General
Cuando establezca parámetros para los conectores de destino de Spark SQL en los emparejamientos de enlaces de NVP, asegúrese de que la propiedad Rutas de archivo de configuración tenga la ruta de acceso correcta. Teradata Fabric depende en gran medida de esta configuración al procesar transferencias de datos. Consulte Propiedades de conectores y enlaces de Spark SQL.
Kerberos
Puede configurar Teradata Fabric para utilizar la autenticación Kerberos con un conector de destino de Spark SQL. Hay dos formas de autenticación disponibles en Kerberos:
- Username/Password
- El conector de destino de Spark SQL autentica el nombre de usuario y la contraseña para Kerberos antes de enviar la consulta al origen de datos.
- Kerberos Keytab
- Spark SQL puede configurarse para habilitar la autenticación mediante keytab de Kerberos.
- Seleccione Kerberos para la propiedad Mecanismo de autenticación.
- Verifique que el usuario de Teradata Fabric tenga permiso para ejecutar kinit. Consulte Verificación del permiso para ejecutar kinit (Spark SQL).
Kerberos de confianza
El conector de Spark SQL admite el valor de authentication mechanism de Trusted Kerberos, que permite la suplantación de los usuarios finales de Teradata Fabric con una sola cuenta de servicio de Kerberos. Si la cuenta de servicio de Kerberos tiene privilegios de nivel de Hadoop para suplantar a un usuario solicitado, las consultas de Teradata Fabric se ejecutan en la sesión como ese usuario solicitado.
Esta característica solo se admite con clústeres de CDP de Kerberos mediante Spark con Mecanismo de ejecución como aplicación Spark y Teradata Fabric 3.08 y versiones posteriores. La configuración de Kerberos es la misma que la configuración de autenticación de Kerberos, pero con opciones adicionales.
El usuario suplantado se pasa al sistema de destino mediante el parámetro --proxy-user del comando spark-submit. El usuario suplantado debe estar en Allowed OS users para ejecutar consultas en el sistema de destino. Hay dos maneras de definir el usuario suplantado:
| Opciones | Descripción |
|---|---|
| Usuario en el sistema iniciador (predeterminado) | El usuario del sistema Teradata se pasa al sistema de destino como el usuario suplantado con el nombre de usuario en minúsculas. |
| Asignación de usuarios | La asignación de usuarios puede definir al usuario suplantado con un nombre de usuario que distingue entre mayúsculas y minúsculas en el sistema de destino para cualquier usuario del sistema iniciador. Un caso de uso típico es cuando el nombre de usuario suplantado no está en minúsculas. |
Al configurar la suplantación de usuario en el clúster de Hadoop, el usuario del servicio debe poder suplantar al usuario solicitado. Esto requiere configurar las propiedades hadoop.proxyuser.kerberos_service_user.groups y hadoop.proxyuser.kerberos_service_user.hosts en el archivo core-site.xml para la cuenta de servicio de Kerberos. El comando spark-submit desencadena las consultas de Teradata Fabric desde el nodo del controlador; por lo tanto, introduzca las direcciones IP de los nodos de controlador en la propiedad hadoop.proxyuser.kerberos_service_user.hosts.
- hadoop.proxyuser.krb service.groups debe indicar el grupo al que pertenece el usuario suplantado. Esto permite que krb service suplante a los usuarios que pertenecen a ese grupo.
- krb service debe pertenecer al grupo principal del usuario suplantado para acceder a los archivos temporales en el directorio HDFS /tdqg-spark que Teradata Fabric crea mientras ejecuta las consultas.
- Evite el uso de comodines (*) como valor para las propiedades hadoop.proxyuser.krb service.hosts y hadoop.proxyuser.krb service.groups. Aplique las restricciones previstas en los grupos de usuarios que puedan ser suplantados por diferentes hosts.