kerberos安全认证

1.kerberos安全认证原理：

客户端跟服务端可以对对方进行身份认证，防止窃听，防止replay攻击。保护数据完成性，是一种应用对称密钥体制进行密钥管理的系统。

2.基本概念

Principal（安全个体）：被认证的个体，有一个名字和口令
KDC（key distribution center）：一个网络服务服务，提供ticket和临时会话密钥
Ticket：一个记录，客户用它来向服务器证明自己的身份，客户标识，会话密钥和时间戳
TGT：由kerberos服务生成，提供给应用程序与kerberos服务器简历认证安装全会话，该票据默认有效期为24 小时，24 小时后票据自动过期。

3.kerberos协议

kerberos协议分为两个部分
1.client想KDC发送自己的身份信息，KDC从ticket granting Servive 的得到tgt，并用协议开始前client与kdc的密钥将tgt加密回复给client
此时直有真正的client才能例用它与kdc之间的密钥将加密后的tgt解密，从而获得tgt
2.client例用之前获得的tgt向kdc请求其他service的ticket从而通过其他service身份鉴别（调用hadoop 的接口访问文件系统此时底层rpc会自动携带tgt去kerberos认证）

4.客户端二次开发流程

若待连接的hdfs服务端开启了kerberos认证，则在使用改hdfs提供的api之前需要按照如下的方法进行