python连接hbase 带kerberos_HBase Kerberos连接更新策略

凤凰求蛊

Kerberos TGT具有生存期(例如12h)和可更新生存期(例如7天)。只要票证仍然有效且仍可更新，您就可以请求“免费”续签-无需密码-并重置生命周期计数器(例如再次走12小时)。Hadoop身份验证库产生一个特定的Java线程来自动更新当前的TGT。使用kinit -R命令行而不是JAAS库调用是很丑陋的，但是它可以工作-参见HADOOP-6656因此，如果让Slider在启动时创建可再生票证，并且可以贿赂SysAdmin以将默认(例如客户端配置)和最大(例如KDC conf)可更新寿命延长至30天，则使用最初的TGT，您的应用程序可以连续运行30天。很好的改进。~~~~~~~~~~~如果您真的渴望永恒……抱歉，但是您实际上将需要进行一些编程。这意味着负责或自动重新创建 TGT 的专用线程/进程。Java方式：启动时，在连接到HBase / HDFS /其他之前，显式创建一个UGI，loginUserFromKeytab()然后checkTGTAndReloginFromKeytab()不时运行Shell方式：启动一个外壳程序，该外壳程序(a)使用以下命令创建一个TGT kinit(b)产生一个子进程，该子进程定期kinit重新触发(c)启动您的Java应用程序，然后在/如果应用程序终止时终止该子进程注意：如果在重新创建TGT时某个其他线程碰巧打开或重新打开了连接，则该连接可能会失败，因为在访问缓存的确切时间缓存是空的(“竞争条件”)。下次尝试将成功，但是会在您的日志中出现一些恶意警告。~~~~~~~~~~~最终建议：您可以通过设置环境变量来为应用程序使用专用票证缓存(即，可以在具有相同Linux帐户但使用不同Kerberos主体的同一节点上运行多个应用程序)KRB5CCNAME，只要它是“ FILE：”缓存即可。