Hive用户权限说明

使用Hive表、列或数据库

使用其他用户创建的Hive表、列或数据库，不同的场景需要不同的Hive权限，例如：

• 创建表，需要“建表”。
• 查询数据，需要“查询”。
• 插入数据，需要“插入”。
• 删除数据，需要“删除”。

关联使用其他组件

部分场景除了Hive权限，还可能需要组件的权限，例如：

• 执行部分HQL命令，例如insert，count，distinct，group by，order by，sort by或join等语句时，需要设置YARN权限。建议为每个Hive用户的角色添加此权限。
• 使用Hive over HBase，例如在Hive中查询HBase表数据，需要设置HBase权限。

创建Hive数据库、表、外表，或者为已经创建的Hive表或外表添加分区，且Hive用户指定数据文件保存在“/user/hive/warehouse”以外的HDFS目录。

需要此目录已经存在，Hive用户是目录的属主，且用户对目录拥有“读”、“写”和“执行”权限。同时用户对此目录上层的每一级目录都拥有“读”和“写”权限。然后管理员通过角色管理功能授予角色使用Hive的权限，会自动关联HDFS权限。

Hive用户使用load将指定目录下所有文件或者指定文件，导入数据到Hive表。

• 数据源为Linux本地磁盘，指定目录时需要此目录已经存在，系统用户“omm”对此目录以及此目录上层的每一级目录拥有“r”和“x”的权限。指定文件时需要此文件已经存在，“omm”对此文件拥有“r”的权限，同时对此文件上层的每一级目录拥有“r”和“x”的权限。
• 数据源为HDFS，指定目录时需要此目录已经存在，Hive用户是目录属主，且用户对此目录及其子目录拥有“读”、“写”和“执行”权限，并且其上层的每一级目录拥有“读”和“写”权限。指定文件时需要此文件已经存在，Hive用户是文件属主，且用户对文件拥有“读”、“写”和“执行”权限，同时对此文件上层的每一级目录拥有“读”和“执行”权限。

创建函数、删除函数或者修改任意数据库。

需要授予“Hive管理员权限”。

操作Hive中所有的数据库和表。

需加入到supergroup用户组，并且授予“Hive管理员权限”。

集群未启用Kerberos认证（普通模式）开启Ranger鉴权

集群未启用Kerberos认证（普通模式）默认关闭Ranger鉴权，如果启用Ranger鉴权，新增以下限制：

• 白名单限制：未配置的参数将不允许在客户端设置。白名单开关由Hive配置页面的“hive.security.whitelist.switch”参数控制，设置为“OFF”即可支持在客户端设置未配置的参数，存在安全风险，请谨慎操作。
• 不允执行reflect、reflect2、java_method和in_file函数。如果业务需要，可在HiveServer自定义参数中新增“hive.server2.builtin.udf.blacklist”参数项，值为“mpty_blacklist”来允许Hive执行这些函数，存在安全风险，请谨慎操作。