Hadoop安全基于Kerberos的SASL详解续

工作上由于需要给hive的metastore做逻辑元数据以及支持水平扩展，在waggle-dance的基础上增强了kerberos的功能，上线之后发现运行一天之后，请求失败，报GssException no tgt.

waggle-dance在启动的时候，我调用过了

UserGroupInformation.loginFromKeyTab() 方法， 登录之后，会生成一个全局的loginUser, 后面所有调用UserGroupInformation的地方都会获取到登录过的用户。

登录成功之后，loginUser的subject的privCredcredentials里会有KerberosTicket, 也会有一个KeyTab.

最开始我的疑问是为什么client和跟waggle-dance建立正常的sasl连接，但是waggle-dance却无法跟metastore建立连接呢？

经过服务端debug（可以百度一下，在服务端启动的时候增加一些JVM参数）, 确定了client确实是可以跟waggle-dance建立正常的连接的，报错的日志已经是给waggle-dance跟metastore建立sasl连接失败了。而且发现出现异常的时候，loginUser的subject里的privCredients里的KerberosTicket都不见了。

又增加了一个疑问，这些ticket是什么时候被删除的呢？？

带着这些问题开始找看案，首先是研究了一下类似具有类似代理功能的服务，看看他们是如何做的，于是研究了HiveServer2， RBF。 猜测应该是有一个后台线程定期的更新这些Ticket.

又或者是因为是有了KeyTab了，是不是不需要定期更新Tgt了，底层sasl会自动的获取？