温馨提示：如果使用电脑查看图片不清晰，可以使用手机打开文章单击文中的图片放大查看高清原图。
Fayson的github：
https://github.com/fayson/cdhproject
提示：代码块部分可以左右滑动查看噢
1.文档编写目的
在前面的文章Fayson讲了《
1.如何在RedHat7上安装OpenLDA并配置客户端
》、《
2.如何在RedHat7中实现OpenLDAP集成SSH登录并使用sssd同步用户
》、《
3.如何RedHat7上实现OpenLDAP的主主同步
》、《
4.如何为Hive集成RedHat7的OpenLDAP认证
》、《
5.如何为Impala集成Redhat7的OpenLDAP认证
》、《
6.如何为Hue集成RedHat7的OpenLDAP认证
》、《
7.如何在RedHat7的OpenLDAP中实现将一个用户添加到多个组
》和《
8.如何使用RedHat7的OpenLDAP和Sentry权限集成
2.通过左侧的筛选器过滤Navigator Metadata服务的外部身份验证
3.配置为LDAP认证方式，具体配置参数如下：
参数名
值
描述
身份验证后端顺序
nav.auth.backend.order
先外部，后 Cloudera Manager
外部身份验证类型
nav.external.auth.type
LDAP
LDAP URL
nav.ldap.url
ldap://chd01.fayson.com
配置LDAP URL及Domain
LDAP 绑定用户可分辨名称
nav.ldap.bind.dn
cn=Manager,dc=fayson,dc=com
配置用于搜索LDAP的管理员账号
LDAP 绑定密码
nav.ldap.bind.pw
123456
账号密码
LDAP 用户搜索库
nav.ldap.user.search.base
ou=People,dc=fayson,dc=com
搜索LDAP用户的基础域
LDAP 用户搜索筛选器
nav.ldap.user.search.filter
(uid={0})
搜索的LDAP用户结果过滤条件
LDAP 组搜索库
nav.ldap.group.search.base
ou=Group,dc=fayson,dc=com
搜索LDAP组的基础域
已登录用户的 LDAP 组搜索筛选器
nav.ldap.group.search.filter
(|(memberUid={1})(cn={1}))
过滤搜索的LDAP组条件，使用或者的关系过滤组中cn，针对用户名和组一致的情况
LDAP 组搜索筛选器
nav.ldap.groups.search.filter
(&(objectClass=posixGroup)(cn=nav_*))
搜索Group时的过滤条件，已nav_开头的组
4.完成上述配置后，回到实例列表选择Navigator Metadata服务并重启
重启成功
以上完成Navigator与OpenLDAP的集成。
4.OpenLDAP导入测试用户
这里以hive用户为例来测试，该用户也属于一个特殊用户，涉及到Hive和Impala的超级管理员权限问题。
1.编辑navigator_group.ldif内容如下
[root@cdh01 openladp]# vim navigator_group.ldif dn: cn=nav_admin,ou=Group,dc=fayson,dc=com objectClass: posixGroup objectClass: top cn: nav_admin userPassword: {crypt}x gidNumber: 100010 memberUid: nav_a dn: cn=nav_groupa,ou=Group,dc=fayson,dc=com objectClass: posixGroup objectClass: top cn: nav_groupa userPassword: {crypt}x gidNumber: 100011 memberUid: nav_b dn: cn=nav_groupb,ou=Group,dc=fayson,dc=com objectClass: posixGroup objectClass: top cn: nav_groupb userPassword: {crypt}x gidNumber: 100012 memberUid: nav_c
（可左右滑动）
向OpenLDAP中导入Navigator测试组
[root@cdh01 openladp]# ldapadd -D "cn=Manager,dc=fayson,dc=com" -W -x -f navigator_group.ldif
（可左右滑动）
2.编辑user-hive.ldif文件内容如下
[root@cdh01 openladp]# vim navigator_user.ldif dn: uid=nav_a,ou=People,dc=fayson,dc=com uid: nav_a cn: nav_a objectClass: account objectClass: posixAccount objectClass: top objectClass: shadowAccount userPassword: 123456 shadowLastChange: 17694 shadowMin: 0 shadowMax: 99999 shadowWarning: 7 loginShell: /bin/bash uidNumber: 10001 gidNumber: 100010 homeDirectory: /home/nav_a dn: uid=nav_b,ou=People,dc=fayson,dc=com uid: nav_b cn: nav_b objectClass: account objectClass: posixAccount objectClass: top objectClass: shadowAccount userPassword: 123456 shadowLastChange: 17110 shadowMin: 0 shadowMax: 99999 shadowWarning: 7 loginShell: /sbin/bash uidNumber: 10002 gidNumber: 100011 homeDirectory: /home/nav_b dn: uid=nav_c,ou=People,dc=fayson,dc=com uid: nav_c cn: nav_c objectClass: account objectClass: posixAccount objectClass: top objectClass: shadowAccount userPassword: 123456 shadowLastChange: 17110 shadowMin: 0 shadowMax: 99999 shadowWarning: 7 loginShell: /sbin/nologin uidNumber: 10003 gidNumber: 100012 homeDirectory: /home/nav_c
（可左右滑动）
向OpenLDAP中导入Navigator测试用户
[root@cdh01 openladp]# ldapadd -D "cn=Manager,dc=fayson,dc=com" -W -x -f navigator_user.ldif
（可左右滑动）
3.查看是否导入成功
ldapsearch -h cdh01.fayson.com -b "dc=fayson,dc=com" -D "cn=Manager,dc=fayson,dc=com" -W "(&(objectClass=posixGroup)(cn=nav_*))" ldapsearch -h cdh01.fayson.com -b "dc=fayson,dc=com" -D "cn=Manager,dc=fayson,dc=com" -W "(&(objectClass=account)(uid=nav_*))"
（可左右滑动）
4.在命令行查看用户导入的测试用户
[root@cdh01 openladp]# id nav_a [root@cdh01 openladp]# id nav_b [root@cdh01 openladp]# id nav_c
（可左右滑动）
5.分配角色组及验证
1.使用admin用户登录Cloudera Navigator管理平台，进入角色管理界面
2.通过截图中的搜索栏查看nav_开头的OpenLDAP组
3.点击搜索出来的组名，进入角色分配界面
为nav_admin组分配超级管理员角色
为nav_groupb组分配角色
为nav_groupc组分配角色
以上完成了对OpenLDAP组权限分配，拥有相应组的用户即有对应的Navigator的操作权限。
4.使用测试用户登录测试，查看用户拥有的权限
nav_a用户拥有的权限
nav_b用户拥有的权限
nva_c用户拥有的权限
5.使用fayson用户所属组为fayson，未分配角色的组登录测试，提示用户没有权限访问
6.总结
1.Navigator与OpenLDAP集成需要配置LDAP的访问地址，用户查询域“ou=People,dc=fayson,dc=com”，查询组的域“ou=Group,dc=fayson,dc=com”等。
2.在搜索用户组的参数中fayson添加了只能搜索指定前缀的组，以方便Navigator为相应组授权，以防止为其它用户组授权。
3.Navigator集成OpenLDAP后，需要为用户所在组分配角色，否则用户是没有权限访问Navigator服务。
提示：代码块部分可以左右滑动查看噢
为天地立心，为生民立命，为往圣继绝学，为万世开太平。
温馨提示：如果使用电脑查看图片不清晰，可以使用手机打开文章单击文中的图片放大查看高清原图。
推荐关注Hadoop实操，第一时间，分享更多Hadoop干货，欢迎转发和分享。
原创文章，欢迎转载，转载请注明：转载自微信公众号Hadoop实操
,
