GBase 8a数据集成之Kerberos认证

HDFS中集成了Kerberos安全认证情况下，GBase 8a集群节点部署Kerberos客户端后，即可以执行加载或导出Kerberos认证下的HDFS文件。
1、GBase集群安装Kerberos客户端

Kerberos客户端的安装与配置主要分为以下几个步骤：

• 在GBase 8a的所有集群节点上，安装Kerberos客户端安装包，再将Kerberos客户端配置文件/etc/krb5.conf由KDC服务器复制到所有集群节点上的/etc目录下；
• 将Kerberos认证密钥文件keytab复制到所有节点指定目录，coor节点目录为/opt/gcluster/config，data节点目录为/opt/gnode/config。
• 将HTTPS的CA根证书文件追加到所有节点的根证书文件中，其中CA根证书文件中包含一个或多个证书。coor节点根证书文件为：/opt/gcluster/config/ca-bundle.crt；data节点根证书文件为：/opt/gnode/config/ca-bundle.crt

2、加载/导出Kerberos认证下HDFS文件

HDFS中集成了Kerberos安全认证情况下，GBase
8a集群节点部署Kerberos客户端后，即可以执行加载或导出Kerberos认证下的HDFS文件。加载或导出操作需完成如下配置：

• 设置gbase_hdfs_auth_mode=kerberos，指定使用Kerberos认证方式连接HDFS。
• 设置
  gbase_hdfs_protocol=http/https/rpc，指定使用HTTP/HTTPS/RPC协议连接HDFS。

• 设置gbase_hdfs_principal=“xxx”，指定kerberos认证主体。
• 设置gbase_hdfs_keytab=‘xxx’，指定keytab文件路径。

以上配置完成后，即可进行加载导出操作。
执行加载导出前的配置需要注意：

• HDFS的HTTP端口号默认为50070，HTTPS端口号默认为50470，RPC端口号默认为9000，三种协议的端口不同，在加载或导出SQL的URL中的端口需要与指定的协议一致。
• 使用HTTPS协议连接HDFS时，因为客户端需要使用CA根证书对HTTPS地址进行验证，所以在加载或导出SQL的URL中，指定的HDFS
  NameNode的主机名（或地址）必须与CA签名的主机名（或地址）完全相同。
• 当不指定gbase_hdfs_keytab参数值或指定的参数值为空字符串时，将使用gbase_hdfs_principal推定keytab文件名，此时应将keytab文件复制到config目录下，keytab文件的名称应与gbase_hdfs_principal参数值对应，请参考《GBase
  8a MPP Cluster配置手册》。例如：set
  gbase_hdfs_principal='gbase/namenode@HADOOP.COM’则config目录下keytab文件名应为：gbase_namenode.kt。
• 由于hadoop和kerberos对dns解析依赖程度很高，需要dns支持正向（forward）和反向（reverse）查找，在kerberos认证环境中在加载和导出语句的URL中推荐使用主机名，而不建议使用IP地址。

3、GBase 集群安装Kerberos认证的影响

• 集群扩容影响
  支持Kerberos认证的集群版本在执行扩容后，管理员需要执行Kerberos客户端安装与配置，手工完成Kerberos客户端环境部署。
• 集群升级影响
  从不支持kerberos认证的集群版本升级到支持Kerberos的集群版本，管理员需要执行Kerberos客户端安装与配置，手工完成Kerberos客户端环境部署。
• 集群节点替换工具
  集群节点替换工具在同步文件时，需要将/opt/gcluster/config或/opt/gnode/config下扩展名为.kt和.pem/.crt/.cer/.crl的文件同步到被替换节点。