[CDH基础]-- 添加Kerberos认证(5.3.X以上)

最新推荐文章于 2023-04-04 17:24:42 发布

往事随风ing

最新推荐文章于 2023-04-04 17:24:42 发布

阅读量2.4k

点赞数 1

分类专栏： CDH & HDP 文章标签： CDH

原文链接：https://docs.cloudera.com/documentation/enterprise/latest/topics/cm_sg_s4_kerb_wizard.html

版权

CDH & HDP 专栏收录该内容

21 篇文章 3 订阅

订阅专栏

步骤 4：使用向导启用 Kerberos

所需角色：

要启动 Kerberos 向导：

1. 导航到 ClouderaManager Admin Console 并单击要启用 Kerberos 身份验证的群集右侧的。

2. 选择启用 Kerberos。

以下说明将指导您完成向导设置以保护群集。

1. 开始使用向导之前

2. KDC 信息

3. KRB5 配置

4. 导入 KDC AccountManager 凭据

5. 配置 HDFS DataNode 端口

6. 启用 Kerberos

7. 恭喜您

开始使用向导之前

"欢迎"页面列出在使用向导开始保护群集之前应该完成的以下操作项目：

· 设置一个正常工作的 KDC。Cloudera Manager 支持使用 MIT KDC 和 Active Directory 进行身份验证。

· 配置 KDC 以允许带非零票证生存期的可再生票证。

默认情况下，Active Directory 允许带非零票证生存期的可再生票证。您可以通过在 Active Directory 中选中域安全性设置 > 帐户策略 > Kerberos 策略进行验证。

对于 MIT KDC，确保在 kdc.conf.中包含以下行。

max_life = 1d

max_renewable_life = 7d

· 如果您正在使用 Active Directory，确保已为 Domain Controller 启用 LDAP over SSL (LDAPS)。

· 根据正在使用的操作系统，在群集上安装以下软件包。

OS	要安装的程序包
RHEL/CentOS 5、RHEL/CentOS 6	o openldap-clients 在 Cloudera Manager Server 主机上 o krb5-workstation、在所有主机上的 krb5-libs
SLES	o openldap2-client 在 Cloudera Manager Server 主机上 o krb5-client 在所有主机上
Ubuntu 或 Debian	o ldap-utils 在 Cloudera Manager Server 主机上 o krb5-user 在所有主机上
Windows	o krb5-workstation、在所有主机上的 krb5-libs

· 为拥有在 KDC 中创建账户权限的 Cloudera Manager 创建帐户。这应作为步骤 3：为 ClouderaManager Server 获取或创建 Kerberos 主体的一部分完成。

重要提示：

如果在非安全群集中已启用 YARN Resource Manager HA，应在启用 Kerberos 之前清除 Zookeeper 中的 StateStore znode。要执行此操作：

1. 转到 ClouderaManager Admin Console 主页，单击 YARN 服务的右侧并选择停止。

2. 看到完成状态时，则服务已停止。

3. 转到 YARN 服务并选择操作 > 格式化 State Store。

4. 命令完成后，单击关闭。

能够选中此列表上的所有项目后，单击继续。

KDC 信息

在此页上，选择您使用的 KDC 类型即 MIT KCD 或 Active Directory，适当填写以下字段以启用 Cloudera Manager 为群集上运行的 CDH 服务生成主体/账户。

注释：

· 如果您使用的是 AD 并且在 Load Balancer 背后具有多个 Domain Controller，在 KDC 服务器主机字段输入 Load Balancer 的名称，以及在 Active Directory Domain Controller 覆盖中输入任何一个 Domain Controller。Hadoop 守护程序将使用 Load Balancer 进行身份验证，但 Cloudera Manager 将使用覆盖创建帐户。

· 如果您有多个 Domain Controller（在 AD 情况下）或 MIT KDC 服务器，仅在 KDC 服务器主机字段输入其中任何一个的名称。Cloudera Manager 仅将该服务器用于创建帐户。如果您选择使用 Cloudera Manager 来管理 krb5.conf，可以使用下面所述的“安全阀”指定其余 Domain Controller。