Apache Zeppelin |笔记本访问控制问题|非所有者可以将自己添加为所有者

时间:2018-04-23 06:06:56

标签: bigdata shiro apache-zeppelin

Apache Zeppelin |笔记本访问控制不起作用

测试步骤以查看问题: 1.以user1身份登录zeppelin并创建一个名为 MyNote1 的笔记本

2.更新笔记本访问控制,如下所示 所有者:user1 读者:user1,user2 作家:user1

3.注销并以user2

登录

问题:

按照上述设置,user2应该只能对 MyNote1 进行ReadOnly访问,但是user2可以点击小图标 称为“注释权限”,并将自己(user2)添加为笔记本的所有者。这允许他获得笔记本的ReadWrite权限。

我认为这是一个问题,因为根据笔记本许可设置,user2无权更改任何内容。

设置信息: 启用了Shiro身份验证的Zeppelin(无LDAP或Active Directory)

 ++++++++++++++++++++++++
    Shiro.ini Settings:
    ++++++++++++++++++++++++
    [users]
    admin = password1, admin
user1 = password2, role1
user2 = password3, role2

[roles]
admin = *
role1 = NoteCreators
role2 = NoteReaders

[urls]
/api/version = anon
/** = authc


 ++++++++++++++++++++++++
zeppelin-site.xml Settings:
    ++++++++++++++++++++++++

Anonymous allowed已设为false

0 个答案:

没有答案