● 系统环境说明
Linux环境：centos7.4
CDH：5.16.1
Java：1.8.0_131
LDAP版本：2.4.44
● 集群配置
机器数量：50
内存：64G
硬盘：4T
CPU核心数：32
Ldap的具体概念可以参照我的另一篇文章
https://www.cnblogs.com/daemonyue/p/13037731.html
LDAP部署
主节点作为LDAP服务器
安装
yum install db4 db4-utils db4-devel cyrus-sasl* krb5-server-ldap -y
yum install openldap openldap-servers openldap-clients openldap-devel compat-openldap -y
配置
更新配置库：
rm -rf /var/lib/ldap/*
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown -R ldap.ldap /var/lib/ldap
配置数据存储位置即目录：/etc/openldap/slapd.d
尽量不要直接编辑改目录的文件，建议使用ldapadd,ldapdelete,ldapmodify等命令来修改
默认配置文件保存在 /etc/openldap/slapd.d，将其备份：
cp -rf /etc/openldap/slapd.d /etc/openldap/slapd.d.bak
添加一些基本配置，并引入openldap的schema：
touch /etc/openldap/slapd.conf
echo "include /etc/openldap/schema/corba.schema
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/duaconf.schema
include /etc/openldap/schema/dyngroup.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/java.schema
include /etc/openldap/schema/misc.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/openldap.schema
include /etc/openldap/schema/ppolicy.schema
include /etc/openldap/schema/collective.schema" > /etc/openldap/slapd.conf
echo -e "pidfile /var/run/openldap/slapd.pid\nargsfile /var/run/openldap/slapd.args" >> /etc/openldap/slapd.conf
更新slapd.d
slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d
chown -R ldap:ldap /etc/openldap/slapd.d && chmod -R 700 /etc/openldap/slapd.d
启动服务
chkconfig --add slapd chkconfig --level 345 slapd on /etc/init.d/slapd start
查看状态，验证服务端口：
ps -ef | grep slapd | grep -v grep
netstat -ntpl | grep :389
创建LDAP的数据库
进入到/etc/openldap/slapd.d目录，查看/etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif
可以看到一些默认的配置，例如：
olcRootDN: cn=Manager,dc=my-domain,dc=com
olcRootPW: secret
olcSuffix: dc=my-domain,dc=com
建立modify.ldif文件，内容如下：
dn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcSuffix olcSuffix: dc=cdh.ai,dc=com dn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcRootDN # 只有该用户有写权限 olcRootDN: uid=ldapadmin,ou=people,dc=cdh.ai,dc=com dn: olcDatabase={2}hdb,cn=config changetype: modify add: olcRootPW # root用户的密码 olcRootPW: admin dn: cn=config changetype: modify add: olcAuthzRegexp olcAuthzRegexp: uid=([^,]*),cn=GSSAPI,cn=auth uid=$1,ou=people,dc=cdh.ai,dc=com dn: olcDatabase={2}hdb,cn=config changetype: modify add: olcAccess # 所有人可读 olcAccess: {0}to dn.base="" by * read # 只有ldapadmin用户可以写 olcAccess: {1}to * by dn="uid=ldapadmin,ou=people,dc=cdh.ai,dc=com" write by * read
使用下面命令导入更新上面的这三个配置：
ldapmodify -Y EXTERNAL -H ldapi:/// -f modify.ldif
