CDH集群如何使用服务用户

在使用CDH集群时，有时需要使用服务的超级用户去执行一些操作，但是CDH集群中的服务的默认用户不可以直接使用，这里记录了使用方法。

未启用Kerberos

使用nologin用户执行命令

CDH安装的hadoop软件，hdfs，hive等用户是nologin用户，这种用户是不可以登陆或者通过root用户切换的，如果需要使用某个用户权限执行命令，则可以使用 sudo -u <user> [command]

例如：

sudo -u hdfs hdfs -ls /

建议不要修改hdfs，hive等这些用户的信息，以防对集群产生影响。

增加nologin用户

groupadd xwd
adduser \
	--system \
	--ingroup xwd \
	--home /var/lib/xwd \
	--gecos "XWD" \
	--shell /sbin/nologin \
	xwd

其中 --shell，可以指定用户是否可以登陆。

/bin/false禁止login选项，一切服务都不能用。

/sbin/nologin只是不允许login系统。

/bin/bash允许login。

已启用Kerberos

当服务启用Kerberos后，如果想要使用指定服务的超级用户访问服务(总会有这样的需要)，需要提供用户凭据才可以访问服务。

各服务凭据存放在各机器的/var/run/cloudera-scm-agent/process目录下。

注意：请不要手动使用Kerberos管理员为这些服务的超级用户生成凭据，那将会刷新用户凭据，导致集群服务出现问题。

例如查找hive的凭证票据：

find /var/run/cloudera-scm-agent/process | grep keytab | grep hive

这个只有在安装有hive实例的机器上可以找到，例如hive的metastore所在机器。

输出如下：

/run/cloudera-scm-agent/process/764-hive-HIVESERVER2/hive.keytab
/run/cloudera-scm-agent/process/763-hive-HIVEMETASTORE/hive.keytab
/run/cloudera-scm-agent/process/756-hive-HIVESERVER2/hive.keytab
/run/cloudera-scm-agent/process/755-hive-HIVEMETASTORE/hive.keytab
...

排在前面的两个是最新的，可用，其他不可用。

获取hive用户凭据（假设hive主体是hive/host1.example.com）：

kinit -kt /run/cloudera-scm-agent/process/764-hive-HIVESERVER2/hive.keytab hive/host1.example.com

然后就可以通过beeline连接hive进行操作了。

其他服务同样操作。