Hive的权限需要在hive-site.xml文件中设置才会起作用，配置默认的是false，需要把hive.security.authorization.enabled设置为true，并对不同的用户设置不同的权限，例如select ,drop等的操作

眼下hive支持简单的权限管理，默认情况下是不开启。这样全部的用户都具有同样的权限。同一时候也是超级管理员。也就对hive中的全部表都有查看和修改的权利，这样是不符合一般数据仓库的安全原则的。Hive能够是基于元数据的权限管理。

基于CDH5.x的Hive权限配置

1、打开权限控制，默认是没有限制的

set hive.security.authorization.enabled=true;

2、配置默认权限

1 hive.security.authorization.createtable.owner.grants = ALL  
2 hive.security.authorization.createtable.role.grants = admin_role:ALL  
3 hive.security.authorization.createtable.user.grants = user1,user2:select;user3:create

在Cloudera Manager中配置

hive-site.xml 的 Hive 客户端高级配置代码段（安全阀）
hive-site.xml 的 HiveServer2 高级配置代码段（安全阀）

  
    hive.security.authorization.enabled  
    true  
  
    
    hive.security.authorization.createtable.owner.grants    
    ALL  
  
    
    hive.security.authorization.task.factory    
    org.apache.hadoop.hive.ql.parse.authorization.HiveAuthorizationTaskFactoryImpl  

 

3、创建角色

CREATE ROLE test_role;

 

分配用户到角色

GRANT ROLE test_role TO USER mllib;

 

如出现FAILED: SemanticException The current builtin authorization in Hive is incomplete and disabled.这个异常。

解决方案:

配置

 

set hive.security.authorization.task.factory = org.apache.hadoop.hive.ql.parse.authorization.HiveAuthorizationTaskFactoryImpl;

 

4、分配权限

基于角色:

 

GRANT CREATE ON DATABASE default TO group test_role;  
GRANT SELECT on table authorization_test to group test_role;  
GRANT DROP on table authorization_test to group test_role;  
GRANT ALL on table authorization_test to group test_role;

 

基于用户:

GRANT CREATE ON DATABASE default TO user mllib;  
GRANT SELECT on table authorization_test to user mllib;  
GRANT DROP on table authorization_test to user mllib;  
GRANT ALL on table authorization_test to user mllib;

 

分配创建数据库的权限

GRANT CREATE  TO user root;

 

5、查看权限分配

 

SHOW GRANT user mllib ON DATABASE default;     
SHOW GRANT group test_role ON DATABASE default;

 

6、删除权限

revoke all on database spark from user mllib;

 

7、HIVE支持以下权限：
权限名称 含义
ALL      :  所有权限
ALTER  :  允许修改元数据（modify metadata data of object）---表信息数据
UPDATE  :  允许修改物理数据（modify physical data of object）---实际数据
CREATE  :  允许进行Create操作
DROP  :  允许进行DROP操作
INDEX  :  允许建索引（目前还没有实现）
LOCK  :  当出现并发的使用允许用户进行LOCK和UNLOCK操作
SELECT  :  允许用户进行SELECT操作
SHOW_DATABASE : 允许用户查看可用的数据库


8、登录hive元数据库，可以发现以下表:
Db_privs:记录了User/Role在DB上的权限
Tbl_privs:记录了User/Role在table上的权限
Tbl_col_privs：记录了User/Role在table column上的权限
Roles：记录了所有创建的role
Role_map：记录了User与Role的对应关系

hive有两种类型的权限控制方式：

一。通过Hcatcalog API访问hive数据的方式，实际是通过访问metastore元数据的形式访问hive数据，这类有MapReduce，impala，pig，Spark SQL，hive Command line等方式，基于这种方式的权限控制称为：Storage Based Authorization in the Metastore Server。

二。通过hiveserver2的方式访问hive数据，基于这种方式的权限控制称之为：SQL Standards Based Authorization in HiveServer2

第一种方式的权限控制其实通过控制用户在HDFS上的权限来实现的，需要借助hdfs的命令setfacl，实现此种方式需要在hive中配置以下配置项：

  hive.security.metastore.authorization.manager

  org.apache.hadoop.hive.ql.security.authorization.DefaultHiveMetastoreAuthorizationProvider

  authorization manager class name to be used in the metastore for authorization.

  The user defined authorization class should implement interface

  org.apache.hadoop.hive.ql.security.authorization.HiveMetastoreAuthorizationProvider.

 

 

 

  hive.security.metastore.authenticator.manager

  org.apache.hadoop.hive.ql.security.HadoopDefaultMetastoreAuthenticator

  authenticator manager class name to be used in the metastore for authentication.

  The user defined authenticator should implement interface 

  org.apache.hadoop.hive.ql.security.HiveAuthenticationProvider.

 

 

  hive.metastore.pre.event.listeners

 

  pre-event listener classes to be loaded on the metastore side to run code

  whenever databases, tables, and partitions are created, altered, or dropped.

  Set to org.apache.hadoop.hive.ql.security.authorization.AuthorizationPreEventListener

  if metastore-side authorization is desired.

 

而后使用setfacl为用户在hive数仓路径分配权限，例如：

#授予test对warehouse文件夹rwx权限

hadoop fs -setfacl -m user:test:rwx /user/hive/warehouse

#授予hivegrp对warehouse文件夹rwx权限

hadoo fs -setfacl -m group:hivegrp:rwx /user/hive/warehouse

第二种方式也需要修改hive-site.xml配置文件：

  hive.security.authorization.enabled

  true

  hive.security.authorization.createtable.owner.grants

  ALL

  hive.security.authorization.task.factory

 org.apache.hadoop.hive.ql.parse.authorization.HiveAuthorizationTaskFactoryImpl

  hive.users.in.admin.role

  hdfs

然后进入hive CLI通过grant命令对表、视图、列、分区进行权限控制，需要注意的是create role及drop role等命令是需要admin role才有权限执行的，因此在配置中给hdfs用户以admin role，切换到hdfs用户下进入hive CLI执行grant命令即可。

通过Hue控制Hive访问权限可查看这里。

你是不是想集成hive的元数据库，可以实现多用户，一般在这种情况下 建议集成mysql作为hive的元数据库，如果你需要具体的步骤，可以留下邮箱，我之前写过一份关于这方面的材料可以打给你，另外你在集成mysql作为元数据仓库的时候应该注意 hive配置文件里面的 操作用户配置 在mysql应该存在，另外在mysql里注意要去的匿名用户，否则会报 权限不足异常