更新配置过程中出现错误：additional info: modify/add: olcRootPW: no equality matching rule，修改modify.ldif中对应选项的add为replace即可
导入linux系统用户
安装migrationtools工具：
yum install migrationtools -y
利用迁移工具生成模板，先修改默认的配置：
vim /usr/share/migrationtools/migrate_common.ph
71行默认的dns域名
DEFAULT_MAIL_DOMAIN = "CDH.AI.COM";
74行默认的base
DEFAULT_BASE = "dc=cdh.ai,dc=com";
生成模板文件：
/usr/share/migrationtools/migrate_base.pl > /opt/base.ldif
可以修改该文件，然后执行导入命令：
ldapadd -x -D "uid=ldapadmin,ou=people,dc=cdh.ai,dc=com" -w admin -f /opt/base.ldif
将当前节点上的用户导入到 ldap 中，可以有选择的导入指定的用户：
先添加用户：
useradd dy
查找系统上的dy用户：
grep -E "dy" /etc/passwd > /opt/passwd.txt
生成用户的ldif文件，然后导入到ldap：
/usr/share/migrationtools/migrate_passwd.pl /opt/passwd.txt /opt/passwd.ldif
ldapadd -x -D "uid=ldapadmin,ou=people,dc=cdh.ai,dc=com" -w admin -f /opt/passwd.ldif
查找系统上的dy组：
grep -E "dy" /etc/group >/opt/group.txt
生成用户组的ldif文件，然后导入到ldap：
/usr/share/migrationtools/migrate_group.pl /opt/group.txt /opt/group.ldif
ldapadd -x -D "uid=ldapadmin,people,dc=cdh.ai,dc=com" -w root -f /opt/group.ldif
Hive集成LDAP
更改配置
在hive-site.xml中加入以下配置：
<property>
<name>hive.server2.authentication</name>
<value>LDAP</value>
</property>
<property>
<name>hive.server2.authentication.ldap.url</name>
<value>ldap://cdh01.ali.aiwaystack.com</value>
</property>
<property>
<name>hive.server2.authentication.ldap.baseDN</name>
<value>ou=people,dc=cdh.ai,dc=com</value>
</property>
CDH UI界面：
重启Hive和Yarn服务
进入beeline测试：
beeline --verbose=true
beeline> !connect jdbc:hive2://cdh01.ali.aiwaystack.com:10000/default
输入账号密码
Impala集成LDAP
更改配置
启用 LDAP 身份验证选项设置为true
Impala 命令行参数高级配置代码段（安全阀）中添加-ldap_baseDN=ou=people,dc=cdh.ai,dc=com
CDH UI界面：
重启Impala服务
Hue集成LDAP
在Hue中配置LDAP可以让Hue直接使用LDAP所管理的账号而不必在Hue中重新管理
在Hue的配置页面中修改
● 身份验证后端/backend为desktop.auth.backend.LdapBackend
● 登录时创建 LDAP 用户/create_users_on_login 设置为True
● 使用搜索绑定身份验证/search_bind_authentication 设置为False
有两种方法可以通过 Hue 使用目录服务进行身份验证：
● 搜索绑定
● 直接绑定
这里将使用直接绑定的方式，关于搜索绑定请参考Cloudera的文档说明
以上的配置将在登录Hue的时候自动创建默认情况下 Hue 中不存在的用户
直接绑定将用于身份验证的直接绑定机制将使用登录时提供的用户名和密码绑定到 LDAP 服务器
使用直接绑定要设置一下两个配置的其中之一：
nt_domain：仅限与 Active Directory 一起使用
ldap_username_pattern：为在身份验证时最终将发送到目录服务的 DN 提供了一个模板。 参数将被替换为登录时提供的用户名。
默认值：“uid=,ou=People,dc=mycompany,dc=com”
在nt_domain未指定的情况下将使用ldap_username_pattern配置值进行LDAP账号检索
在Hue的配置页面中设置LDAP 用户名模式/ldap_username_pattern 为uid=,ou=People,dc=xiaohei,dc=com
注意：ldap_username_pattern的格式要正确，不应该为 cn=,dc=example,dc=com 的形式，否则会造成使用LDAP账号登录Hue的时候用户名或者密码错误的信息
CDH UI界面：
配置完成之后重启Hue服务即可完成，之后可以通过管理员账号在Hue的用户管理中导入/同步LDAP账号和组。
关于HUE UI可视化权限管理的相关操作，下一篇文章中会详细讲解。