Kerberos原理和工作机制

1.Kerberos原理和工作机制
概述：Kerberos的工作围绕着票据展开，票据类似于人的驾驶证，驾驶证标识了人的信息，以及其可以驾驶的车辆等级。
1.1 客户机初始验证

1.2获取对服务的访问

2.kerberos中的几个概念
2.1 KDC：密钥分发中心，负责管理发放票据，记录授权。
2.2 域：kerberos管理领域的标识。
2.3 principal：当每添加一个用户或服务的时候都需要向kdc添加一条principal，principl的形式为 主名称／实例名@领域名。
2.4 主名称：主名称可以是用户名或服务名，还可以是单词host，表示是用于提供各种网络服务（如ftp，rcp，rlogin）的主体。
2.5 实例名：实例名简单理解为主机名。
2.6 领域：Kerberos的域。
3.Kerberos 安装和配置
3.1 kerberos安装
KDC服务器：yum install -y krb5-server krb5-lib krb5-workstation
客户机（hadoop集群中所有服务器）：yum install -y krb5-libs krb5-workstation krb5-appl-clients
（安装前应先配置yum）
3.2 kerberos配置
KDC服务器配置：
vi /etc/krb5.conf
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[libdefaults]
default_realm = HADOOP.COM
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 2000d
renew_lifetime = 2000d
max_life = 2000d
forwardable = true

[realms]
HADOOP.COM = {
kdc = KDC服务器主机名
admin_server = KDC服务器主机名
}

[domain_realm]
.example.com = HADOOP.COM
example.com = HADOOP.COM

vi /var/kerberos/krb5kdc/kdc.conf

[kdcdefaults]
kdc_ports = 88
kdc_tcp_ports = 88

[realms]
HADOOP.COM= {
acl_file = /var/kerberos/krb5kdc/kadm5.acl
dict_file = /usr/share/dict/words
admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
max_renewable_life=10d
supported_enctypes = aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
}
注：supported_enctypes为java的加密方式
vi /var/kerberos/krb5kdc/kadm5.acl
/admin@HADOOP.COM

客户机配置：
只需要将服务器的/etc/krb5.conf分发即可
3.3 添加principal
创建KDC的principal库
root用户下直接执行此语句：kdb5_util create -r HADOOP.COM -s
创建完成时会提示键入密码，输入即可创建完成
注：创建完成后会在/var/kerberos/krb5kdc生成如下文件

若想重新创建删除这四个文件即可

添加principal
Hadoop的kerberos认证需要添加三种principal：host，HTTP，用户（此处配置hadoop）
[root@hddn001 hadoop]# kadmin.local
Authenticating as principal hadoop/admin@HADOOP.COM with password.
kadmin.local: addprinc -randkey hadoop/cdh1@HADOOP.COM
kadmin.local: addprinc -randkey host/cdh1@HADOOP.COM
kadmin.local: addprinc -randkey HTTP/cdh1@HADOOP.COM
每台主机需添加用户，host，HTTP三种认证，如果此主机已经添加了HTTP、host认证，则仅添加用户认证即可。
其他主机自行添加，访问集群的所有机器。
使用listprincs查看一下结果

删除principle：
Kadmin.local：delprinc debugo/admin@CTBJ.COM

3.4创建Keytab文件
kadmin.local: ktadd -norandkey -k /root/hadoop.keytab hadoop/cdh1@HADOOP.COM
kadmin.local: ktadd -norandkey -k /root/hadoop.keytab hadoop/cdh2@@HADOOP.COM
kadmin.local: ktadd -norandkey -k /root/hadoop.keytab hadoop/cdh3@@HADOOP.COM
其他principal自行添加，执行完成之后会在指定文件/root/hadoop.keytab生成keytab信息。

使用klist查看keytab内容

3.5分发keytab文件
分发keytab文件到其他服务器，建议保存位置保持一致方便管理。
Scp hadoop.keytab 主机名:/home/hadoop/hadoop.keytab
注：将其赋给hadoop用户 chown hadoop:hadoop hadoop.keytab
3.6 kerberos服务启动
service krb5kdc start
chkconfig krb5kdc on
service kadmin start
chkconfig kadmin on
查看日志是否启动成功：/var/log/krb5kdc.log
/var/log/kadmin.log
3.7 客户机获取票据

   kinit -kt /opt/beh/data/keytab/hadoop.keytab hadoop/主机名@HADOOP.COM

获取完成后会在/tmp/目录下生成一个krb5xx的文件
可用查看票据情况klist/klist -e

至此，kerberos的搭建已经完成，可以开始hadoop集群的安装工作
4.hadoop和kerberos集成
a. zookeeper配置
Hadoop和kerberos集成需要zk同时启用kerberos认证
zookeeper 配置文件
修改zoo.cfg 文件，添加下面内容：

authProvider.1=org.apache.zookeeper.server.auth.SASLAuthenticationProvider
jaasLoginRenew=3600000

创建 /conf/jaas.conf 配置文件

Server {
  com.sun.security.auth.module.Krb5LoginModule required
  useKeyTab=true
  keyTab="path to keytab "
  storeKey=true
  useTicketCache=false
  principal="自行修改";
};

创建 /conf/java.env配置文件

export JVMFLAGS="-Djava.security.auth.login.config=“$ZOOKEEPER_HOME/conf/jaas.conf"

b.hadoop配置文件
1.core-site.xml

<property>  
    <name>fs.defaultFS</name>  
    <value>hdfs://cluster1</value>  
</property>  
<property>  
    <name>hadoop.tmp.dir</name>  
    <value>/opt/beh/data/tmp</value>  
</property>  
<property>  
    <name>ha.zookeeper.quorum</name>  
    <value>cdh1:2181,cdh2:2181,cdh3:2181</value>  
</property> 
<!--tianjia-->
<property>
    <name>hadoop.security.authentication</name>
    <value>kerberos</value>
</property>
<property>
    <name>hadoop.security.authorization</name>
    <value>true</value>
</property>

2.hdfs-site.xml

<property>  
    <name>dfs.replication</name>  
    <value>2</value>  
</property>  
<property>  
    <name>dfs.permissions</name>  
    <value>false</value>  
</property>  
<property>  
    <name>dfs.permissions.enabled