Cloudera Impala 3.1+ y Cloudera Impala con controlador nativo

Dialectos que usan estas instrucciones

Looker se conecta a las siguientes bases de datos de Impala:

  • Cloudera Impala 3.1 y versiones posteriores
  • Cloudera Impala 3.1 y versiones posteriores con controlador nativo
  • Cloudera Impala con controlador nativo

Encripta el tráfico de red

Una práctica recomendada es encriptar el tráfico de red entre la aplicación de Looker y tu base de datos. Considera una de las opciones que se describen en la página de documentación Habilita el acceso seguro a la base de datos.

Configura Looker para conectarte a Cloudera Impala

Looker se conecta a bases de datos a través de una conexión JDBC. En el caso de las bases de datos de Impala, Looker se conecta de forma predeterminada al servidor que ejecuta el daemon impalad en el puerto 21050. Si deseas obtener más información, consulta la sección Configura Impala para que funcione con JDBC de la documentación en el sitio web de Cloudera.

En la sección Administrador de Looker, selecciona Conexiones y, luego, haz clic en Agregar conexión.

La configuración de la conexión de Looker depende de la seguridad que se use:

Cómo conectarse a un clúster sin Kerberos ni autenticación de usuarios

Para configurar una conexión que no use Kerberos ni autenticación de usuarios, sigue estos pasos:

  1. En la página Configuración de la conexión, deja los campos Nombre de usuario y Contraseña en blanco. (El * junto a los nombres de los campos implica que estos campos son obligatorios, pero no lo son).
  2. En el campo Parámetros adicionales de JDBC, ingresa ;auth=noSasl.

Cómo verificar la string de conexión

Para verificar la cadena de conexión de JDBC en los archivos de registro, en el panel Administrador de Looker, haz clic en Registro en el menú de la izquierda. Luego, filtra el registro con un término como jdbc o noSasl. La línea de registro podría ser similar a la siguiente:

jdbc connect using: jdbc:hive2://<HOSTNAME>/<DATABASE_NAME>;auth=noSasl

Si quieres obtener más información sobre la configuración de las bases de datos de Impala para que funcionen con JDBC, consulta la documentación en el sitio web externo de Cloudera.

Cómo conectarse a un clúster que requiere autenticación de LDAP

En el caso de un clúster que requiera autenticación LDAP, incluido un clúster con Apache Sentry y Kerberos, en la página Configuración de conexión, ingresa un Nombre de usuario y una Contraseña con acceso a los esquemas a los que Looker tendrá acceso.

Cómo conectarse a un clúster protegido con Kerberos, pero sin usar Apache Sentry

Es posible que el equipo de analistas de Looker necesite ayudar a configurar esta conexión de forma correcta.

Por lo general, la autenticación de Kerberos con entornos de Cloudera se controla a través de Apache Sentry. Consulta la documentación de Cloudera para obtener más detalles.

Si deseas configurar Looker para que se conecte directamente a las bases de datos de Impala con la autenticación de Kerberos, sigue los pasos que se indican en esta página.

Cómo configurar el cliente de Kerberos

Primero, debes garantizar la instalación de varias piezas de software y la presencia de varios archivos en la máquina de Looker.

Cliente de Kerberos

Para verificar que el cliente de Kerberos esté instalado en la máquina de Looker, intenta ejecutar kinit. Si el cliente Kerberos no está instalado, instala los objetos binarios del cliente Kerberos.

Por ejemplo, en Red Hat/CentOS, sería lo siguiente:

sudo yum install krb5-workstation krb5-libs krb5-auth-dialog

Java 8

Java 8 debe estar instalado en la máquina de Looker y en PATH y JAVA_HOME del usuario de Looker. Si es necesario, instálalo de forma local en el directorio looker.

Extensión de criptografía de Java

  1. Descarga e instala Java Cryptography Extension (JCE) para Java 8 desde el sitio web de Oracle.

    • Busca el directorio jre/lib/security de la instalación de Java.
    • Quita los siguientes archivos JAR de este directorio: local_policy.jar y US_export_policy.jar.
    • Reemplaza estos dos archivos por los archivos JAR incluidos en la descarga de los archivos de políticas de jurisdicción de fuerza ilimitada de JCE.

    Tal vez sea posible usar versiones de Java anteriores a Java 8 con el JCE instalado, pero no se recomienda.

  2. Actualiza JAVA_HOME y PATH en ~looker/.bash_profile para que apunten a la instalación correcta de Java y source ~/.bash_profile, o sal de la cuenta y vuelve a acceder.

  3. Verifica la versión de Java con java -version.

  4. Verifica la variable de entorno JAVA_HOME con echo $JAVA_HOME.

gss-jaas.conf

Crea un archivo gss-jaas.conf en el directorio looker con este contenido:

com.sun.security.jgss.initiate {
    com.sun.security.auth.module.Krb5LoginModule required
    useTicketCache=true
    doNotPrompt=true;
};

Si es necesario para las pruebas, se puede agregar debug=true a este archivo de la siguiente manera:

com.sun.security.jgss.initiate {
    com.sun.security.auth.module.Krb5LoginModule required
    useTicketCache=true
    doNotPrompt=true
    debug=true;
};
krb5.conf

El servidor que ejecuta Looker también debe tener un archivo krb5.conf válido. De forma predeterminada, este archivo se encuentra en /etc/krb5.conf. Si está en otra ubicación, se debe indicar en el entorno (KRB5_CONFIG en el entorno de shell).

