hadoop - 了解如何使用 Kerberos 的 Hadoop 客户端 API

Question

UserGroupInformation 类有一个 loginUserFromKeytab 方法，该方法采用用户主体和 key 表文件的名称。您没有指定服务主体。我认为 Kerberos 需要服务主体。有人可以填补我遗漏的空白吗？

Answer 1

据我所知，“登录”方法仅负责客户端的初始用户身份验证

• 连接到 KDC
• 断言它是“主体”，接受质询，使用加密密码进行响应(这是 key 表文件中的内容)
• 检索显示为krbtgt/REALM@REALM的ticket-granting ticket (TGT)

然后每个 Hadoop API 管理它们自己的授权，但在服务器端

客户:

• 在连接时出示 TGT，作为身份验证证明

服务:

• 检查该委托(delegate)人是否被列入黑名单
• 连接到 KDC 以检查 TGT 是否确实有效，然后生成适当的服务票据 (以便进一步的客户端服务流量可以跳过到 KDC 的往返)
• 根据可插入的授权库检查主体属于哪些“组”(例如参见“权限 > 组映射”下的 HDFS documentation)
• 所有权限检查都基于主体名称和组名称