配置一个基于资源策略:Hive

如何向已有的Hive服务添加新策略。

过程

1. .在“服务管理器”界面，选择已存在的Hive服务。
   出现“策略列表”页面。
2. 单击“添加新策略”。
   系统显示“创建策略”页面。
   
3. 按照如下步骤完成“创建策略”页面:

表一 策略细节

表二 允许条件

4. 您可以使用加号(+)来添加额外的条件。条件按照策略中列出的顺序进行评估。首先应用列表顶部的条件，然后是第二个条件，然后是第三个条件，依次类推。
5. 单击Add。

What to do next

通过命令行提供用户对Hive数据库表的访问Hive提供了通过命令行直接管理用户对Hive数据库表访问的方法。最常用的命令有:

• 授予
语法

grant <permissions> on table <table> to user <user or group>;

例如，要创建一个对default-hivesmoke22074表授予user1 SELECT权限的策略，命令应该是:

grant select on table default.hivesmoke22074 to user user1;

授予UPDATE、CREATE、DROP、ALTER、INDEX、LOCK、ALL和ADMIN权限的语法是相同的。

• 撤消
语法

revoke <permissions> on table <table> from user <user or group>;

例如，撤销user1对表default的选择权限。hivesmoke22074，命令如下:

revoke select on table default.hivesmoke22074 from user user1;

```配置一个基于资源的策略:Kafka

如何添加一个新的策略到现有的Kafka服务。

过程

1. 在“服务管理器”页面中，选择已存在的Kafka服务。
   出现“策略列表”页面。

2. 单击“添加新策略”。
   系统显示“创建策略”页面。
   

3. 按照如下步骤完成“创建策略”页面:

表一：策略细节

表二：允许条件

4. 您可以使用加号(+)来添加额外的条件。条件按照策略中列出的顺序进行评估。首先应用列表顶部的条件，然后是第二个条件，然后是第三个条件，依次类推。
5. 单击Add。

配置一个基于资源策略:YARN

如何向现有YARN服务添加新策略。

过程

1. 在“服务管理器”界面中，选择已存在的YARN服务。
   出现“策略列表”页面。

2. 单击“添加新策略”。
   系统显示“创建策略”页面。

3.按照如下步骤完成“创建策略”页面:

表1:策略详细信息

表二：允许条件

4. 点击添加

基于资源的策略中的通配符和变量*(imp)

基于资源策略中的通配符和变量引用基于资源策略中的通配符和变量。管理员授权资源策略通配符通配符可以包含在资源路径、数据库名、表名或列名中:
•*表示零次或多次出现字符
•?表示单个字符
管理员授权资源策略{USER}变量,变量{USER}可用于自动填充正在访问的用户，例如:
在“选择用户”中选择“{User}”。
在“资源路径”中输入data_{USER}。
管理员授权资源策略{USER}变量,推荐的实践和可定制性管理员要求使用字符串’{USER}‘表示访问用户作为管理员策略中的策略项中的用户。但是，Ranger提供了灵活的定制字符串的方法，该字符串在策略资源规范中用作表示访问用户名的简写。默认情况下,管理员政策资源规范预计字符“{”和“}”作为分隔符字符串“用户”,然而,管理员支持可定制的方式指定分隔符字符,逃离这些分隔符和字符串“用户”本身在它前面加上与另一个指定的字符串在每个资源级别的基础上在每个组件的服务定义得到管理员的支持。
例如，对于某个HDFS安装，如果路径名可能包含’{‘或’}‘作为有效字符，而不是’%'字符，那么HDFS的服务定义可以指定为:

"resources": [
{
    
    
"itemId": 1,
 "name": "path",
 "type": "path",
 "level": 10,
 "parent": "",
 "mandatory": true,
 "lookupSupported": true,
 "recursiveSupported": true,
 "excludesSupported": false,
 "matcher":
 "org.apache.ranger.plugin.resourcematcher.RangerPathResourceMatcher",
 "matcherOptions": {
    
    "wildcard": true, "ignoreCase": false},
 "replaceTokens":true, "tokenDelimiterStart":"%", "tokenDelimiterEnd":"%",
 "tokenDelimiterPrefix":"rangerToken:"}
 "validationRegEx":"",
 "validationMessage": "",
 "uiHint":"",
 "label": "Resource Path",
 "description": "HDFS file or directory
path"
}]```

HDFS用例对应的ranger策略如下所示:

resource: path=/home/%rangerToken:USER%
user: {
    
    USER}
permissions: all, delegateAdmin=true

以下可定制的matcherOptions可用于此功能:
•replaceTokens:如果resource-spec中的user的简写需要在运行时用当前用户的名字替换，则为true;如果需要原样解释资源规范，则为false。默认值:真的。
•tokenDelimiterStart:标识当前用户在资源规范中的开始字符。默认值:{。
•tokenDelimiterEnd:标识当前用户在资源规范中的简写结束字符。默认的
价值:}。
•tokenelimiterescape:用于转义tokenelimiterstart或tokenelimiterend值的转义字符
在资源规范。默认值:\。
•tokenDelimiterPrefix:标识特殊的前缀，它与字符串“USER”一起构成了资源规范中当前用户名的简写。默认值:。