MIT kerberos认证集群搭建

最新推荐文章于 2025-06-27 18:47:07 发布
原创 最新推荐文章于 2025-06-27 18:47:07 发布 · 693 阅读 · 0 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
标签
#hadoop #大数据 #linux
本文介绍了如何在Ubuntu 18.04 Server环境下搭建MIT Kerberos认证集群，包括认证原理、环境搭建步骤，如KDC和客户端的安装配置，以及Zookeeper的安全认证实体创建和高可用集群配置。

MIT kerberos认证集群搭建

认证原理

可以看这个博客，很详细： https://blog.csdn.net/sky_jiangcheng/article/details/81070240

环境搭建

  1. 运行环境

    • ubuntu18.04 server
    • kdc: hp01
    • client: hp02、hp03

  2. 安装软件

    • 安装NTP时间同步服务

    • hp01安装kdc ,admin-server

      sudo apt-get install krb5-kdc krb5-admin-server

      安装过程中会出现要输入realm,类似根域名，在kerberos中是名称空间，比如： EXAMPLE.COM

      如果你需要修改上述realm名称空间，则需要执行：

      sudo dpkg-reconfigure krb5-kdc

      会出现输入界面，重新输入即可

    • hp02,hp03安装kerberos认证客户端

      sudo apt-get install krb5-user libpam-krb5 libpam-ccreds auth-client-config

      安装过程中需要输入认证服务的名称空间，服务器端主机名，根据这两点与kdc服务建立认证连接通道

  3. 配置认证服务端（hp01）

    • 修改/etc/kerb5.conf,增加认证时间过期配置

      [libdefaults]
        default_realm = LY.COM

# The following krb5.conf variables are only for MIT Kerberos.
        kdc_timesync = 1
        ccache_type = 4
        forwardable = true
        proxiable = true
        dns_lookup_realm = false
        dns_lookup_kdc = false
        #TGT有效期限一天
        ticket_lifetime = 86400
        renew_lifetime = 604800
        forwardable = true
        udp_preference_limit = 1

    • 修改/etc/krb5kdc/kadm5.acl

      sudo vim /etc/krb5kdc/kadm5.acl
#增加admin管理权限
*/admin@LY.COM *

  4. 启动服务

    • 启动kdc

    • 启动admin-server

      sudo service  krb5-kdc start
sudo service krb5-admin-server start
#查看服务启动状态
sudo systemctl status krb5-kdc
liyuan@hp01:/etc$ sudo systemctl status krb5-kdc
● krb5-kdc.service - Kerberos 5 Key Distribution Center
   Loaded: loaded (/lib/systemd/system/krb5-kdc.service; enabled; vendor preset: enabled)
   Active: active (running) since Tue 2020-01-14 15:32:09 CST; 23h ago
  Process: 29042 ExecStart=/usr/sbin/krb5kdc -P /var/run/krb5-kdc.pid $DAEMON_ARGS (code=exited, status=0/SUCCESS)
 Main PID: 29053 (krb5kdc)
    Tasks: 1 (limit: 4632)
   CGroup: /system.slice/krb5-kdc.service
           └─29053 /usr/sbin/krb5kdc -P /var/run/krb5-kdc.pid

liyuan@hp01:/etc$ sudo systemctl status krb5-admin-server
● krb5-admin-server.service - Kerberos 5 Admin Server
   Loaded: loaded (/lib/systemd/system/krb5-admin-server.service; enabled; vendor preset: enabled)
   Active: active (running) since Tue 2020-01-14 18:41:32 CST; 20h ago
 Main PID: 29545 (kadmind)
    Tasks: 1 (limit: 4632)
   CGroup: /system.slice/krb5-admin-server.service
           └─29545 /usr/sbin/kadmind -nofork

Jan 14 18:41:32 hp01 kadmind[29545]: Setting up TCP socket for address 0.0.0.0.464
Jan 14 18:41:32 hp01 kadmind[29545]: Setting up TCP socket for address ::.464
Jan 14 18:41:32 hp01 kadmind[29545]: setsockopt(12,IPV6_V6ONLY,1) worked
Jan 14 18:41:32 hp01 kadmind[29545]: Setting up RPC socket for address 0.0.0.0.749
Jan 14 18:41:32 hp01 kadmind[29545]: Setting up RPC socket for address ::.749
Jan 14 18:41:32 hp01 kadmind[29545]: setsockopt(14,IPV6_V6ONLY,1) worked
Jan 14 18:41:32 hp01 kadmind[29545]: set up 6 sockets
Jan 14 18:41:32 hp01 kadmind[29545]: Seeding random number generator
Jan 14 18:41:32 hp01 kadmind[29545]: starting
Jan 14 18:41:32 hp01 kadmind[29545]: kadmind: starting...