Es posible que debas copiarlo desde otra máquina cliente de Kerberos.

lookerstart.cfg

Para apuntar a los archivos gss-jaas.conf y krb5.conf, crea un archivo en el directorio looker (el mismo directorio que contiene la secuencia de comandos de inicio looker) llamado lookerstart.cfg que contenga las siguientes líneas:

  JAVAARGS="-Djava.security.auth.login.config=/path/to/gss-jaas.conf -Djavax.security.auth.useSubjectCredsOnly=false -Djava.security.krb5.conf=/etc/krb5.conf"
  LOOKERARGS=""

Si el archivo krb5.conf no está en /etc/krb5.conf, también será necesario agregar esta variable:

  -Djava.security.krb5.conf=/path/to/krb5.conf

Para la depuración, agrega estas variables:

  -Dsun.security.jgss.debug=true -Dsun.security.krb5.debug=true

Luego, reinicia Looker con ./looker restart.

Autenticación con Kerberos

Autenticación de usuarios

  1. Si krb5.conf no está en /etc/, usa la variable de entorno KRB5_CONFIG para indicar su ubicación.

  2. Ejecuta el comando klist para asegurarte de que haya un ticket válido en la caché de tickets de Kerberos.

  3. Si no hay un ticket, ejecuta kinit username@REALM o kinit username para crearlo.

  4. Es probable que la cuenta que se use con Looker no tenga un servidor de aplicaciones, por lo que puedes obtener un archivo keytab de Kerberos para almacenar la credencial para uso a largo plazo. Usa un comando como kinit -k -t looker_user.keytab username@REALM para obtener el ticket de Kerberos.

Cómo renovar automáticamente el ticket

Configurar un trabajo cron que se ejecute de vez en cuando para mantener un ticket activo en la caché de tickets de Kerberos La frecuencia con la que se debe ejecutar depende de la configuración del clúster. klist debe indicar cuándo vencerán los tickets.

Crea la conexión de Looker a tu base de datos

En la sección Administrador de Looker, selecciona Conexiones y, luego, haz clic en Agregar conexión.

Completa los detalles de la conexión de la siguiente manera (consulta la página de documentación Cómo conectar Looker a tu base de datos para obtener más información):

  • Nombre: Es el nombre de la conexión. De esta manera, se hará referencia a la conexión en el modelo de LookML.

  • Dialecto: Cloudera Impala 3.1 y versiones posteriores, Cloudera Impala 3.1 y versiones posteriores con controlador nativo o Cloudera Impala con controlador nativo.

  • Host: Es el nombre de host.

  • Puerto: Es el puerto de la base de datos (21050 de forma predeterminada).

  • Base de datos: Es el esquema o la base de datos predeterminados que se modelarán. Cuando no se especifica ninguna base de datos para una tabla, esto se supone.

  • Nombre de usuario: Deja este campo en blanco.

  • Contraseña: Deja este campo en blanco.

  • Habilitar PDT: Usa este botón de activación para habilitar las tablas derivadas persistentes. Cuando se habilitan los PDT, la ventana Connection muestra la configuración adicional de PDT y la sección PDT Overrides.

  • Base de datos temporal: Es un esquema o una base de datos temporal para almacenar PDT. Esto se debe crear con anticipación.

  • Parámetros adicionales de JDBC: Son parámetros adicionales para la cadena de JDBC. Indica el principal de Kerberos aquí, por ejemplo, ;principal=impala/impala.company.com@REALM. Los principios de tres partes son estándar. Por lo general, el primero (impala) es el nombre del servicio y el último (REALM) es el reino.

  • SSL: marca esta opción para usar conexiones SSL. Si tu certificado SSL no fue emitido por una autoridad certificadora ampliamente reconocida y usas un certificado personalizado, deberás hacer lo siguiente:

    • Copia el archivo de certificado en el servidor de Looker. Esta opción solo está disponible para las implementaciones de Looker alojadas por el cliente.
    • Agrega los siguientes parámetros al campo Parámetros adicionales de JDBC:
  sslTrustStore=/path/to/your/trust_store.jks;trustStorePassword=yourpassword

Consulta la documentación de Cloudera para obtener más detalles sobre cómo formar las cadenas JDBC correctas para las bases de datos de Impala.

  • Zona horaria de la base de datos: Es la zona horaria de los datos almacenados en tu base de datos. Por lo general, se puede dejar en blanco o establecer en UTC.

