Configurare la sicurezza di PolyBase Hadoop

Questo articolo fornisce informazioni di riferimento per varie impostazioni di configurazione che influiscono sulla connettività PolyBase APS a Hadoop. Per una procedura dettagliata su PolyBase, vedere Che cos'è PolyBase.

Note

In APS sono necessarie modifiche ai file XML in tutti i nodi di calcolo e il nodo di controllo.

Prestare particolare attenzione quando si modificano i file XML in APS. Eventuali tag mancanti o caratteri indesiderati possono invalidare il file xml impedendo l'usabilità della funzionalità. I file di configurazione di Hadoop si trovano nel percorso seguente:
C:\Program Files\Microsoft SQL Server Parallel Data Warehouse\100\Hadoop\conf Le modifiche apportate ai file xml richiedono un riavvio del servizio per essere effettive.

Impostazione di protezione Hadoop.RPC

Un modo comune per proteggere le comunicazioni in un cluster hadoop consiste nel modificare la configurazione hadoop.rpc.protection su "Privacy" o "Integrità". Per impostazione predefinita, PolyBase presuppone che la configurazione sia impostata su "Authenticate". Per eseguire l'override di questa impostazione predefinita, aggiungere la proprietà seguente al file core-site.xml. La modifica di questa configurazione consentirà il trasferimento sicuro dei dati tra i nodi hadoop e la connessione SSL a SQL Server.

<!-- RPC Encryption information, PLEASE FILL THESE IN ACCORDING TO HADOOP CLUSTER CONFIG -->
   <property>
     <name>hadoop.rpc.protection</name>
     <value></value>
   </property>

Configurazione di Kerberos

Si noti che quando PolyBase esegue l'autenticazione in un cluster protetto Kerberos, l'impostazione hadoop.rpc.protection è "Autentica" per impostazione predefinita. La comunicazione dei dati tra i nodi Hadoop rimane non crittografata. Per usare le impostazioni "Privacy" o "Integrità" per hadoop.rpc.protection, aggiornare il file core-site.xml nel server PolyBase. Per altre informazioni, vedere la sezione precedente Connessione a un cluster Hadoop con l'impostazione hadoop.rpc.protection.

Per connettersi a un cluster Hadoop protetto da Kerberos tramite MIT KDC, sono necessarie le modifiche seguenti in tutti i nodi di calcolo APS e il nodo di controllo:

Trovare le directory di configurazione di Hadoop nel percorso di installazione di APS. In genere il percorso è:
```
C:\Program Files\Microsoft SQL Server Parallel Data Warehouse\100\Hadoop\conf  
```
Trovare il valore di configurazione lato Hadoop delle chiavi di configurazione elencate nella tabella. Nella macchina Hadoop trovare i file nella directory di configurazione di Hadoop.

Copiare i valori di configurazione nella proprietà valore nei file corrispondenti sulla macchina SQL Server.

#	File di configurazione	Chiave di configurazione	Action
1	core-site.xml	polybase.kerberos.kdchost	Specificare il nome host KDC. Ad esempio: kerberos.your-realm.com.
2	core-site.xml	polybase.kerberos.realm	Specificare l'area di autenticazione Kerberos. Ad esempio: YOUR-REALM.COM
3	core-site.xml	hadoop.security.authentication	Trovare la configurazione del lato Hadoop e copiarla nella macchina SQL Server. Ad esempio: KERBEROS Nota sulla sicurezza: Kerberos deve essere scritto in lettere maiuscole. Se è in minuscolo, potrebbe non essere attivo.
4	hdfs-site.xml	dfs.namenode.kerberos.principal	Trovare la configurazione del lato Hadoop e copiarla nella macchina SQL Server. Ad esempio: hdfs/_HOST@YOUR-REALM.COM
5	mapred-site.xml	mapreduce.jobhistory.principal	Trovare la configurazione del lato Hadoop e copiarla nella macchina SQL Server. Ad esempio: mapred/_HOST@YOUR-REALM.COM
6	mapred-site.xml	mapreduce.jobhistory.address	Trovare la configurazione del lato Hadoop e copiarla nella macchina SQL Server. Ad esempio: 10.193.26.174:10020
7	yarn-site.xml yarn.	yarn.resourcemanager.principal	Trovare la configurazione del lato Hadoop e copiarla nella macchina SQL Server. Ad esempio: yarn/_HOST@YOUR-REALM.COM

core-site.xml

<property>
  <name>polybase.kerberos.realm</name>
  <value></value>
</property>
<property>
  <name>polybase.kerberos.kdchost</name>
  <value></value>
</property>
<property>
    <name>hadoop.security.authentication</name>
    <value>KERBEROS</value>
</property>

hdfs-site.xml

<property>
  <name>dfs.namenode.kerberos.principal</name>
  <value></value> 
</property>

mapred-site.xml

<property>
  <name>mapreduce.jobhistory.principal</name>
  <value></value>
</property>
<property>
  <name>mapreduce.jobhistory.address</name>
  <value></value>
</property>

yarn-site.xml

<property>
  <name>yarn.resourcemanager.principal</name>
  <value></value>
</property>

Creare un oggetto credenziali con ambito database per specificare le informazioni di autenticazione per ogni utente di Hadoop. Consulta Oggetti T-SQL PolyBase.

Configurazione dell'area di crittografia Hadoop

Se si usa la zona di crittografia Hadoop, modificare core-site.xml e hdfs-site.xml come indicato di seguito. Specificare l'indirizzo IP in cui il servizio kms è in esecuzione con il numero di porta corrispondente. La porta predefinita per KMS su CDH è 16000.