#设置开机启动服务
sudo systemctl enable krb5-admin-server
sudo systemctl enable krb5-kdc

  5. principal服务实体操作

    • 启动命令

      sudo kadmin.local
#输入：？会显示命令提示
kadmin.local:  ?
Available kadmin.local requests:

add_principal, addprinc, ank
                         Add principal
delete_principal, delprinc
                         Delete principal
modify_principal, modprinc
                         Modify principal
rename_principal, renprinc
                         Rename principal
change_password, cpw     Change password
get_principal, getprinc  Get principal
list_principals, listprincs, get_principals, getprincs
                         List principals
add_policy, addpol       Add policy
modify_policy, modpol    Modify policy
delete_policy, delpol    Delete policy
get_policy, getpol       Get policy
list_policies, listpols, get_policies, getpols
                         List policies
get_privs, getprivs      Get privileges
ktadd, xst               Add entry(s) to a keytab
ktremove, ktrem          Remove entry(s) from a keytab
lock                     Lock database exclusively (use with extreme caution!)
unlock                   Release exclusive database lock
purgekeys                Purge previously retained old keys from a principal
get_strings, getstrs     Show string attributes on a principal
set_string, setstr       Set a string attribute on a principal
del_string, delstr       Delete a string attribute on a principal
list_requests, lr, ?     List available requests.
quit, exit, q            Exit program.
#创建admin管理员principal
addprinc admin/admin@LY.COM
#然后回让你输入两次密码
#输入q退出admin.local
#shell终端使用admin用户实体进行认证,会让你输入密码
kinit admin/admin
#生成admin的keytab文件，使用kadmin.local命令中的ktadd命令,不加加-norandkey，密码会变成随机值，就算之前设置的是固定密码，也会丢失变成随机值
ktadd -norandkey -k ./admin.keytab admin/admin@LY.COM

  6. 创建zookeeper安全认证实体

    sudo kadmin.local
addprinc zookeeper/_HOST@LY.COM
#生成keytab文件
ktadd -kt zookeeper.keytab zookeeper/_HOST@LY.COM
#将当前目录下的zookeeper.keytab文件保存好

  7. 配置安全模式zookeeper高可用集群

    • 官网下载最新编译包

    • 上传到ubuntu18.04虚拟机

    • 创建zookeeper用户并指定用户组hadoop,最好和hdfs同属一个组

    • 使用zookeeper用户进行以下操作

    • 解压，编辑conf/下的配置文件

      #由模板创建zoo.cfg
cp zoo_sample.cfg zoo.cfg
vim zoo.cfg
#修改成如下配置

# The number of milliseconds of each tick
tickTime=2000
# The number of ticks that the initial 
# synchronization phase can take
initLimit=10
# The number of ticks that can pass between 
# sending a request and getting an acknowledgement
syncLimit=5
# the directory where the snapshot is stored.
# do not use /tmp for storage, /tmp here is just 
# example sakes.
dataDir=../data
dataLogDir=../logs
# the port at which the clients will connect
clientPort=2181
# the maximum number of client connections.
# increase this if you need to handle more clients
#maxClientCnxns=60
#
# Be sure to read the maintenance section of the 
# administrator guide before turning on autopurge.
#
# http://zookeeper.apache.org/doc/current/zookeeperAdmin.html#sc_maintenance
#
# The number of snapshots to retain in dataDir
#autopurge.snapRetainCount=3
# Purge task interval in hours
# Set to "0" to disable auto purge feature
#autopurge.purgeInterval=1
authProvider.1=org.apache.zookeeper.server.auth.SASLAuthenticationProvider
jaasLoginRenew=3600000
#主机ip/服务间心跳连接端口/数据端口
server.1=192.168.1.21:2888:3888
server.2=192.168.1.22:2888:3888
server.3=192.168.1.23:2888:3888

    • zk主目录下创建data,与logs目录

    • data下创建myid文件，输入：1，即集群唯一标识

    • 创建conf/jass.conf文件，指定kerberos认证的keytab等参数

      Server {
  com.sun.security.auth.module.Krb5LoginModule required
  useKeyTab = true
  keyTab = "/opt/apache-zookeeper-3.5.6-bin/conf/zookeeper.keytab"
  storeKey = true
  useTicketCache = false
  principal = "zookeeper/_HOST@LY.COM";
};

    • 创建conf/java.env文件，启动进程加入jass认证文件读取的jvm参数

      export JVMFLAGS="-Djava.security.auth.login.config=/opt/apache-zookeeper-3.5.6-bin/conf/jass.conf"