Se recomienda que el nombre del servidor (impala.company.com en este ejemplo) sea el nombre canónico del servidor y que la búsqueda de DNS inversa de la dirección IP aparezca en ese nombre. Sin embargo, el nombre del servidor debe ser el que aparece en el controlador de dominio de Kerberos:

  nslookup servername  # get canonical server name and IP address

  nslookup ipaddress  # get the canonical name back

A veces, el nombre del servidor está configurado como el nombre de host, y no el nombre de dominio completamente calificado. En este caso, es posible que sea necesario modificar los archivos /etc/hosts y /etc/nsswitch.conf para asegurarte de que las búsquedas inversas se resuelvan según lo previsto.

Prueba la conexión para asegurarte de que esté configurada correctamente.

Depuración

Recursos

Permisos para PDT

El usuario que se conecta al esquema temporal para las tablas derivadas persistentes (PDT) debe tener permisos de lectura/escritura.

Compatibilidad de características

Para que Looker admita algunas funciones, el dialecto de tu base de datos también debe admitirlas.

Cloudera Impala con controlador nativo

Cloudera Impala con el controlador nativo admite las siguientes funciones a partir de Looker 24.16:

Atributo ¿Es compatible?
Nivel de asistencia
Admitido
Looker (Google Cloud Core)
No
Agregaciones simétricas
No
Tablas derivadas
Sí
Tablas derivadas de SQL persistentes
Sí
Tablas derivadas persistentes nativas
Sí
Vistas estables
Sí
Cierre de consultas
Sí
Tablas dinámicas basadas en SQL
Sí
Zonas horarias
Sí
SSL
Sí
Subtotales
No
Parámetros adicionales de JDBC
Sí
Distingue mayúsculas de minúsculas
Sí
Tipo de ubicación
Sí
Tipo de lista
No
Percentil
No
Percentil distintivo
No
Procesos de presentación del ejecutor de SQL
No
Tabla Describe de SQL Runner
Sí
Índices de Show de SQL Runner
No
SQL Runner Select 10
Sí
Cantidad de Ejecutor de SQL
Sí
Explicación de SQL
Sí
Credenciales de OAuth
No
Comentarios contextuales
Sí
Agrupación de conexiones
No
Esbozos de HLL
No
Reconocimiento agregado
Sí
PDT incrementales
No
Milisegundos
Sí
Microsegundos
Sí
Vistas materializadas
No
Recuento aproximado de valores distintos
Sí

Cloudera Impala 3.1 y versiones posteriores

Cloudera Impala 3.1+ admite las siguientes funciones a partir de Looker 24.16:

Atributo ¿Es compatible?
Nivel de asistencia
Admitido
Looker (Google Cloud Core)
Sí
Agregados simétricos
Sí
Tablas derivadas
Sí
Tablas derivadas de SQL persistentes
Sí
Tablas derivadas persistentes nativas
Sí
Vistas estables
Sí
Cierre de consultas
Sí
Tablas dinámicas basadas en SQL
Sí
Zonas horarias
Sí
SSL
Sí
Subtotales
No
Parámetros adicionales de JDBC
Sí
Distingue mayúsculas de minúsculas
Sí
Tipo de ubicación
Sí
Tipo de lista
No
Percentil
No
Percentil distintivo
No
Procesos de presentación del ejecutor de SQL
No
Tabla Describe de SQL Runner
Sí
Índices de Show de SQL Runner
No
SQL Runner Select 10
Sí
Cantidad de Ejecutor de SQL
Sí
Explicación de SQL
Sí
Credenciales de OAuth
No
Comentarios contextuales
Sí
Agrupación de conexiones
No
Esbozos de HLL
No
Reconocimiento agregado
Sí
PDT incrementales
No
Milisegundos
Sí
Microsegundos
Sí
Vistas materializadas
No
Recuento aproximado de valores distintos
Sí

Cloudera Impala 3.1+ con controlador nativo

Cloudera Impala 3.1 y versiones posteriores con el controlador nativo admiten las siguientes funciones a partir de Looker 24.16:

Atributo ¿Es compatible?
Nivel de asistencia
Admitido
Looker (Google Cloud Core)
No
Agregaciones simétricas
Sí
Tablas derivadas
Sí
Tablas derivadas de SQL persistentes
Sí
Tablas derivadas persistentes nativas
Sí
Vistas estables
Sí
Cierre de consultas
Sí
Tablas dinámicas basadas en SQL
Sí
Zonas horarias
Sí
SSL
Sí
Subtotales
No
Parámetros adicionales de JDBC
Sí
Distingue mayúsculas de minúsculas
Sí
Tipo de ubicación
Sí
Tipo de lista
No
Percentil
No
Percentil distintivo
No
Procesos de presentación del ejecutor de SQL
No
Tabla Describe de SQL Runner
Sí
Índices de Show de SQL Runner
No
SQL Runner Select 10
Sí
Cantidad de Ejecutor de SQL
Sí
Explicación de SQL
Sí
Credenciales de OAuth
No
Comentarios contextuales
Sí
Agrupación de conexiones
No
Esbozos de HLL
No
Reconocimiento agregado
Sí
PDT incrementales
No
Milisegundos
Sí
Microsegundos
Sí
Vistas materializadas
No
Recuento aproximado de valores distintos
Sí

Próximos pasos

Después de conectar tu base de datos a Looker, configura las opciones de acceso para tus usuarios.