Kafka的安装配置请见上文（Kafka系列(1)--Kafka单机安装配置），本文主要介绍 Kerberos 的安装及使用

1、规划

操作系统：CentOS Linux release 7.4.1708 (Core)

操作机器：192.16.30.123

环境规划

IP	主机名	版本	用途描述
192.16.30.123	kdc.abc.com	Kerberos 1.15.1	Kerberos服务器、Kerberos客户端
192.16.30.124	kafka.abc.com	kafka_2.12-2.5.1.tgz	Kafka服务器（用自带zookeeper）

修改 /etc/hosts 文件

192.16.30.123 kdc.abc.com kdc
192.16.30.124 kafka.abc.com kafka

Kerberos Client 按需进行安装，安装后可以使用 kadmin 命令（需要输入密码）；

对应在 Kerberos Server 上使用 kadmin.local 命令（不需要输入密码，直接操作db）。

本次都安装在同一台服务器上。

2、Kerberos Server 安装

在 192.16.30.123上执行如下命令：

yum install krb5-server

2.1、配置 krb5.conf

根据需要修改 /etc/krb5.conf：

# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
 default_realm = ABC.COM
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 ABC.COM = {
  kdc = kdc.abc.com
  admin_server = kdc.abc.com
 }

[domain_realm]
 .abc.com = ABC.COM
 abc.com = ABC.COM

2.2、配置 kdc.conf

根据需要修改 /var/kerberos/krb5kdc/kdc.conf：

[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 ABC.COM = {
  #master_key_type = aes256-cts
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }

2.3、配置 kdc.conf

根据需要修改vi /var/kerberos/krb5kdc/kadm5.acl (修改该文件需要重启systemctl restart kadmin才能生效，后文会重启)：

*/admin@ABC.COM *

Kerberos kadmind 使用该文件来管理对 Kerberos 数据库的访问权限。对于影响 principa 的操作，ACL 文件还控制哪些 principa 可以对哪些其他 principa 进行操作。文件格式如下：

principal  permissions  [target_principal  [restrictions] ]

ACL 文件中的行顺序很重要，会使用第一个匹配的行来设置用户权限。

2.4、创建 Kerberos 数据库

执行如下命令（会提示输入密码，密码一定记住）：

kdb5_util create -s -r ABC.COM

-s：表示生成 stash file，并在其中存储 master server key（krb5kdc）
-r：来指定一个krb5.conf 文件中存在的realm name

Kerberos 数据库的目录为：/var/kerberos/krb5kdc，如果需要重建数据库，可删除该目录。

在此过程中，我们会输入database的管理密码。这里设置的密码一定要记住，如果忘记了，就无法管理Kerberos server.

当Kerberos database创建好后，可以看到目录 /var/kerberos/krb5kdc 下生成了几个文件：

[root@kdc ~]# ll /var/kerberos/krb5kdc
total 32
-rw------- 1 root root    18 Jul  6 16:10 kadm5.acl
-rw------- 1 root root   447 Jul  6 16:10 kdc.conf
-rw------- 1 root root 16384 Jul  6 16:16 principal
-rw------- 1 root root  8192 Jul  6 16:10 principal.kadm5
-rw------- 1 root root     0 Jul  6 16:10 principal.kadm5.lock
-rw------- 1 root root     0 Jul  7 11:25 principal.ok

2.5、启停 Kerberos 服务

设置开机自启动

systemctl enable krb5kdc  #kdc服务
systemctl enable kadmin   #kadmin服务

启动：

systemctl start krb5kdc
systemctl start kadmin

停止：

systemctl stop krb5kdc
systemctl stop kadmin

2.6、kadmin.local

Kerberos 服务机器上可以使用 kadmin.local 来执行各种管理的操作。进入 kadmin.local：

kadmin.local 
#Authenticating as principal root/admin@ABC.COM with password.
#kadmin.local:

常用操作：

操作	描述	例子
add_principal, addprinc, ank	增加 principal	add_principal -rnadkey test@ABC.COM
delete_principal, delprinc	删除 principal	delete_principal test@ABC.COM
modify_principal, modprinc	修改 principal	modify_principal test@ABC.COM
rename_principal, renprinc	重命名 principal	rename_principal test@ABC.COM test2@ABC.COM
get_principal, getprinc	获取 principal	get_principal test@ABC.COM
list_principals, listprincs, get_principals, getprincs	显示所有 principal	listprincs
ktadd, xst	导出条目到 keytab	xst -k /root/test.keytab test@ABC.COM

这里先创建一个管理员 principal，以便 Kerberos Client 登录 kadmin，否则无法登陆：

[root@kdc ~]# kadmin.local
Authenticating as principal root/admin@ABC.COM with password.
kadmin.local: add_principal root/admin@ABC.COM
WARNING: no policy specified for root/admin@ABC.COM; defaulting to no policy
Enter password for principal "root/admin@ABC.COM":
Re-enter password for principal "root/admin@ABC.COM": 
Principal "root/admin@ABC.COM" created.
kadmin.local:

，创建成功。

3、Kerberos Client 安装

同样在192.16.30.123上执行，执行命令：

yum install krb5-workstation

3.1、配置 krb5.conf

从 192.16.30.123 上拷贝 /etc/krb5.conf 并覆盖本地的 /etc/krb5.conf，由于与kerberos server是同一台机器，本操作不用执行。

3.2、kadmin

Kadmin.local适用于有KDC 服务器的root权限，但没有kerberosadmin账户。
Kadmin适用于没有KDC服务器的root权限，但有kerberosadmin账户。
Kadmin.local可以用来创建kerberos admin账户(默认不存在)。
kadmin.local和kadmin都支持REPL操作(即交互式)和Shell操作(即-q "cmd")。

Kerberos 客户端机器上可以使用 kadmin 来执行各种管理的操作。需先在 Kerbers Server 上创建登录的 principal（2.6节已创建该principle），默认为 {当前用户}/admin@realm；

kadmin 
#Authenticating as principal root/admin@ABC.COM with password.
#Password for root/admin@ABC.COM: 
#kadmin:

输入密码，登录成功。kadmin 的操作和 kadmin.local 类似。

3.3、kinit(在客户端认证用户)

kinit root/admin@ABC.COM
@Password for root/admin@ABC.COM:

输入密码认证成功。

3.4、klist(查看当前的认证用户)

klist

#Ticket cache: KEYRING:persistent:0:0
#Default principal: root/admin@ABC.COM

#Valid starting Expires Service principal
#07/07/2022 11:29:20 07/08/2022 11:29:20 krbtgt/ABC.COM@ABC.COM

3.5、kdestroy(删除当前的认证缓存)

kdestroy

执行klist，认证缓存已清空

klist

#klist: Credentials cache keyring 'persistent:0:0' not found

参考：

Kerberos 入门实战(2)--Kerberos 安装及使用

posted @ 2022-07-07 16:49 驴得水阅读(1836) 评论(0) 编辑收藏举报

刷新页面返回顶部

a	[Dis]allows the addition of principals or policies
c	[Dis]allows the changing of passwords for principals
d	[Dis]allows the deletion of principals or policies
e	[Dis]allows the extraction of principal keys
i	[Dis]allows inquiries about principals or policies
l	[Dis]allows the listing of all principals or policies
m	[Dis]allows the modification of principals or policies
p	[Dis]allows the propagation of the principal database (used in Incremental database propagation)
s	[Dis]allows the explicit setting of the key for a principal
x	Short for admcilsp. All privileges (except `e`)
*	Same as x.

Kafka系列(2)--Kerberos安装及使用