一、相關概念

　　在預設情況下，相關的WEB頁面（JobTracker, NameNode, TaskTrackers and DataNodes）是不需要什麼許可權驗證就可以直接進入的，誰都可以檢視到當前叢集上有哪些作業在執行，這對安全來說是很不合理的。我們應該限定使用者來訪問Hadoop相關的WEB頁面，只有授權的使用者才能看到自己授權的作業等資訊，而不應該看到他不該看到的。其實Hadoop提供了簡單的web頁面的授權設定。
　　和Hadoop的RPC授權一樣，Hadoop相關的WEB頁面也可以通過配置Kerberos利用HTTP SPNEGO協議來進行相應的授權控制，HTTP SPNEGO協議是支援Firefox和Internet Explorer瀏覽器。不過Hadoop WEB頁面也是支援Hadoop的Pseudo/Simple授權控制，如果相應的授權開啟了，使用者需要在檢視某個頁面的時候，需要在URL的後面帶上一個查詢引數，如下：

　　這樣，jobtracker.jsp中將會獲取到user.name引數的值，從而達到簡單的授權控制。如果需要達到比較好的授權機制，使用者可以自己寫個Hadoop WEB頁面授權的外掛（比如我們可以實現自己的AuthenticatorHandler，可以參考Hadoop自帶的Hadoop-auth.jar工具包）。
　　

二、如何配置

　　上面說了Hadoop支援對相關的WEB頁面進行簡單的授權，那麼如何來設定呢？下面就來進行說明。
　　下面的所有配置都是在$HADOOP_HOME/etc/hadoop/core-site.xml裡面進行設定，設定好後，需要將core-site.xml同步到叢集中的所有機器。
　　1、hadoop.http.filter.initializers的值設定為org.apache.hadoop.security.AuthenticationFilterInitializer，它的預設值如下：

　　2、設定hadoop.http.authentication.type的值，這個屬性的值支援simple、kerberos、#AUTHENTICATION_HANDLER_CLASSNAME#；預設配置是simple。

　　3、hadoop.http.authentication.token.validity這個值設定本次授權的token多長時間有效，單位是秒。預設配置是3600秒。
　　4、hadoop.http.authentication.signature.secret.file設定signature secret file檔案存放的絕對路徑，這個檔案需要同步到叢集中所有的JobTracker, NameNode, DataNode 和TastTracker，它的預設值是${user.home}/hadoop-http-auth-signature-secret。需要保證signature secret file檔案可以被啟動JobTracker, NameNode, DataNode 和TastTracker程序的使用者可讀。
　　5、hadoop.http.authentication.cookie.domain：以Cookie儲存認證Token的域名，為了能夠使得授權得以生效，需要配置一個正確的值，該屬性是預設值為空。
　　6、hadoop.http.authentication.simple.anonymous.allowed：在simple授權模式下，是否允許匿名使用者請求。預設值是ture，也就是允許。
　　7、hadoop.http.authentication.kerberos.principal：在kerberos授權模式下，是否允許HTTP終端用 Kerberos principal，這個屬性的值必須是以’HTTP/’開頭。預設的值是HTTP/[email protected]$LOCALHOST。
　　8、hadoop.http.authentication.kerberos.keytab： keytab file檔案的存放地址，預設值是$user.home/hadoop.keytab.i。