Cloudera集群运维-关于kerberos加密算法的配置梳理

[0]关于本文

在为集群配置Kerberos时，很容易被加密算法相关的错误搞得头晕目眩，这里有必要梳理一下有关配置。直接先总结

• Cloudera Manager中的Kerberos 加密类型：影响客户端Cloudera  Manager生产Keytab时使用的加密算法
• /etc/krb5.conf中的permitted_enctypes,default_tkt_enctypes,default_tgs_enctypes：
  该配置文件用于定义Kerberos客户端的加密设置。这些设置控制了Kerberos客户端请求TGT和服务票据时使用的加密方式。主要的配置项包括：
  • permitted_enctypes：定义客户端允许使用的加密类型列表。可以配置哪些加密类型是被允许的，如RC4、AES等。
  • default_tkt_enctypes：指定TGT（票据授予票证）使用的默认加密类型。
  • default_tgs_enctypes：指定TGS（服务票证）使用的默认加密类型。
• Active Directory中的msDS-SupportedEncryptionTypes：这个属性存储了每个账户支持的加密类型，包括用户账户、计算机账户等。它决定了Kerberos身份验证时可以使用哪些加密算法。对于计算机账户，可以通过直接修改msDS-SupportedEncryptionTypes属性或使用GPO（组策略对象）网络安全: 配置Kerberos允许的加密类型来控制支持的加密类型。这个配置影响服务端单个实体
• Active Director