hive数据库如何授权用户

在 Hive 中给用户授权，通常有两种体系：

1. Hive 自带的授权机制（Hive Authorization）
2. 结合 Hadoop / Ranger / Sentry 的权限控制（生产环境常用）

下面先讲 Hive 原生授权方式，再补充常见生产做法。

一、Hive 原生授权（基于 SQL 的 GRANT/REVOKE）

1. 开启 Hive 授权

在 hive-site.xml 中配置（一般测试环境）：

<property>
  <name>hive.security.authorization.enabled</name>
  <value>true</value>
</property>
<property>
  <name>hive.security.authorization.createtable.owner.grants</name>
  <value>ALL</value>
</property>

⚠️ 生产环境一般用 Ranger / Sentry，不直接用 Hive 原生授权

2. 创建用户（Hive 用户依赖 OS / LDAP）

Hive 本身不创建用户，用户来自：

• Linux 用户
• LDAP
• Kerberos

例如 Linux 用户：

useradd hiveuser1

3. 授权语法

（1）库级别授权

GRANT CREATE, SELECT, INSERT
ON DATABASE db_name
TO USER hiveuser1;

（2）表级别授权

GRANT SELECT, INSERT
ON TABLE db_name.table_name
TO USER hiveuser1;

（3）列级别授权（Hive 0.13+）

GRANT SELECT (col1, col2)
ON TABLE db_name.table_name
TO USER hiveuser1;

4. 收回权限

REVOKE SELECT
ON TABLE db_name.table_name
FROM USER hiveuser1;

5. 查看权限

SHOW GRANT USER hiveuser1;

二、角色（Role）方式（推荐）

1. 创建角色

CREATE ROLE analyst;

2. 给角色授权

GRANT SELECT ON DATABASE sales TO ROLE analyst;

3. 用户绑定角色

GRANT ROLE analyst TO USER hiveuser1;

4. 查看角色

SHOW ROLES;
SHOW ROLE GRANT USER hiveuser1;

三、生产环境常见做法（重要）

✅ 方式一：Apache Ranger（最常用）

• 在 Ranger 界面配置：
  • Hive → Database / Table / Column
  • User / Group
• 不需要写 Hive SQL

✅ 方式二：Cloudera Sentry

• 基于 Role + Group
• Hive 用户必须是 Linux / LDAP 组

✅ 方式三：Kerberos + HDFS 权限

• Hive 表本质是 HDFS 文件
• 需同时控制：
  • HDFS 目录权限
  • Hive 元数据权限

四、常见坑提醒

1. Hive 用户 ≠ Linux 用户不一致会报错
2. 只授权 Hive 不够，HDFS 也要有权限
3. Hive 原生授权安全性较弱，不建议生产单独使用

如果你能告诉我：

• 使用的是 CDH / HDP / 社区版 Hive
• 是否启用 Kerberos / Ranger / Sentry

我可以给你一套可直接用的授权方案。