Hadoop集群kerberized时无法访问HDFS

Question

我成功地kerberized了一个测试Hortonworks集群。Ambari为这些服务创建了keytabs，并且它们都已启动。名称编号有HA。备用名称节点启动得快，活动名称节点需要更长得时间。Namenode UI显示一切都是正确的。可以使用Kerberos登录。名称编号为nn1.zim.com和nn2.zim.com

这个配置会有什么问题呢？以hdfs登录，用kinit-kt加载keytab。在列表HDFS尝试中,我得到以下错误：

[root@nn1 hdfs]#hdfs dfs-ls/18/12/02 16:18:22警告IPC.Client：连接到服务器时遇到异常：javax.security.sasl.saslexception：GSS initiate失败[由GSSE Xception：未提供有效凭据（机制级别：未能找到任何Ker beros T>引起）]18/12/02 16:18:22 INFO Retry.RetryInvocationHandler：java.io.ioException：本地异常失败：java.io.ioException：java.security.sasl.saslexception：GSS主机详情：本地主机为：“nn1.zim.com/192.168.50.10”；目标主机为：“nn2.zim.com”：8020；，同时在1次故障转移尝试后通过nn2.zim.com/192.168.50.11:8020调用g ClientNameNodeProtocolTranslatorPB.getFileInfo。尝试在睡眠1123ms后进行故障转移。

主机的Kerberos主体是：

nn1.zim.com/[e-mail] [e-mail] nn2.zim.com/[e-mail] [e-mail] host/[e-mail] host/[e-mail]

krb5.cfg:

[logging]default=file:/var/log/krb5libs.log
kdc=file:/var/log/krb5kdc.log
admin_server=file:/var/log/kadmind.log

[libdefaults]dns_lookup_realm=false
ticket_lifetime=24h renew_lifetime=7d
forwardable=true
rdns=false default_realm=zim.com
default_ccache_name=keyring：persistent：%{uid}

[realms]zim.com={
kdc=kb.zim.com
admin_server=kb.zim.com
}

[domain_realm]
.zim.com=zim.com
zim.com=zim.com

Answer 1

解决方案：必须为每个主机创建两个kerberos主体：FQDN和short。我只创建了FQDN（nn1.zim.com）--这就是问题的原因。在创建了第二个校长(nn1)之后，一切都开始工作了。

当您使用Active Directory时，这两种主体类型都将在AD计算机对象创建时自动创建。