kerberos在Cloudera manager +CDH中的运用实践

hadoop在用户权限上做的只是像linux用户级别的安全认证，即对文件的访问权限。对于一些数据安全比较重视的公司是不够的，如果对数据安全有要求，而且是认证方式的，可以使用kerberos，但是并不是很好用，当初阿里巴巴在安全上使用kerberos，后来嫌弃太麻烦就抛弃了，自己开发了一套安全认证系统叫宙斯盾已经开源，有兴趣的可以看看。

今天为大家写的实践已经运用到我们单位的大数据平台。不废话去讲kerberos的认证方式和原理，直接进入主题。

kerberos需要跟用户管理系统NIS配合使用。

1、所需安装包：

NIS服务器：

rpcbind-0.2.0-11.el6.x86_64

ypserv-2.19-26.el6_4.2.x86_64

 

NIS客户端：

yp-tools-2.9-12.el6.x86_64

ypbind-1.20.4-30.el6.x86_64

rpcbind-0.2.0-11.el6.x86_64

 

KDC服务器：

krb5-server-1.10.3-57.el6.x86_64

krb5-workstation-1.10.3-57.el6.x86_64

krb5-libs-1.10.3-57.el6.x86_64

krb5-devel-1.10.3-57.el6.x86_64

 

KDC客户端：

krb5-libs-1.10.3-57.el6.x86_64

krb5-devel-1.10.3-57.el6.x86_64

krb5-workstation-1.10.3-57.el6.x86_64

 

2、角色分类：

3、配置NIS服务器（1.1）

配置NIS区域名称、固定服务端口

vi /etc/sysconfig/network

NETWORKING=yes

HOSTNAME=bigdata022

NISDOMAIN=BIGDATA

YPSERV_ARGS="-p 1011"

 

设置允许访问NIS服务器的主机

vi /var/yp/securenets

255.255.255.0 192.168.1.0

 

开启ypserv、rpcbind（portmap）服务，并设置为开机启动

service rpcbind restart;chkconfig rpcbind on

service ypserv restart ; chkconfig ypserv on

创建NIS信息库

//自动识别当前主机名，若无需添加其他NIS服务器，直接按Ctrl+D确认提交就可以了.

#/usr/lib64/yp/ypinit -m

到此，NIS服务器配置完毕

4、配置NIS客户端（1.1、1.2、1.3、1.4）

指定NIS区域、服务器地址信息：

vi /etc/yp.conf

domain BIGDATA server 192.168.1.1

 

启动ypbind、portmap服务并设置成开机自启

service rpcbind restart ; chkconfig rpcbind on
service ypbind restart ; chkconfig bind on

验证：

ypcat  -d BIGDATA -h bigdata022 passwd

5、配置KDC服务器

kerberos配置文件一：

vi /etc/krb5.conf

[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmin.log

[libdefaults]
default_realm = BIGDATA              //将文件中的默认领域改为自己的领域
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 86400             //票据的默认生命周期
renew_lifetime =604800
forwardable = true
default_tgs_enctypes = rc4-hmac
default_tkt_enctypes = rc4-hmac
permitted_enctypes = rc4-hmac
udp_preference_limit = 1
kdc_timeout = 3000

[realms]
BIGDATA= {
kdc = bigdata022               //指定KDC服务（krb5kdc）的地址
admin_server = bigdata022       //指定KADMIN管理服务（kadmin）的地址
}

[kdc]

profile=/var/kerberos/krb5kdc/kdc.conf      //指定KDC配置文件的位置

复制粘贴的时候把//注释去掉。

kerberos配置文件二：

vi /var/kerberos/krb5kdc/kdc.conf

[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 BIGDATA = {
  master_key_type = aes256-cts
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal

 }

kerberos配置文件三：

vi /var/kerberos/krb5kdc/kadm5.acl

*/admin@BIGDATA *

配置完成：

将/etc/krb5.conf传递到客户端机器。

创建KDC票据数据库。

kdb5_utilcreate -r BIGDATA -s

注意：密码一定要牢记。

注：该命令会在 /var/kerberos/krb5kdc/ 目录下创建 principal 数据库。如果遇到数据库已经存在的提示，可以把 /var/kerberos/krb5kdc/ 目录下的 principal 的相关文件都删除掉。默认的数据库名字都是 principal。可以使用 -d 指定数据库名字。

开启kdc服务并设置开机自启：

servicekrb5kdc restart

servicekadmin restart

chkconfig krb5kdcon

chkconfig kadminon

6、配置管理员用户和密码：

kadmin.local

验证：

7、开启cloudera manager的kerberos认证：

点击继续：

点击继续，输入管理员用户和密码：

点击继续，点击继续，重启集群：

集群启用kerberos（比较慢）并重启：

启动完毕后，会发现有错误：

Kerberos Ticket Renewer 运行状况 不良

查看错误：

主要是说，没有设置最大轮转时间。

解决办法：

a、在kerberos主机的/var/kerberos/krb5kdc/kdc.conf配置文件中加入：max_renewable_life=10d

b、找到listprincs中的krbtgt的主题：

kadmin.local:modprinc -maxrenewlife 10days krbtgt/BIGDATA@BIGDATA

重启服务即可。

至此，集群已经开启kerberos认证。

补充：kerberos管理集群的男队较大，若你不想要kerberos管理集群，千万不要随便卸载，cloudera manager并没有关闭kerberos的按钮，需要手动配置安装：

关闭集群kereros认证：

当kerberos服务器故障时，不能提供服务的零时解决办法

当kerberos不提供服务的时候，需要在cloudera manager管理页面对HDFS和zookeeper两个服务的配置进行修改，然后重启集群即可：

对比：

未开启kerberos安全认证时的DataNode收发端口和UI端口以及NameNode的RPC端口如下图：

安全服务及授权：

开启kerberos安全认证后的端口及安全授权：

Zookeeper的配置对比：

未开启kerberos

开启kerberos

综上所述，当kerberos出现故障时，我们可以改回这些配置，将hadoop集群零时调整到非安全状态，从而继续数据分析任务。