[转]kerberos在Cloudera manager +CDH中的运用实践

hadoop在用户权限上做的只是像linux用户级别的安全认证，即对文件的访问权限。对于一些数据安全比较重视的公司是不够的，如果对数据安全有要求，而且是认证方式的，可以使用kerberos，但是并不是很好用，当初阿里巴巴在安全上使用kerberos，后来嫌弃太麻烦就抛弃了，自己开发了一套安全认证系统叫宙斯盾已经开源，有兴趣的可以看看。

今天为大家写的实践已经运用到我们单位的大数据平台。不废话去讲kerberos的认证方式和原理，直接进入主题。

kerberos需要跟用户管理系统NIS配合使用。

1、所需安装包：

NIS服务器：

rpcbind-0.2.0-11.el6.x86_64

ypserv-2.19-26.el6_4.2.x86_64

NIS客户端：

yp-tools-2.9-12.el6.x86_64

ypbind-1.20.4-30.el6.x86_64

rpcbind-0.2.0-11.el6.x86_64

KDC服务器：

krb5-server-1.10.3-57.el6.x86_64

krb5-workstation-1.10.3-57.el6.x86_64

krb5-libs-1.10.3-57.el6.x86_64

krb5-devel-1.10.3-57.el6.x86_64

KDC客户端：

krb5-libs-1.10.3-57.el6.x86_64

krb5-devel-1.10.3-57.el6.x86_64

krb5-workstation-1.10.3-57.el6.x86_64

2、角色分类：

3、配置NIS服务器（1.1）

配置NIS区域名称、固定服务端口

vi /etc/sysconfig/network

NETWORKING=yes

HOSTNAME=bigdata022

NISDOMAIN=BIGDATA

YPSERV_ARGS="-p 1011"

设置允许访问NIS服务器的主机

vi /var/yp/securenets

255.255.255.0 192.168.1.0

开启ypserv、rpcbind（portmap）服务，并设置为开机启动

service rpcbind restart;chkconfig rpcbind on

service ypserv restart ; chkconfig ypserv on

创建NIS信息库

//自动识别当前主机名，若无需添加其他NIS服务器，直接按Ctrl+D确认提交就可以了.

#/usr/lib64/yp/ypinit -m

到此，NIS服务器配置完毕

4、配置NIS客户端（1.1、1.2、1.3、1.4）

指定NIS区域、服务器地址信息：

vi /etc/yp.conf

domain BIGDATA server 192.168.1.1

启动ypbind、portmap服务并设置成开机自启

service rpcbind restart ; chkconfig rpcbind on
service ypbind restart ; chkconfig bind on

验证：

ypcat -d BIGDATA -h bigdata022 passwd

5、配置KDC服务器

kerberos配置文件一：

vi /etc/krb5.conf

[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmin.log

[libdefaults]
default_realm = BIGDATA //将文件中的默认领域改为自己的领域
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 86400 //票据的默认生命周期
renew_lifetime =604800
forwardable = true
default_tgs_enctypes = rc4-hmac
default_tkt_enctypes = rc4-hmac
permitted_enctypes = rc4-hmac
udp_preference_limit = 1
kdc_timeout = 3000

[realms]
BIGDATA= {
kdc = bigdata022 //指定KDC服务（krb5kdc）的地址
admin_server = bigdata022 //指定KADMIN管理服务（kadmin）的地址
}

[kdc]

profile=/var/kerberos/krb5kdc/kdc.conf //指定KDC配置文件的位置

复制粘贴的时候把//注释去掉。

kerberos配置文件二：

vi /var/kerberos/krb5kdc/kdc.conf

[kdcdefaults]
kdc_ports = 88
kdc_tcp_ports = 88

[realms]
BIGDATA = {
master_key_type = aes256-cts
acl_file = /var/kerberos/krb5kdc/kadm5.acl
dict_file = /usr/share/dict/words
admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal

}

kerberos配置文件三：

vi /var/kerberos/krb5kdc/kadm5.acl

*/admin@BIGDATA *

配置完成：

将/etc/krb5.conf传递到客户端机器。

创建KDC票据数据库。

kdb5_utilcreate -r BIGDATA -s

注意：密码一定要牢记。

注：该命令会在 /var/kerberos/krb5kdc/ 目录下创建 principal 数据库。如果遇到数据库已经存在的提示，可以把 /var/kerberos/krb5kdc/ 目录下的 principal 的相关文件都删除掉。默认的数据库名字都是 principal。可以使用 -d 指定数据库名字。

开启kdc服务并设置开机自启：

servicekrb5kdc restart

servicekadmin restart

chkconfig krb5kdcon

chkconfig kadminon

6、配置管理员用户和密码：

kadmin.local