HDFS加密：用户：HDFS不允许这样做“DECRYPT_EEK”上“hdfskey”

Question

我在HDP 2.4试图安装HDFS加密与游侠KMS。

我能够部署和配置KMS服务。我创建了一个密钥和访问策略授予所有权限HDFS用户与该键操作。

我可以使用创建一个加密区域

sudo -uhdfs hdfs mkdir /data_enc
sudo -uhdfs hdfs crypto -createZone -keyName hdfskey  -path /data_enc

然而，当我试图把一个文件到该目录中，我得到这个错误：

    sudo -uhdfs hdfs dfs -put /tmp/file.txt /data_enc/
...
    User:hdfs not allowed to do 'DECRYPT_EEK' on 'hdfskey'

HDFS用户对这个关键，包括DECRYPT_EEK所有权限。有谁知道可能出什么问题？

Answer 1

hdfs默认情况下，将用户列入黑名单以用于Ranger中的解密操作。
此黑名单可能会覆盖DECRYPT_EEK赋予密钥的权限。

编辑属性hadoop.kms.blacklist.DECRYPT_EEK在任何Advanced dbks-site Menu游侠或dbks-site.xml。