启用LDAPS的AWS EMR Presto无法在SQL Workbench/J执行查询

我之前在处理AWS EMR Presto的LDAPS连接问题时，碰到过和你一模一样的情况——能成功建立连接，但执行任何查询（比如SHOW TABLES）都会报错。结合你的描述，咱们从几个方向来排查和解决：

1. 检查SQL Workbench/J的SSL证书信任配置 #

虽然你能连上，但很可能是客户端的SSL证书校验没适配Presto的LDAPS设置：

• 如果你的Presto LDAPS用的是自签证书或者AWS内部证书，SQL Workbench/J默认不会信任它。你需要把证书导入到SQL Workbench/J使用的JVM信任存储中：
  找到SQL Workbench/J安装目录下的jre/lib/security/cacerts文件，用keytool命令导入证书：

  keytool -importcert -file <你的LDAPS证书路径> -keystore cacerts -alias presto-ldap-cert
  

  输入默认密码changeit完成导入。
• 确认SQL Workbench/J的连接属性：勾选Use SSL选项，根据你的Presto配置设置SSL Mode为REQUIRED或VERIFY_CA。

2. 验证Presto服务器端的授权配置 #

既然LDAPS认证功能正常，问题大概率出在授权权限上：

• 检查config.properties中的访问控制配置：如果启用了LDAP权限控制（access-control.type=ldap），确认对应的LDAP权限规则是否允许当前用户执行SHOW TABLES这类元数据查询操作。
• 查看catalog/hive.properties的权限设置：如果配置了hive.security=sql-standard，要确认当前LDAP用户是否被赋予了对应数据库的SELECT或SHOW权限。

3. 查看Presto Coordinator的日志定位具体错误 #

这是最直接的排查方式，能找到报错的根源：

• 登录到EMR的Coordinator节点，进入Presto日志目录（默认是/var/log/presto/）。
• 查看server.log或query.log，里面会记录执行查询时的详细错误栈：
  • 如果日志显示Permission denied: user [xxx] does not have SELECT privilege on [xxx]，就是权限不足的问题；
  • 如果是SSL相关错误（比如unable to find valid certification path to requested target），就是客户端证书信任的问题。

4. 用Presto CLI测试排除客户端问题 #

用Presto自带的CLI工具测试，确认问题是否出在SQL Workbench/J上：

• 在EMR节点上执行CLI命令：

  presto --server <coordinator-host>:<ldaps-port> --catalog hive --user <你的LDAP用户名> --password --ssl
  

• 输入LDAP密码后，尝试执行SHOW TABLES;：
  • 如果能成功执行，说明问题在SQL Workbench/J的配置上；
  • 如果同样报错，说明问题出在Presto服务器端的配置或权限设置上。

内容的提问来源于stack exchange，提问作者Aditya Tiwari