hadoop - 具有相同 kerberos 领域的两个集群

Question

我有两个名为 app-cluster 和 data-cluster 的 ambari 集群。两者都由 kerberos 保护。两个集群都有自己的 KDC 服务器。但相同的域名(由管理团队配置)。

现在我想从 app-cluster 访问 data-cluster 的名称节点。但是 app-cluster 没有 data-cluster 的名称节点主体。所以 kerberos 抛出错误之类的

TGS request result: -1765328377/Server nn/machine@REALM not found in Kerberos database.

我检查了跨领域身份验证。它说两个领域的名称应该不同。

如何使用两个具有相同域名的不同主 kdc 服务器实现跨集群 kerberos 身份验证？

Answer 1

当有两个具有相同领域名称的 KDC 主服务器时，我看到的问题是每个主服务器有两个不同的 kerberos 数据库，这意味着它们有不同的数据，使用不同的主 key 加密，使用不同的盐，甚至可能使用不同的加密类型(例如，如果从不同的发行版安装)。

例如，您可以通过在两个 master 上执行以下命令来确保数据不同，然后比较输出:
kdb5_util tabdump keydata
跨域身份验证的正确情况是当有两个或至少两个 KDC 主服务器负责不同域中的不同域时，您仍然希望来自一个域的用户在另一个域中进行身份验证:

https://web.mit.edu/KERBEROS/krb5-1.5/krb5-1.5.4/doc/krb5-admin/Cross_002drealm-Authentication.html

当在一个领域和域中有两个 KDC 时，将其中一个作为主 KDC，另一个作为从属 KDC 是有意义的。这让我想到了一个问题——首先拥有第二个 KDC 主机的原因是什么？

是 HA 的担忧吗？然后确实需要将其中一个 KDC 主设备设置为从 KDC。

两者都是app-cluster和 data-cluster在不同的领域？那么有不同的境界就有意义了。

如果到目前为止没有高可用性问题(例如，这两个集群都仍处于开发阶段)，另一种选择可能是只使用一个没有任何从属的 KDC 主服务器，并在所有集群中配置节点来与这个 KDC 通信。

关于配置领域的一般建议:

https://web.mit.edu/kerberos/krb5-1.12/doc/admin/realm_config.html