Usar SSL/TLS e configurar LDAPS com o Presto no Amazon EMR

PDFRSS

Com as versões 5.6.0 e posteriores do Amazon EMR, você pode habilitar SSL/TLS para ajudar a proteger a comunicação interna entre nós do Presto. Você pode fazer isso definindo uma configuração de segurança para criptografia em trânsito. Para obter mais informações, consulte Opções de criptografia e Usar configurações de segurança para definir a segurança do cluster no Guia de gerenciamento do Amazon EMR.

Quando você usa uma configuração de segurança com criptografia em trânsito, o Amazon EMR faz o seguinte para o Presto:

• Distribui os artefatos ou certificados de criptografia que você especifica para a criptografia em trânsito em todo o cluster do Presto. Para obter mais informações, consulte Fornecer certificados para criptografia de dados em trânsito.

• Define as seguintes propriedades usando a classificação de configuração presto-config, que corresponde ao arquivo config.properties para o Presto:

  • Define http-server.http.enabled como false em todos os nós, o que desabilita HTTP em favor de HTTPS. Isso exige que você forneça certificados que funcionem para DNS público e privado quando definir a configuração de segurança para criptografia em trânsito. Uma maneira de fazer isso é usar certificados SAN (Subject Alternative Name), compatíveis com vários domínios.

  • Define os valores http-server.https.*. Para obter detalhes da configuração, consulte Autenticação LDAP na documentação do Presto.

• Para o PrestoSQL (Trino) nas versões 6.1.0 e posteriores do EMR, o Amazon EMR configura automaticamente uma chave secreta compartilhada para comunicação interna segura entre os nós do cluster. Você não precisa fazer qualquer configuração adicional para habilitar esse atributo de segurança e pode substituir a configuração com sua própria chave secreta. Para obter informações sobre a autenticação interna do Trino, consulte a documentação do Trino 353: Proteger a comunicação interna.

Além disso, com as versões 5.10.0 e posteriores do Amazon EMR, você pode configurar a autenticação LDAP para conexões de clientes ao coordenador do Presto usando HTTPS. Essa configuração usa um LDAP seguro (LDAPS). O TLS deve ser habilitado no servidor LDAP, e o cluster do Presto deve usar uma configuração de segurança com a criptografia de dados em trânsito habilitada. Configurações adicionais são necessárias. As opções de configuração são diferentes de acordo com a versão do Amazon EMR que você usa. Para obter mais informações, consulte Usar autenticação LDAP para o Presto no Amazon EMR.

O Presto no Amazon EMR usa a porta 8446 para HTTPS interno por padrão. A porta usada para comunicação interna deve ser a mesma usada para o acesso HTTPS de clientes ao coordenador do Presto. A propriedade http-server.https.port na classificação de configuração presto-config especifica a porta.