Cryptage HDFS: Utilisateur: hdfs n'est pas autorisé à faire 'DECRYPT_EEK' sur 'hdfskey'

Question

J'essaye de configurer le cryptage HDFS avec Ranger KMS sur HDP 2.4.

J'ai été en mesure de déployer et de configurer le service KMS. J'ai créé une clé et une stratégie d'accès pour accorder toutes les autorisations à l'utilisateur hdfs pour fonctionner avec cette clé.

Je suis en mesure de créer une zone chiffrée avec

sudo -uhdfs hdfs mkdir /data_enc 
sudo -uhdfs hdfs crypto -createZone -keyName hdfskey -path /data_enc 

Cependant lorsque je tente de mettre un fichier dans le répertoire, je reçois cette erreur:

sudo -uhdfs hdfs dfs -put /tmp/file.txt /data_enc/ 
... 
    User:hdfs not allowed to do 'DECRYPT_EEK' on 'hdfskey' 

utilisateur de HDFS a toutes les autorisations pour cette clé, y compris DECRYPT_EEK. Est-ce que quelqu'un sait ce qui pourrait mal tourner? L'utilisateur est blacklisté par défaut pour les opérations de décryptage dans Ranger.

Answer 1

hdfs
Il est possible que cette liste noire remplace la permission DECRYPT_EEK donnée à la clé.

Modifiez la propriété hadoop.kms.blacklist.DECRYPT_EEK dans Advanced dbks-site Menu dans Ranger ou dans dbks-site.xml.