java - "renew until"的 Kerberos 自动更新

Question

由于关键字如 Kerberos "renew until"auto，没有找到可以解决我的问题的线程，所以在这里发帖。

我创建了一个 key 表，其中包含以下票据生命周期信息

Valid starting: 09/14/2018 13:05:01 
Expires: 09/15/2018 13:05:01
renew until: 09/19/2018 09:26:37

基于 Hadoop kerberos ticket auto renew

我可以毫无问题地续签延长Expires 日期的票证。

现在另一个问题是renew until设置为7天后过期。

我的问题:

• 哪个命令类似于kinit -R 可以自动延长renew until 日期，这样我就不需要重新发出kinit -kt 我的了。 keytab my-principal 用于为我的 keytab 获取新票证？

• 或者有什么API可以达到同样的效果？使用以下 Hadoop API，基于 https://www.cloudera.com/documentation/enterprise/5-14-x/topics/sg_kerberos_troubleshoot.html ，我可以执行代码，但我找不到 renew until gets updated。

  UserGroupInformation.loginUserFromKeytab(principal, keyPath)
  val currentUser = UserGroupInformation.getCurrentUser()   
  currentUser.checkTGTAndReloginFromKeytab
  val currentUser1 = UserGroupInformation.getLoginUser
  currentUser1.checkTGTAndReloginFromKeytab`
  

  klist 显示 renew until 部分中的日期保持不变。

编辑:格式化

Answer 1

可再生 TGT

当票证可更新时， session key 会定期刷新，而不会发出全新的票证。如果 Kerberos 策略允许可更新票证，KDC 会在它发出的每张票证中设置一个 RENEWABLE 标志，并在票证中设置两个到期时间。一个过期时间限制了ticket当前实例的生命周期；第二个到期时间设置了票证所有实例的累积生命周期限制。

票证当前实例的到期时间保存在“结束时间”字段中。对于不可更新的票证，结束时间字段中的值等于开始时间字段中的值加上 Kerberos 策略指定的最长票证生命周期的值。持有可更新票证的客户必须在到达结束时间之前将其发送给 KDC 以进行更新——同时出示新的 validator 。当 KDC 收到更新票证时，它会检查 Renew Till 字段中保存的第二个到期时间的值。该值是在首次发行票据时设置的。它等于票证开始时间字段中的值加上 Kerberos 策略指定的最长累积票证生命周期的值。当 KDC 更新票据时，它会检查以确定 renew-till 时间是否尚未到来。如果没有，KDC 会发出一个新的票据实例，其中包含一个较晚的结束时间和一个新的 session key 。

这意味着管理员可以设置 Kerberos 策略，以便必须以相对较短的间隔(例如每天)更新票证。更新票据时，将发布一个新的 session key ，从而最大限度地减少受损 key 的值(value)。管理员还可以将累积票证生命周期设置为相对较长的时间——例如一周或一个月。在该时间结束时，票证将过期并且不再有效以进行续订。

所以更新 - until 是票证的一部分，并且出于安全原因，它的最大值在服务器端受到限制。设计上没有解决方法。