hbase kerberos

原文链接：HBase ThriftServer Kerberos认证 - 程序员大本营

1.前置

用户可以通过ThriftServer来访问HBase服务，它的特点如下：

• ThriftServer代理用户访问HBase服务返回操作结果，用户客户端不需要直接跟HBase进行通信
• 用户可以使用java/python/php/c++等语言的Thrift客户端代码访问HBase服务(HBase本身客户端只支持java语言)

2. Kerberos下的ThriftServer使用

如果HBase集群开启了Kerberos认证(E-MapReduce可一键创建安全集群，非常方便)，那么用户怎么通过ThriftServer访问HBase服务呢？

2.1 ThriftServer配置Kerberos

ThriftServer其实是HBase服务的客户端，既然HBase开启了Kerberos认证，那么ThrifServer也必须配置Kerberos的信息才能正常访问HBase集群服务。

在ThriftServer的hbase-site.xml文件中添加新配置:

1. <property>

2. <name>hbase.security.authentication</name>

3. <value>kerberos</value>

4. </property>

5. <property>

6. <name>hbase.thrift.kerberos.principal</name>

7. <value>hbase/_HOST@EMR.123456.COM</value>

8. </property>

9. <property>

10. <name>hbase.thrift.keytab.file</name>

11. <value>/etc/ecm/hbase-conf/hbase-thrift.keytab</value>

12. </property>

上述配置中实际值以用户为准(principle和keytab需对应)。

2.2 ThriftClient访问ThriftServer

用户使用python/java/php等Thrift客户端访问ThrifServer有两种方式：

2.2.1 ThriftServer不对Client进行身份认证

任何用户都可以通过ThriftServer访问HBase服务，而且都是以ThriftServer本身配置的hbase.thrift.kerberos.principal中的用户名去访问HBase服务，即对HBase服务来说只有一个固定的用户来访问。

如下图所示：

这种方式使得HBase集群的Kerberos认证无效，不适合使用开启了Kerberos的场景。

2.2.2 ThriftServer对Client进行身份认证

ThriftServer可以开启对Client进行身份认证，而且以实际的用户身份访问HBase服务。

需要做如下配置：

• ThriftServer的hbase-site.xml中增加新的配置：

1. <property>

2. <name>hbase.thrift.security.qop</name>

3. <value>auth</value>

4. </property>

其中hbase.thrift.security.qop可以是auth/auth-init/auth-conf中的一个

• HBase集群的所有节点core-site.xml中增加新的配置：

1. <property>

2. <name>hadoop.proxyuser.$user.hosts</name>

3. <value>*</value>

4. </property>

5. <property>

6. <name>hadoop.proxyuser.$user.groups</name>

7. <value>*</value>

8. </property>

备注:
a) $user为ThriftServer本身配置的hbase.thrift.kerberos.principal中的用户
b) 重启HBase集群(无需重启HDFS)

3. 代码示例

上述2.2.2节的场景代码

3.1 python

参考github上一个项目: 
GitHub - joshelser/hbase-thrift1-python-sasl: Python client code for Apache HBase 1.x using Kerberos authentication over SASL

使用方式在README.md中:

1. -> 在客户端运行的账号下kinit初始化好Kerberos的TGT

2. -> ./setup.sh

3. -> python get_row.py

备注: get_row.py需要根据实际集群的配置修改相关参数

3.2 java

HBase官方的example jar有示例代码:
hbase/hbase-examples at master · apache/hbase · GitHub

hbase/DemoClient.java at master · apache/hbase · GitHub

1. -> 在客户端运行的账号下kinit初始化好Kerberos的TGT

2. ->

3. export HBASE_EXAMPLE_CLASSPATH=`hbase classpath`;

5. java -cp /usr/lib/hbase-current/lib/hbase-examples-1.1.1.jar:$HBASE_EXAMPLE_CLASSPATH org.apache.hadoop.hbase.thrift.DemoClient $thrift_server_host $thrift_serve_port true

有兴趣或者有需求的用户可以关注一下E-MapReduce的安全相关的功能，有问题及时联系和反馈。