Presto实战

安全

｜

199

的所在位置，而不是默认的

/etc/krb5.conf

：

http.server.authentication.krb5.principal-hostname=presto.example.com

http.authentication.krb5.config=/etc/presto/krb5.conf

为了保证集群内部通信的安全，你需要为内部通信指定有效的

Kerberos

凭证并启用它：

internal-communication.kerberos.enabled=true

确保你也在工作节点上设置了

Kerberos

。用于内部通信的

Kerberos

安全主体是由

http.

server.authentication.krb5.service-name

建立的，其后追加了

Presto

运行节点的主机名

和

Kerberos

配置的默认

realm

。

10.7

　数据源访问和安全配置

在图

10-10

中可以看到

Presto

数据安全的另一个方面。在

Presto

中配置的每个

catalog

都包

括连接字符串以及用于连接到数据源的用户凭证。不同的连接器和目标数据源系统允许不

同的访问配置。

用户首先向协调器进行认证。

Presto

连接器向数据源发出请求，这通常也需要认证。

工作节点

工作节点

协调器

图 10-10：影响用户数据的数据源安全配置

从连接器到数据源的认证取决于连接器的实现。在许多连接器实现中，

Presto

以服务用户

的身份进行认证。因此，对于这类连接器来说，无论执行查询的用户是谁，查询都是以服

务用户的身份在底层系统中执行的。 ...