java - Kerberos - 发现不受支持的 key 类型 (1)

Question

我将 Java 从 JAVA 6 更新到 JAVA 7 后出现错误。在 Java 6 中一切运行良好，但我需要移动。

Found unsupported keytype (1) for my/my.com
Added key: 16version: 1
Added key: 23version: 1
Added key: 18version: 1
Ordering keys wrt default_tkt_enctypes list
Using builtin default etypes for default_tkt_enctypes
default etypes for default_tkt_enctypes: 18 17 16 23.
Found unsupported keytype (1) for my/my.com
Added key: 16version: 1
Added key: 23version: 1
Added key: 18version: 1
Ordering keys wrt default_tkt_enctypes list
Using builtin default etypes for default_tkt_enctypes
default etypes for default_tkt_enctypes: 18 17 16 23.
Using builtin default etypes for default_tkt_enctypes
default etypes for default_tkt_enctypes: 18 17 16 23.
>>> KrbAsReq creating message
>>> KrbKdcReq send: kdc=my.com UDP:88, timeout=3, number of retries =1, #bytes=183
>>> KDCCommunication: kdc=my.com UDP:88, timeout=3,Attempt =1, #bytes=183
Exception in thread "main" java.io.IOException: Login failure for my/my.com from keytab /etc/hbase/conf/hdfs.keytab  

Answer 1

您附加的日志中的前四行显示了 key 表中的条目。有四个条目 - 第一行显示有代码 1 的 key (我们可以在 IANA 表中查找此代码代表什么:http://www.iana.org/assignments/kerberos-parameters/kerberos-parameters.xml。etype 1 是 des-cbc-crc)。

现在在第五行，有信息“使用内置默认 etypes..”，好像您还没有配置您的 krb5.ini 文件？ (在 Windows 中，它通常位于 C:\windows\krb5.ini 中。此文件所在位置的完整说明:http://docs.oracle.com/javase/7/docs/technotes/guides/security/jgss/tutorials/KerberosReq.html)。我们可以看到默认的 enctypes:18、17 (aes)、16 (des) 和 23 (rc4-hmac)。 1 不在此列表中，这就是为什么没有从 key 表加载此非常旧的 DES 变体的条目，并出现错误:为 my/my.com 找到不受支持的 key 类型 (1)。

您需要创建 krb5.ini 文件。它看起来应该有点像这样(必须根据您的组织设置进行调整):

[libdefaults]
  forwardable = true
  dns_lookup_kdc = true
  dns_lookup_realm = true
  default_realm = YOUR.COMPANY

  default_tkt_enctypes = rc4-hmac aes256-cts aes128-cts des3-cbc-sha1 des-cbc-md5 des-cbc-crc
  default_tgs_enctypes = rc4-hmac aes256-cts aes128-cts des3-cbc-sha1 des-cbc-md5 des-cbc-crc
  permitted_enctypes   = rc4-hmac aes256-cts aes128-cts des3-cbc-sha1 des-cbc-md5 des-cbc-crc

[realms]
  YOUR.COMPANY = {
     kdc = your.company
  }

[domain_realm]
  .your.company = YOUR.COMPANY
  your.company  = YOUR.COMPANY