无法连接到具有安全Kerberos的配置单元。我正在使用UserGroupInformation.LoginUserFromKeyTab（）

Question

 {
String driverName = "com.cloudera.hive.jdbc4.HS2Driver";
conf.set("hadoop.security.authentication", "kerberos");
info("Getting Connection"); 
UserGroupInformation.setConfiguration(conf);    
info("Getting Connection"); `info("Getting Connection");
UserGroupInformation.setConfiguration(conf);


UserGroupInformation.loginUserFromKeytab("****@***.***.COM","etc/****.keytab");
Class.forName(driverName); info("Getting Connection");
Connection con = DriverManager.getConnection("jdbc:hive2://localhost:10000;AuthMech=1;KrbRealm=EX‌​AMPLE.COM;KrbHostFQDN=hs2.example.com;KrbServiceName=hive");
info("Got Connection");
}

{String driverName=“com.cloudera.hive.jdbc4.hs2driver”；
conf.set（“hadoop.security.authentication”,“kerberos”）；info（“获取连接”）；usergroupinformation.loginuserfromkeytab（“***@..com”,“etc/****.keytab”）；
class.forname（driverName）；info（“获取连接”）；Connection con=
drivermanager.getconnection（“

Answer 1

配置单元JDBC驱动程序不使用Hadoop Auth库，因为它们应该能够从集群外部连接，并且对Hadoop库的依赖性最小。
因此，在实践中，您的UGI设置被忽略。

但是配置单元JDBC驱动程序使用Thrift客户机库，它支持Kerberos身份验证的原始JAAS配置。

在命令行上使用系统道具的示例：

java -Djava.security.krb5.conf=/etc/krb5.conf \
     -Djava.security.auth.login.config=./my_jaas.conf \
     *****

示例“my_jaas.conf”获取私有Kerberos票证（不是从缓存读取，也不是写入缓存），并在keytab文件中提供密码：

com.sun.security.jgss.krb5.initiate {
  com.sun.security.auth.module.Krb5LoginModule
    required
  useTicketCache=false
  doNotPrompt=true
  useKeyTab=true
  keyTab="file:/some/path/to/my_login.keytab"
  principal="[e-mail]"
  debug=true;
};

请注意，上面的语法适用于Sun/Oracle JDK和OpenJDK，但不适用于使用不同语法的IBM JDK。
它也不适用于DataDirect连接器（随Oracle、IBM、Microstrategy等一起提供），后者在conf中需要一个特定的“subject”。

就这样了。当检测到URL请求Kerberos连接时，JDBC驱动程序将自动调用JAAS，而JAAS将处理这些脏活累活。

ps：调试安全配置问题是一个麻烦，但您有几个属性可以启用调试跟踪：

-Dsun.security.krb5.debug=true
-Djava.security.debug=gssloginconfig,configfile,configparser,logincontext