hadoop - 使用 Kerberos 从另一个作业的 java 操作提交 Oozie 作业

Question

我正在尝试使用 Java Client API 提交 Oozie 作业来自另一个 Job 的 java Action 。集群正在使用 Kerberos。

这是我的代码:

// get a OozieClient for local Oozie
    String oozieUrl = "http://hadooputl02.northamerica.xyz.net:11000/oozie/";
    AuthOozieClient wc = new AuthOozieClient(oozieUrl);

    wc.setDebugMode(1);
// create a workflow job configuration and set the workflow application path
    Properties conf = wc.createConfiguration();
    conf.setProperty(OozieClient.APP_PATH, wfAppPath);
    conf.setProperty("jobTracker", "yarnRM");
    conf.setProperty("nameNode", "hdfs://ingestiondev");

// submit and start the workflow job
    String jobId = wc.run(conf);
    System.out.println("Workflow job submitted");

但是我收到以下错误:

 org.apache.oozie.action.hadoop.JavaMainException: IO_ERROR : 
java.io.IOException: Error while connecting Oozie server. No of retries = 1. Exception = Could not authenticate, GSSException: No valid credentials provided (Mechanism level: Failed to find any Kerberos tgt)
      ...
 Caused by: AUTHENTICATION : Could not authenticate, GSSException: No valid credentials provided (Mechanism level: Failed to find any Kerberos tgt)
      ...
Caused by: org.apache.hadoop.security.authentication.client.AuthenticationException: GSSException: No valid credentials provided (Mechanism level: Failed to find any Kerberos tgt)
      ...
Caused by: GSSException: No valid credentials provided (Mechanism level: Failed to find any Kerberos tgt)

我相信代码中还需要更多内容才能让节点/用户通过 kerberos 访问 oozie 服务器。

谁能告诉我在 Kerberized 集群上使用 Oozie Java API 的正确方法？

谢谢!

Answer 1

错误信息很明确:Failed to find any Kerberos tgt .您的作业在 YARN 容器中的随机节点上运行，并且那里没有可用的 Kerberos 票证。

您有没有想过 Oozie 是如何使用您的 Kerberos 凭据开始工作的，即使它不知道您的密码？那是因为它使用了一个内置于 Hadoop 中的后门。但是您的工作没有适当的 Kerberos 凭据，因此当您尝试执行未涵盖的操作时会看到消息。

---

Oozie 如何在没有凭据的情况下管理身份验证

• 您连接到边缘节点，使用 kinit 创建 Kerberos 票证，运行 Oozie 命令行以提交协调器(它将在特定日期和时间触发工作流)
• Oozie CLI 使用本地 Kerberos 票据对 Oozie 服务器进行身份验证，因此协调器(和工作流)“属于您”
• 当 Coordinator 触发 Workflow，Workflow 启动一个 Action，Action 启动一个 YARN 作业时……Oozie 服务器根据 YARN ResourceManager 进行身份验证(通常为 oozie)——您的 Kerberos票可能早就过期了
• 但是自oozie在 YARN 配置中定义为特权代理帐户，然后 RM 接受在您的帐户下启 Action 业，即使您没有通过 Kerberos 正确验证
• 这怎么可能？？因为 YARN 和 HDFS 在内部使用委托(delegate) token ——通常，您使用 Kerberos 进行一次身份验证，然后您将获得一个 token ，并且您可以使用所有节点上的所有核心服务；有了 Oozie，您甚至不必进行身份验证...

但有一个问题:委托(delegate) token 不适用于任何使用纯 Kerberos 身份验证的服务——即 Hive Metastore、Hive JDBC、HBase、ZooKeeper、Oozie 等。
这就是为什么 Oozie 有一个解决方法:explicit <credential>请求 Hive 操作、Hive2 操作、HBase 操作等。[免责声明:我真的不知道它是如何工作的]

我怀疑这些“凭据”是否会对 Oozie 本身起作用...!

---

如何管理您自己的自定义身份验证

1. 建立一个keytab文件中包含您的密码 (参见 Linux 命令 ktutil )
2. 将该文件上传到 HDFS，访问权限受限 -- 因为任何可以访问该文件的人都可以以您的身份登录!!!
3. 使用<file> 告诉Oozie 下载运行Java 操作的容器中的文件。 -- 它将在当前工作目录中可用，因此您不必关心实际路径
4. 创建一个 JAAS 配置文件，向 Java 解释“每当 Oozie REST 服务器通过 SPNEGO 请求身份验证时，使用该主体即时创建 Kerberos 票证，其密码在该 key 表文件中”(而不是默认的 “查找票证缓存并在那里获取现有票证”)
5. 将该 JAAS 配置文件上传到 HDFS，使用另一个 <file>等
6. 使用 Java 系统属性激活该 JAAS 配置

您可以在我的帖子中找到更多详细信息:Error when connect to impala with JDBC under kerberos authrication

免责声明:我不知道 Oozie 需要哪个 JAAS“主题”(例如，ZooKeeper 需要 Client，Hive 需要 com.sun.security.jgss.krb5.initiate)

---

备选方案:忘记 JAAS 并使用缓存。

• 设置环境变量KRB5CCNAME到容器 CWD 中的临时文件(作业停止时将自动销毁)
• 生成一个 Linux 命令 kinit -kt myname.keytab myname@REALM它将在 KRB5CCNAME 定义的缓存中获取 Kerberos 票证
• 并让 JAAS 遵循默认流程