14. HDFS. Настройка

2021-07-09 – 2021-10-15

1. Enable High Availability

Enabling HDFS HA

1. В настройках сервиса HDFS, используя фильтр по слову «dfs.journalnode.edits.dir», изменяем следующий параметр:

2. Нажимаем Save Changes.
3. На странице службы HDFS, через кнопку Actions, запускаем wizard включения HA:
4. Getting Started. Задаём уникальное имя для Nameservice:
5. Assign Roles.
   JournalNodes должны работать на хостах с такими же hardware specification, как NameNodes. Cloudera рекомендует поместить две JournalNode на те же хосты с NameNodes, а третий JournalNode на хост с похожими ресурсами, таким как JobTracker.
   Распределяем роли:
6. Review Changes.
   Знакомимся с предварительными результатами и указываем каталог для JournalNode /data/dfs/jn:
7. Command Details.
8. Final Steps.

2. Настройка LDAP-аутентификации в HDFS

[nss]
filter_groups = root,mysql,hadoop,yarn,hdfs,mapred,kms,httpfs,hbase,hive,sentry,spark,solr,sqoop,oozie,hue,flume,impala,llama,postgres,sqoop2,kudu,kafka,accumulo,zookeeper,cloudera-scm,keytrustee
filter_users = root,mysql,cloudera-scm,zookeeper,yarn,hdfs,mapred,kms,httpfs,hbase,hive,sentry,spark,solr,sqoop,oozie,hue,flume,impala,llama,sqoop2,postgres,kudu,kafka,accumulo,keytrustee
reconnection_retries = 3

1. В настройках службы HDFS, используя фильтр по слову «hadoop.security.group.mapping.ldap.ssl», изменяем следующие параметры:

2. Нажимаем Save Changes.
3. Используем следующие настройки только в случае использования прямого подключения Hadoop’а к LDAP, вместо рекомендованного подключения через SSSD.
   В настройках службы HDFS, используя категорию «Security», изменяем следующие параметры:

3. Создание группы для доступа в HDFS с правами superuser

3.1. Добавление группы во FreeIPA

Чтобы иметь возможность, например, создавать в HDFS home-каталоги для пользователей, нам нужен доступ к HDFS-superuser аккаунту. Напомню, что CDH автоматически создаёт HDFS superuser аккаунт — ‘hdfs’ — на каждом узле кластера в процессе первичной инстралляции. Но после включения Kerberos для HDFS служб, мы теряем доступ к использованию sudo -u hdfs. Поэтому, мы создадим в IPA posix-группу ’test1_hdfs_su’, укажем её в соответствующей настройке HDFS-сервиса, в результате чего участники этой группы, а также участники подгрупп, возобладают правами superuser’а в HDFS.

1. Добавление группы во FreeIPA. Так как установка кластера производится с машины, домен которой отличен от домена настраиваемых машин, то вновь используем ansible:

ADM_USER='eugene'
ADM_PASS='JL9d]qtw$p=2=M2K=~z?|EU,'
CL_NAME="TEST1"          # UPPERCASE
CL_NAME_L=${CL_NAME,,}   # lowercase

ansible mgm -i cluster.inv -m shell -a "echo '${ADM_PASS}' | kinit ${ADM_USER} && \
ipa group-add --desc='HDFS superusers for cluster ${CL_NAME}' ${CL_NAME_L}_hdfs_su"

10.15.120.140 | CHANGED | rc=0 >>
Password for [email protected]:
---------------------------
Added group "test1_hdfs_su"
---------------------------
  Group name: test1_hdfs_su
  Description: HDFS superusers for cluster TEST1
  GID: 1262100012

3.2. Указание Non-Default Superuser Group

1. В настройках службы HDFS, используя фильтр по слову «dfs.permissions.superusergroup», изменяем следующий параметр:

2. Нажимаем Save Changes.

4. Configuring Encrypted Transport for HDFS

Перед настройкой передачи зашифрованных данных HDFS необходимо включить Kerberos. См. Инструкции в разделе «Аутентификация».

1. В настройках службы HDFS, используя фильтр «Protection», изменяем следующие параметры:

2. В настройках службы HDFS, используя фильтр «dfs.encrypt.data.transfer.algorithm», проверяем следующие параметры:

3. Нажимаем Save Changes.
4. Перезапускаем все зависимые сервисы по приглашению Cloudera Manager Console.

5. Включение ACL для HDFS

В настройках роли HDFS, используя фильтр «dfs.namenode.acls.enabled», включаем параметр «Enable Access Control Lists».

6. Настройка TLS для HttpFS

1. В настройках службы HDFS, используя фильтр «HttpFS TLS», изменяем следующие параметры:

2. Нажимаем Save Changes.

   Connect to the HttpFS Web UI using TLS/SSL (HTTPS)

   Use https://<httpfs_server_hostname>:14000/webhdfs/v1/, though most browsers should automatically redirect you if you use http://<httpfs_server_hostname>:14000/webhdfs/v1/

7. Настройка HSTS для HDFS

Настройка строгой транспортной безопасности HTTP (HSTS) для HDFS гарантирует, что веб-браузер не загружает служебную информацию с помощью HTTP. Кроме того, все попытки загрузить информацию с помощью HTTP будут автоматически преобразованы в HTTPS.

Perform the following steps to configure HSTS for HDFS:

1. Go to the HDFS service.
2. Click the Configuration tab.
3. Set the HSTS credentials in Cluster-wide Advanced Configuration Snippet (Safety Valve) for core-site.xml.

<property>
<name>hadoop.http.header.Strict_Transport_Security</name>
<value>max-age=63072000;includeSubDomains;preload</value>
</property>

4. If required, configure additional headers by using the safety value specified in the previous step for the hadoop.http.header.http-header property.
5. Нажимаем Save Changes.
6. Перезапускаем все зависимые сервисы по приглашению Cloudera Manager Console.