使用Apache Ranger管理StarRocks权限

步骤一：安装ranger-starrocks-plugin

1. 通过SSH方式登录EMR集群，详情请参见登录集群。

2. 在Ranger Admin的插件目录下创建starrocks文件夹。

   mkdir {path-to-ranger}/starrocks

   请替换{path-to-ranger}/starrocks为实际的安装路径。本文以EMR-5.18.1版本集群为例，路径为/opt/apps/RANGER/ranger-2.3.0-1.0.6/ranger-admin/ews/webapp/WEB-INF/classes/ranger-plugins。

3. 访问StarRocks Download，找到Ranger plugin组件，单击Download。

   

4. 将插件上传至创建的starrocks 目录下。

5. 下载mysql-connector-j.jar包。

   • 方式一：直接下载。

     访问MySQL Community Downloads，下载最新版本的mysql-connector-j.jar包。

   • 方式二：手动拷贝已有的JAR包到starrocks目录下。

     1. 查找mysql-connector-j包路径。

        sudo find / -name mysql-connector-j-*.jar

        返回信息如下所示。

        /opt/apps/STARROCKS3/starrocks-3.2.11-1.0/fe/lib/mysql-connector-j-8.0.31.jar
        /opt/apps/STARROCKS2/starrocks-2.5.22-1.0/fe/lib/mysql-connector-j-8.0.33.jar

     2. 根据实际需求选择合适的版本，并将其拷贝到starrocks目录。

        sudo cp /opt/apps/STARROCKS3/starrocks-3.2.11-1.0/fe/lib/mysql-connector-j-8.0.31.jar /opt/apps/RANGER/ranger-2.3.0-1.0.6/ranger-admin/ews/webapp/WEB-INF/classes/ranger-plugins/starrocks

        说明

        本文以EMR-5.18.1版本集群为例，请您根据实际情况替换命令中的路径。

6. 重启Ranger Admin。

   在EMR控制台集群服务中Ranger服务的状态页签，单击RangerAdmin操作列的重启，使插件生效。

1. 修改内表鉴权方式。

   如果您需要通过Ranger管理Serverless StarRocks内部表（如数据库、表、列等）的权限，请按照以下步骤进行配置。如果不需要对内表进行权限管理，则可以跳过此步骤。

   1. 进入实例配置页面。

      1. 登录E-MapReduce控制台。

      2. 在左侧导航栏，选择EMR Serverless > StarRocks。

      3. 在顶部菜单栏处，根据实际情况选择地域。

      4. 单击目标实例的名称。

      5. 单击实例配置页签。

   2. 在实例配置页面，单击新增配置项，新增以下配置项。

      文件	参数	说明
      ranger-starrocks-security.xml	ranger.plugin.starrocks.service.name	Ranger中对应的StarRocks服务名称。例如，starrocks-test。
      	ranger.plugin.starrocks.policy.source.impl	获取Ranger鉴权策略使用的类。填写为org.apache.ranger.admin.client.RangerAdminRESTClient。
      	ranger.plugin.starrocks.policy.rest.url	Ranger Admin的地址。例如，http://master-1-1.c-aaa**********ccc.cn-beijing.emr.aliyuncs.com:6080。
      	ranger.plugin.starrocks.policy.rest.client.cookie.enabled	是否启用Ranger客户端的Cookie功能。测试中建议设置为false。
      FE	access_control	用于StarRocks的内表鉴权方式。填写为ranger。

2. 复用其它Ranger Service为外表鉴权。

   对于External Catalog，可以复用外部Service（如Hive Service）实现访问控制。StarRocks支持对于不同的Catalog匹配不同的Ranger Service。用户访问外表时，会直接根据对应外表的Service来进行访问控制。用户权限与Ranger同名用户一致。

   外表（External Table）指的是保存在其他数据源中的数据表，而StartRocks只保存表对应的元数据，并直接向外表所在数据源发起查询。

   如果您需要通过Ranger管理外部Catalog（如Hive、Iceberg等）的访问权限，请按照以下步骤进行配置。如果您的业务场景中不涉及外部Catalog或无需对其进行权限管理，则可以跳过此步骤。

   1. 在实例配置页面，单击新增配置项，在ranger-hive-security.xml文件中新增以下配置项。

      参数	说明
      ranger.plugin.hive.service.name	Ranger 中对应的Hive服务名称。例如，emr-hive。
      ranger.plugin.hive.policy.source.impl	获取Ranger鉴权策略使用的类。填写为org.apache.ranger.admin.client.RangerAdminRESTClient。
      ranger.plugin.hive.policy.rest.url	Ranger Admin的地址。例如，http://master-1-1.c-aaa**********ccc.cn-beijing.emr.aliyuncs.com:6080。

   2. 配置外部Catalog的鉴权方式。

      • 创建External Catalog时指定Ranger服务。

        CREATE EXTERNAL CATALOG hive_catalog_1 PROPERTIES (
               "type" = "hive", 
               "hive.metastore.type" = "hive", 
               "hive.metastore.uris" = "thrift://xx.xx.xx.xx:9083",
               "ranger.plugin.hive.service.name" = "<ranger_hive_service_name>"
           );

      • 为已有External Catalog添加Ranger服务。

        ALTER CATALOG hive_catalog_1 SET ("ranger.plugin.hive.service.name" = "<ranger_hive_service_name>");

      其中，涉及参数如下：

      • hive.metastore.uris：Hive MetaStore的URI。您可以在DataLake集群的Hive服务的hive-site.xml文件中，搜索并查看hive.metastore.uris参数值。

      • ranger.plugin.hive.service.name：为Ranger Hive服务名称。

后续操作

在成功添加StarRocks服务后，您可以单击该服务，以创建相应的权限策略，并为不同的用户或用户组分配不同的权限。Apache Ranger会根据这些策略对用户的访问请求进行控制。关于如何在Ranger上创建权限策略来管理数据安全，请参见Apache Ranger官网。