  8. 启动zookeeper，先将第6步生成的zookeeper.keytab 文件拷贝到conf/目录下

    ./bin/zkServer.sh start
#失败就查看logs下日志，
#成功会在日志中出现
Server successfully logged in

  9. 如果成功启动，将zookeeper目录 scp到hp02,hp03

  10. hp02,hp03都要新建zookeeper：hadoop用户,使用zookeeper用户编辑data/myid,分别改成2，3，然后启动

参考与引用

https://blog.csdn.net/sky_jiangcheng/article/details/81070240

kerberos：介绍
玉汝于成
04-19 3801
Kerberos是一种计算机网络授权协议，主要用于在非安全网络环境中对个人通信进行安全的身份认证。这个协议由麻省理工学院（MIT）开发，作为Athena项目的一部分，首次发布于1988年。Kerberos协议目前已经从v1发展到v5，其中v5在1993年被确定为标准的Kerberos协议（RFC1510）。Kerberos协议设计思想的核心是引入一个可信任的第三方来实现客户端和服务端的认证。在Kerberos中，这个可信任的第三方被称为密钥分发中心（KDC）。
Kerberos
qq_69100706的博客
10-19 1350
Kerberos 是一种网络认证协议，旨在通过使用密钥加密技术为客户端/服务器应用程序提供强身份验证。它最初由麻省理工学院（MIT）开发，并已成为许多操作系统和应用程序中的标准认证机制。Kerberos 协议的主要目的是在网络环境中安全地验证用户的身份，而无需在网络中传输密码。
内网渗透之 Kerberos 协议解析
未完成的歌~的博客
07-13 1350
Kerberos协议是由麻省理工学院（MIT）开发的一种网络身份验证协议，用于在非安全网络中实现安全的身份验证。其设计目标是通过密钥系统为客户与服务器应用程序提供强大的认证服务。Kerberos协议要解决的实际上就是一个身份认证的问题，顾名思义，当一个客户机去访问一个服务器的某服务时，服务器如何判断该客户机是否有权限来访问本服务器上的服务，同时保证在该过程中的数据包即便被拦截或者被篡改也不影响整个通讯的安全性。
使用MIT配置kerberos访问oozie
weixin_44951500的博客
02-28 407
使用oozie的域名访问oozie。: 添加oozie的hosts。输入about:config。
CDP集群安全指南-开启Kerberos认证篇(Active Directory)
罗仲虎的博客
12-26 2464
否则AD DC将无法完成初始化，等初始话AD DC完成后再安装类似次步骤添加AD证书服务。现在我们给先建的Cloudera OU指派完全管理员scm用户。以下操作在linux所有主机上执行。
windows系统进行Kerberos认证并配置浏览器访问（MIT Kerberos Ticket Manager ）
IUNIQUE技术册
09-16 6535
Windows kerbores认证目录下载MIT安装包修改krb5.ini配置用户名和密码认证测试4.keytab认证测试 目录 介绍windows如何使用用户名和密码进行kerbores认证 下载MIT安装包 链接：https://pan.baidu.com/s/1C8wisL0fMR2dMnyxMeb2Dg 提取码：bwnx 修改krb5.ini配置 配置文件默认路径：C:\ProgramData\MIT\Kerberos5（注意可能是隐藏文件哦） 下面是我的配置信息，其实就是把kerbores里面的
DBeaver连接Kerberos认证下的hive
fracly的博客
12-09 6321
DBeaver连接Kerberos认证模式的hive背景介绍环境介绍工作机环境配置1、配置本地hosts2、安装Kerberos客户端3、配置window环境（变量和配置文件）配置krb5.ini配置环境变量DBeaver 配置DBeaver安装DBeaver配置修改DBeaver 连接配置修改1、下载驱动 背景介绍 DBeaver是一款功能强大丰富的数据源连接工具，可以连接MySQL、hive等常见的各种数据源，通过DBeaver连接未开启Kerberos认证的hive比较简单。本文主要介绍如果连接开启了
安全系列之介绍Kerberos认证协议
lishinho的博客
05-23 6737
前言 一直以来Kerberos都是应用广泛的强/集群安全/网络身份验证/协议，虽然讲解资料也不少，但和HDFS一样很少有讲通的，很多都是使用kerberos原始论文的概念直接塞给读者，造成很多概念闭塞难懂。或者是讲故事买门票坐火车，例子很好懂，但没有和技术结合起来。这篇会按照理解难度从易到难，划分为四个部分，试着解决上边的问题统一做一下总结。 目录 前言 一，入门 · Kerberos介绍 二，表面 · 理解Kerberos 三，里面 · Kerberos实质 四，深入 · 重新认识Kerbe
内网渗透：Kerberos认证协议安全性分析
dzqxwzoe的博客
08-19 899
要想进行内网渗透，可以说必须了解kerberos协议，可以说这是一个基础，本文总结了kerberos的认证流程以及可能出现的攻击方式。
MIT Kerberos安装
tom_fans的博客
04-09 4859
