请描述 Ambari 中访问控制与权限管理的实现架构，并说明为不同用户分配角色和权限的具体步骤。

回答思路

1. 【回答框架 1】Ambari 的权限管理基于 Apache Ranger 或原生权限控制，核心分为用户、角色和权限三层。用户可被赋予不同角色，角色决定了其可执行的操作范围，例如只读、管理、操作服务等。权限模型通过用户组和角色映射实现灵活授权。
2. 【回答框架 2】在 Ambari 中，默认情况下只有管理员用户拥有全部权限，其他用户需要管理员在 Users 界面创建并分配角色。角色包括 Cluster User、Service Administrator 等，每个角色对应一组可操作的 REST API 权限。权限校验发生在 API 层，通过拦截请求判断用户是否具有对应资源的权限。
3. 【回答框架 3】配置步骤为：以管理员身份登录 Ambari，进入 Admin 下的 Users 或 Groups 管理界面，创建用户或用户组，然后为其分配角色。对于更细粒度的访问控制，可以集成 Apache Ranger，由 Ranger 定义策略来控制 Ambari API 的访问，支持基于用户、组和 IP 的白名单规则。
4. 【回答框架 4】实际配置中需区分全局权限和资源级权限，如控制某用户只能查看特定集群或只能执行特定服务操作。生产系统建议开启外部认证（如 LDAP）并将用户组映射到 Ambari 角色，避免在 Ambari 内手工管理大量账号。
5. 【关键点 1】Ambari 权限基于用户、角色、权限三层模型，角色决定 API 访问范围。
6. 【关键点 2】默认只有管理员可管理用户和权限，普通用户需被分配角色。
7. 【关键点 3】创建用户并分配角色的入口在 Admin 管理的 Users/Groups 界面。
8. 【关键点 4】生产环境可集成 Apache Ranger 或 LDAP 实现集中授权和审计。
9. 【关键点 5】权限配置需同时考虑全局权限与资源级权限的限制。
10. 【易错点 1】误以为所有用户都拥有完全一致的访问权限，实际必须由管理员显式分配。
11. 【易错点 2】只配置用户不配置角色会导致用户无法访问任何服务，因为默认无权限。
12. 【易错点 3】忽略外部认证与本地用户的映射关系，可能导致登录成功但权限绑定失败。