hadoop - kadmin 不能创建 principle 但 kadmin.local 可以

Question

我正在 Cloudera 5 beta 上启用安全模式。使用cloudera 管理器并在执行来自here 的安全启用文档的第8 步之后cloudera manager 应该触发 Generate Credential 命令，但事实并非如此。

所以我正在做的是手动运行 Generate Credential，但它给我错误日志。

KADMIN='kadmin -k -t /etc/cloudera-scm-server/cmf.keytab -p cloudera-scm/admin@IMP.CO.IN -r IMP.CO.IN'
+ kadmin -k -t /etc/cloudera-scm-server/cmf.keytab -p cloudera-scm/admin@IMP.CO.IN -r IMP.CO.IN -q 'addprinc -randkey hue/cdh4hdm@IMP.CO.IN'
WARNING: no policy specified for hue/cdh4hdm@IMP.CO.IN; defaulting to no policy
add_principal: Operation requires ``add'' privilege while creating "hue/cdh4hdm@IMP.CO.IN".
+ kadmin -k -t /etc/cloudera-scm-server/cmf.keytab -p cloudera-scm/admin@IMP.CO.IN -r IMP.CO.IN -q 'xst -k /tmp/cmf4198733808580266866.keytab hue/cdh4hdm@IMP.CO.IN'
kadmin: Operation requires ``change-password'' privilege while changing hue/cdh4hdm@IMP.CO.IN's key
+ chmod 600 /tmp/cmf4198733808580266866.keytab
chmod: cannot access `/tmp/cmf4198733808580266866.keytab': No such file or directory

kadmin好像不能创建原理

我的问题是我怎样才能给 kadmin 添加原则权限或者我怎样才能使用 kadmin.local 运行这个命令？

有什么办法可以让我摆脱这个问题...

Answer 1

需要一些配置来提供用户主体以使用 kadmin 创建任何主体。

必须编辑 kadm5.acl 文件并在 kadm5.acl 文件中添加以下条目:

*/admin@EXAMPLE.COM 

这里 * 代表通配符，因此匹配 kadm5.acl 中提供的字符串的用户主体将能够创建任何主体例如:

root/admin@EXAMPLE.COM

更改配置后需要重新启动 Kerberos 以使更改生效。有关详细信息，请参阅 this