在使用CDH集群时,有时需要使用服务的超级用户去执行一些操作,但是CDH集群中的服务的默认用户不可以直接使用,这里记录了使用方法。
未启用Kerberos
使用nologin用户执行命令
CDH安装的hadoop软件,hdfs,hive等用户是nologin用户,这种用户是不可以登陆或者通过root用户切换的,如果需要使用某个用户权限执行命令,则可以使用 sudo -u <user> [command]
例如:
sudo -u hdfs hdfs -ls /
建议不要修改hdfs,hive等这些用户的信息,以防对集群产生影响。
增加nologin用户
groupadd xwd
adduser \
--system \
--ingroup xwd \
--home /var/lib/xwd \
--gecos "XWD" \
--shell /sbin/nologin \
xwd
其中 --shell
,可以指定用户是否可以登陆。
/bin/false
禁止login选项,一切服务都不能用。
/sbin/nologin
只是不允许login系统。
/bin/bash
允许login。
已启用Kerberos
当服务启用Kerberos后,如果想要使用指定服务的超级用户访问服务(总会有这样的需要),需要提供用户凭据才可以访问服务。
各服务凭据存放在各机器的/var/run/cloudera-scm-agent/process
目录下。
注意:请不要手动使用Kerberos管理员为这些服务的超级用户生成凭据,那将会刷新用户凭据,导致集群服务出现问题。
例如查找hive的凭证票据:
find /var/run/cloudera-scm-agent/process | grep keytab | grep hive
这个只有在安装有hive实例的机器上可以找到,例如hive的metastore所在机器。
输出如下:
/run/cloudera-scm-agent/process/764-hive-HIVESERVER2/hive.keytab
/run/cloudera-scm-agent/process/763-hive-HIVEMETASTORE/hive.keytab
/run/cloudera-scm-agent/process/756-hive-HIVESERVER2/hive.keytab
/run/cloudera-scm-agent/process/755-hive-HIVEMETASTORE/hive.keytab
...
排在前面的两个是最新的,可用,其他不可用。
获取hive用户凭据(假设hive主体是hive/host1.example.com
):
kinit -kt /run/cloudera-scm-agent/process/764-hive-HIVESERVER2/hive.keytab hive/host1.example.com
然后就可以通过beeline
连接hive进行操作了。
其他服务同样操作。