一篇文章搞懂 HDFS 的 Kerberos 认证

最新推荐文章于 2024-07-11 00:29:13 发布

Shockang

最新推荐文章于 2024-07-11 00:29:13 发布

阅读量2.2w

点赞数 13

分类专栏：大数据技术体系文章标签：大数据 hdfs

本文链接：https://blog.csdn.net/Shockang/article/details/117766885

版权

282 篇文章 568 订阅

订阅专栏

前言

本文隶属于专栏《1000个问题搞定大数据技术体系》，该专栏为笔者原创，引用请注明来源，不足和错误之处请在评论区帮忙指出，谢谢！

本专栏目录结构和参考文献请见1000个问题搞定大数据技术体系

Kerberos 是一种网络认证协议，它使用加密来提供高度安全的认证机制。

这种认证机制由于具备以下功能而大受欢迎。

相互认证：在进行会话之前，客户端和服务器可以进行相互认证。
单点登录：一旦登录，令牌(token)的有效时间就确定了。令牌有效性的持续时间决定了会话的最长时间。
协议消息加密：认证过程中的所有协议消息都会加密，所以它不可能被对手进行中间人式攻击(man-in-the-middle attack)或是重放攻击(replay attack)。

Kerberos 的核心是 Kerberos 密钥分发中心(Key Distribution Center， KDC)。

KDC 有以下两个重要的组件:

认证服务器负责验证客户端的有效性。

票据授予服务器则负责发放令牌或票据(有时间限制且加密的消息)，受让人可以使用这些令牌或票据对其自身进行认证。

下图显示了当客户端使用 Kerberos 进行认证时的协议工作流。

Kerberos

首先，客户端向 Kerberos 中的 AS 请求一个票据授予票据(Ticket Granting Ticket， TGT)
AS 在自己的数据库中检査客户端，然后送回两条消息。第一条消息是会话密钥，第二条则是 TGT。
这两条消息都使用客户端的密码作为密钥进行了加密。只有当自己的密码和 AS 中保存的密码一致时，客户端才可以使用这个会话密钥和 TGT。
客户端想要访问服务，首先得提交自己的身份信息到 TGS。
为了证明其真实性，客户端需要通过它从 AS 那取得的会话密钥向 TGS 发送加密过的认证信息。
TGS 收到请求后，将它解密，然后检査客户端和请求的有效性。成功验证后，TGS 授予一张带有时效的票据，同时也会返回一个服务器会话密钥给客户端。
这个服务器会话密钥会有两个副本一一一个用客户端的机密信息加密，另一个则用服务器机密信息加密。
现在，客户端手中握有票据、服务器会话密钥，以及它所需要访问的服务的认证信息。服务所在的服务器验证会话密钥，然后根据验证结果授予访问权限。
如果需要相互认证，则服务器也会送回认证信息，这样客户端就可以对其有效性进行检查。这是可行的，因为会话密钥有两个副本，分别用服务器和客户端的机密信息进行了加密。