安装可以编译源代码或者通过yum直接安装，主要是3个包： yum install krb5-server krb5-libs krb5-workstation kerberos主要包含如下配置文件： krb5.conf kdc.conf acl_file key_stash_file database_name(数据库文件) 软件安装完成之后，接下来就是配置，krb5, kdc....
kerberos详解
空城的博客
12-01 2846
Kerberos始于20世纪80年代早期麻省理工学院（MIT）的一个研究项目，是一个网络身份验证系统。Kerberos提供的完整定义是安全的、单点登录的、可信的第三方相互身份验证服务。
Kerberos 深入详解：原理、认证流程与应用场景
最新发布
PwnGuo的博客
06-27 2690
Kerberos认证协议在企业大数据平台中的应用 Kerberos是一种基于对称密钥加密的网络身份认证协议，通过可信第三方KDC实现安全认证而不传输明文密码。其核心流程包含三个阶段：用户认证获取TGT票据、获取服务票据以及服务端验证。在企业Hadoop集群中，Kerberos被用于实现统一认证，所有客户端访问HDFS前必须经过完整认证流程，包括NameNode和DataNode在内的服务节点都需要配置专属服务主体和keytab文件。该机制通过KDC作为根信任中心，构建了完整的认证信任链，确保只有获得有效票据
安全认证Kerberos详解
热门推荐
Shawn的个人博客
04-16 1万+
Kerberos是一种计算机网络认证协议，用来在非安全网络中，对个人通信以安全的手段进行身份认证。这个词又指麻省理工学院为这个协议开发的一套计算机软件。软件设计上采用客户端/服务器结构，并且能够进行相互认证，即客户端和服务器端均可对对方进行身份认证。可以用于防止窃听、防止重放攻击、保护数据完整性等场合，是一种应用对称密钥体制进行密钥管理的系统。
Windows安全认证机制——Kerberos 域认证
lurenjia404的博客
07-02 1988
Kerberos是由麻省理工学院（MIT）开发的网络身份验证协议，它的主要好处是强大的加密和单点登录（SSO）。Kerberos作为一种可信任的第三方认证服务，是通过传统的密码技术（如共享密钥）实现不依赖于主机操作系统的认证，无需基于主机地址的信任，不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意地读取、修改和插入数据的情况下保证通讯安全。
Kerberos 身份验证
kuokay的博客
09-11 974
Kerberos 是一种由 MIT（麻省理工大学）提出的一种基于加密 Ticket 的身份认证协议。它旨在通过使用密钥加密技术为客户端/服务器应用程序提供强身份验证，用于验证用户或主机的标识。。适用范围：Windows Server 2022、Windows Server 2019、Windows Server 2016在 Kerberos 协议中主要是有三个角色的存在：1、访问服务的 Client；2、提供服务的 Server；
MIT Kerberos客户端(windows)启动无反应,重装无效问题解决
qq_18453581的博客
07-20 567
MIT Kerberos客户端突然无法启动,重装软件无效,诊断启动无效,管理员权限启动无效找一台电脑,安装,什么都不配置,启动正常~
Windows Kerberos客户端配置并访问CDH
shy_snow的专栏
01-29 2797
1.Windows安装 Kerberos 客户端; 2.配置 krb5.ini 3.执行 kinit 发起认证 4.浏览器可信配置,在浏览器输入about:config打开配置: 输入 `network.auth.use-sspi`，并点击切换到 `false`; 输入 `network.negotiate-auth.trusted-uris`，输入可信 URL 地址; 输入 `network.negotiate-auth.delegation-uris`;
Kerberos4
fys15925190510的博客
07-20 509
通过合理的设计和管理，Kerberos 4 可以为分布式环境提供可靠的身份验证服务，确保数据的安全性和完整性。客户端访问服务：客户端使用 SKS 加密一个请求，并附上 ST，发送给服务。AS 验证用户身份并生成 TGT：AS 验证用户的身份后，生成一个包含会话密钥（SKTGS）和用户信息的 TGT，并使用 AS 的密钥加密后发送给客户端。TGS 验证请求并生成 ST：TGS 验证 TGT 和请求后，生成一个包含会话密钥（SKS）和用户信息的 ST，并使用服务自己的密钥加密后发送给客户端。
Kerberos面试内容整理-开源 Kerberos 实现（MIT Kerberos、Heimdal 等）
不务正业的猿
06-06 634
Kerberos协议有多种开源实现，主要包括MIT Kerberos和Heimdal Kerberos。MIT Kerberos是原始实现，广泛应用于Linux和Unix系统，强调稳定性和兼容性。Heimdal Kerberos采用BSD许可证，曾用于BSD类操作系统和早期macOS，两大实现基本互通但细节存在差异。此外，还有GNU Shishi等小众实现。所有实现都遵循RFC标准，确保了互操作性，开发者通常通过GSS-API接口使用Kerberos而无需关注底层实现。开源多样性促进了Kerberos生态的
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值