舒适提示：要看高清无码套图，请使用手机打开并单击图片放大查看。php
Fayson的github：https://github.com/fayson/cdhprojecthtml
提示：代码块部分能够左右滑动查看噢git
1.文档编写目的github
在前面Fayson介绍了《如何使用Shibboleth搭建IDP服务并集成OpenLDAP》和《如何使用SAML配置Cloudera Manager的身份验证》，经过Shibboleth的IDP服务提供SAML认证服务，本篇文章主要介绍如何使用SAML配置CDSW的身份验证。下图为CDSW集成SAML认证流程。apache
内容概述api
1.环境准备浏览器
2.CDSW配置SAML及注册IDPtomcat
3.登陆验证bash
4.总结服务器
测试环境
1.CDSW版本为1.2.2
2.Shibboleth IDP版本为3.3.2
3.CDH5.13.1
4.Redhat7.2
2.环境准备
1.获取IDP服务的metadata.xml文件
经过以下地址获取IDP服务的shibboleth.xml文件
http://{idp-server-hostname}/idp/shibboleth
将shibboleth.xml文件中有关ArtifactResolutionService和SingleSignOnService标签的Location地址由https修改成http
注意：这里须要注意的是须要将下载的shibboleth.xml文件中部分标签修改成”<md:”，该文件在配置CDSW SAML时会用到。
2.在IDP服务器上使用openssl命令将backchannel.p12转成成private key秘钥文件
使用openssl命令经过pkcs12密钥文件生成private key密钥文件
cd /opt/shibboleth-idp/credentials
openssl pkcs12 -in idp-backchannel.p12 -nocerts -out idp-backchannel.pem
openssl rsa -in idp-backchannel.pem -out private.key
（可左右滑动）
将该目录下的的idp-backchannel.crt和private.key文件下载至本地客户端，在配置CDSW秘钥时会使用。
3.CDSW配置SAML
1.使用管理员登陆CDSW，点击“Admin”
2.点击“Admin”->“Security”，进入外部身份验证配置界面
SAML认证涉及到的配置内容：
完成以上配置后，点击“Update”便可，不须要重启CDSW服务。
3.在浏览器访问CDSW地址有以下显示
因为CDSW服务未在IDP服务注册，因此访问有限制。
4.向IDP注册CDSW服务
1.编写CDSW服务的cdsw_saml_metadata.xml元数据文件，该文件主要是用于向IDP服务注册CDSW，文件内容以下：
因为CDSW服务的/api/v1/saml/metadata接口未提供完整的Metadata数据，因此这里咱们使用在线工具https://www.samltool.com/sp_metadata.php生成CDSW的Metadata数据文件。
生成的cdsw_saml_metadata.xml文件内容以下：
2.将生成的cdsw_saml_metadata.xml文件，上传至IDP服务的/opt/shibboleth-idp/metadata目录下
3.编辑/opt/shibboleth-idp/conf/metadata-providers.xml，在MetadataProvider标签内增长以下配置
<MetadataProvider id="LocalMetadata" xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/metadata/cdsw_saml_metadata.xml"/>
（可左右滑动）
4.编辑/opt/shibboleth-idp/conf/attribute-filter.xml，将内容修改成以下配置
<AttributeFilterPolicy id="example1">
<PolicyRequirementRule xsi:type="Requester" value="https://cdh3.itc.cmbchina.cn/idp/shibboleth" />
<AttributeRule attributeID="eduPersonPrincipalName">
<PermitValueRule xsi:type="ANY" />
</AttributeRule>
<AttributeRule attributeID="uid">
<PermitValueRule xsi:type="ANY" />
</AttributeRule>
<AttributeRule attributeID="mail">
<PermitValueRule xsi:type="ANY" />
</AttributeRule>
</AttributeFilterPolicy>
（可左右滑动）
主要修改PolicyRequirementRule属性的value值为EntityID值。
5.修改完以上配置后，从新构建IDP包及重启Tomcat服务
[root@cdh3 conf]<20180306 19:57:17># cd /opt/shibboleth-idp/bin/
[root@cdh3 bin]<20180306 19:57:32># ./build.sh
[root@cdh3 bin]<20180306 19:57:51># cd /opt/apache-tomcat-8.5.28/bin/
[root@cdh3 bin]<20180306 19:23:28># sh shutdown.sh
[root@cdh3 bin]<20180306 19:23:48># sh startup.sh
（可左右滑动）
5.登陆验证
1.在浏览器输入CM地址，重定向到IDP服务的登陆界面
2.在登陆界面输入LDAP用户帐号和密码，咱们使用admin用户登陆测试
点击登陆跳转到以下界面
点击“Accept”，认证成功进入CDSW主页
至此就完成了CDSW的SAML的身份验证配置。
6.验证CDSW功能
1.选择“testproject”工程，并启动一个Session
2.成功执行示例代码
7.总结
CDSW须要配置IDP服务提供者的shibboleth.xml、证书信息及EntityID等信息
完成CDSW的SAML配置后，须要将CM的cdsw_saml_metadata.xml注册到IDP服务，并配置IDP服务的属性解析，不然没法将用户信息返回给Cloudera Manager服务。
在这里CDSW的接口未提供完成的cdsw_saml_metadata.xml配置文件，须要咱们本身手动的建立该Metadata。
须要注意的是IDP服务提供的shibboleth.xml配置文件，须要修改成SAML2.0支持的格式，配置文件具体修改可参看以下GitHub地址。
参考：
https://www.cloudera.com/documentation/data-science-workbench/1-2-x/topics/cdsw_external_authentication.html#saml
Metadata.xml配置文件GtiHub地址：
https://github.com/fayson/cdhproject/blob/master/samldemo/cdsw_saml_metadata.xml
https://github.com/fayson/cdhproject/blob/master/samldemo/shibboleth.xml
提示：代码块部分能够左右滑动查看噢
为天地立心，为生民立命，为往圣继绝学，为万世开太平。
舒适提示：要看高清无码套图，请使用手机打开并单击图片放大查看。
推荐关注Hadoop实操，第一时间，分享更多Hadoop干货，欢迎转发和分享。
原创文章，欢迎转载，转载请注明：转载自微信公众号Hadoop实操
本文分享自微信公众号 - Hadoop实操（gh_c4c535955d0f）。
若有侵权，请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”，欢迎正在阅读的你也加入，一块儿分享。