Apache Sentry 参考中的“仅限于 Hive 表数据”是什么意思？答案

【问题标题】：What does it mean 'limited to Hive table data' in Apache Sentry reference?Apache Sentry 参考中的“仅限于 Hive 表数据”是什么意思？
【发布时间】：2019-04-12 06:02:03
【问题描述】：

这里https://www.cloudera.com/documentation/enterprise/5-9-x/topics/sentry_intro.html
我们可以读到

Apache Sentry 概述 Apache Sentry 是一个基于角色的细粒度的 Hadoop的授权模块。 Sentry 提供了以下能力控制和执行对数据的精确权限级别 Hadoop 集群上经过身份验证的用户和应用程序。哨兵目前与 Apache Hive、Hive 一起开箱即用 Metastore/HCatalog、Apache Solr、Impala 和 HDFS（仅限于 Hive 表数据）。

HDFS 仅限于 Hive 表数据是什么意思？

这是否意味着我无法为用户设置对 HDFS 上特定路径的权限访问？

例如，我想将user_A 的读取权限设置为路径/my_test1

以及user_B 对路径/my_test1 和路径/my_test2 的写入/读取访问权限。

Apache Sentry 可以吗？

【问题讨论】：

标签： hadoop hive cloudera cloudera-cdh

【解决方案1】：

Sentry 控件不会替换 HDFS ACL。 Sentry 权限和 HDFS ACL 之间的同步是单向的；也就是说，NameNode 上的 Sentry 插件将应用 Sentry 权限以及 HDFS ACL，以便 HDFS 根据 Sentry 的配置强制访问 Hive 表数据，即使在使用其他工具访问时也是如此。因此，HDFS 访问控制是在这种情况下执行 Sentry 中定义的策略的一种手段。

在 HDFS 中强制执行任意文件访问仍应通过 HDFS ACL 完成。

【讨论】：

好吧，好吧，你写的一切我都清楚。让我们考虑两种情况（为了澄清你的答案）。我们必须在 HDFS 上找到路径：(1) /some_data_being_part_of_some_hive_table 和 (2) /some_data_which_have_nothing_in_common_with_hive_and_another_stuff（它们是通过 HDFS 客户端 (dfs -put) 上传的）。现在，假设我们已经在 HDFS ACL 和 Sentry 权限之间设置了同步。在读取路径(1) 的情况下会发生什么以及在读取路径(2) 的情况下会发生什么。如果路径(2) 会到达哨兵服务器吗？如果路径(1) 设置的ACL 效果如何？
我们知道答案吗？即使我有同样的问题