是想在升级到 CDH 5.10.0 后让 helloWorld/Quickstart 示例在我们的 DEV Kafka 上再次运行。

----------------- 临时解决方案 ---

在 cloudera manager 5.10 中，kafka 配置中有一个 super.users 属性。将 ANONYMOUS 添加到该列表中，使我能够从我的主题中生产和消费。

我已经尝试在 /opt/cloudera/parcels/KAFKA-2.1.0-1.2.1.0.p0.115/etc/kafka/conf.dist/server.properties 中执行此操作，但没有效果。所以 Cloudera 必须在其他地方管理这些价值。

我正在尝试更新（Sentry-secured）Solr 集合中的现有文档。Solr 接受了更新，但是当我查询时，该文档似乎已从集合中消失。

到底是怎么回事？

我正在使用 Cloudera (CDH) 5.8.3 和启用了文档级访问控制的 Sentry。

我有一个使用 cdh-5.7.0 运行的集群并配置了以下设置

• hadoop 与 kerberos
• 带 LDAP 身份验证的配置单元
• 带哨兵授权的配置单元（存储在 JDBC derby 中的规则）

我的目标是限制用户查看我的系统中存在哪些数据库。例如：

• 用户 A 在执行时应该只看到数据库 DB-Ashow databases
• 用户 B 在执行时应该只看到数据库 DB-Bshow databases

我按照文章https://blog.cloudera.com/blog/2013/12/how-to-get-started-with-sentry-in-hive/实现了这一目标。但没有成功。我所取得的是

• 用户 A 只能从 DB-A 中选择表，而不能从 DB-B 中选择表。
• 用户 B 只能从 DB-B 中选择表，而不能从 DB-A 中选择表。

但是在执行时两者仍然可以看到 DB-A 和 DB-B show databases。但我想避免这种情况。

您有什么提示可以让规则或设置运行起来吗？

谢谢马尔科

我的 CDH 5.10 快速启动 VM 中有用于开发的 LDAP，并且我已经在其中启动了 Sentry 服务。

现在我想将 Apache Sentry 与 LDAP 集成。

请让我知道这是否可能，如果是，请指导我完成解决方案。

Sentry有两个模型。一个是基于文件的模型，第二个是数据库模型。我目前在全局策略文件中有组->角色->权限映射，如下所示：

我想切换到数据库模型来加载上述策略而不是基于文件的模型。我们如何预填充以下 sentry_store 数据库表以实现授权策略？我在任何地方都看不到任何例子。

Sentry_Store 数据库中的表：

我正在测试哨兵以限制角色的列访问权限以访问 mapr 集群上 hive 表中的 ssn 列。我无法撤销对该特定列的访问权限。下面的错误消息抱怨 manager_role 不存在。我验证了我的策略文件经理角色确实存在。如果我遗漏了什么，请告知。