Hadoop-2.2.0中文文档—— Common - 服务层认证

访问控制列表

$HADOOP_CONF_DIR/hadoop-policy.xml 为每一个Hadoop服务定义一个访问控制列表。每个 访问控制列表有一个简单的格式：

列表中的用户和组名字都以逗号分隔。两列以空格分隔。

示例: user1,user2 group1,group2.

如果只有一列组被提供，相等地一个逗号分隔的用户列跟在空格后面或并不意味着只有给定的用户，则在一行的开头添加一个空格。(? )

一个特殊的 * 说明所有的用户都有权限访问服务。

刷新 Service Level Authorization 配置

NameNode 和JobTracker的 服务层认证配置可以在不重启任何一个Hadoop管理守护进程的情况下被修改。集群管理者可以在管理节点上和命令 NameNode 和 JobTracker通过 -refreshServiceAcl切换到dfsadmin和mradmin命令 重新载入他们的相关配置来 改变 $HADOOP_CONF_DIR/hadoop-policy.xml  。

刷新 NameNode上的服务层认证配置：

                               $ bin/hadoop dfsadmin -refreshServiceAcl
                        

刷新  JobTracker 上的服务层认证配置：

                               $ bin/hadoop mradmin -refreshServiceAcl
                        

当然，也可以 在   $HADOOP_CONF_DIR/hadoop-policy.xml  中 用   security.refresh.policy.protocol.acl   属性 限制对特定用户/组刷新服务层认证配置的访问能力   。

示例

只允许  alice ,  bob  和在  mapreduce  组中的用户提交作业到 MapReduce 集群:

                            <property>
     <name>security.job.submission.protocol.acl</name>
     <value>alice,bob mapreduce</value>
</property>
                        

只允许 DataNodes 运行，当属于datanodes组的用户与NameNode通信：

                            <property>
     <name>security.datanode.protocol.acl</name>
     <value>datanodes</value>
</property>
                        

允许任何用户 作为 DFSClient 与 HDFS 集群通话 :

                            <property>
     <name>security.client.protocol.acl</name>
     <value>*</value>
</property>