温馨提示:如果使用电脑查看图片不清晰,可以使用手机打开文章单击文中的图片放大查看高清原图。
Fayson的github: https://github.com/fayson/cdhproject
提示:代码块部分可以左右滑动查看噢
1.文档编写目的
在前面Fayson介绍了多篇关于Window Server上安装的Active Directory服务,由于Active Directory服务即提供了统一的用户管理也提供了Kerberos认证服务,在向AD中新增用户的同时也为用户创建了相应的Kerberos账号,那本篇文章Fayson主要介绍,如何在不考虑自定义用户的Kerberos账号的前提下将CDH中集成的RedHat7的Kerberos迁移至AD的Kerberos认证。
1.测试环境描述
2.CDH迁移Kerberos认证至AD
3.集群服务启动及验证
4.总结
1.RedHat7.3
2.CM和CDH版本为5.15
3.集群已启用Kerberos
1.Active Directory已安装且正常使用
2.测试环境描述及准备
Fayson在前面一系列文章中介绍了AD的安装及与CDH集群中各个组件的集成,包括《01-如何在Window Server 2012 R2搭建Acitve Directory域服务》、《02-Active Directory安装证书服务并配置》、《03-Active Directory的使用与验证》、《04-如何在RedHat7上配置OpenLDAP客户端及集成SSSD服务和集成SSH登录》、《05-如何为Hive集成AD认证》、《06-如何为Impala集成AD认证》、《07-如何为Hue集成AD认证》、《08-如何为Navigator集成Active Directory认证》和《09-如何为CDSW集成Active Directory认证》。
IP地址 | HOSTNAME | 描述 |
---|---|---|
xxx.xx.x.xx | adserver.fayson.com | Active Directory已安装 |
1.准备一个用于CM管理AD中Kerberos的账号cloudera/admin
创建成功
2.为cloudera-scm/admin设置Cloudera Groups和Cloudera Users组织的委派控制
设置委派控制的所有权限
3.CDH迁移Kerberos认证至AD
1.停止集群所有服务,CDH和CMS的所有服务
2.修改集群所有节点的/etc/krb5.conf文件为如下内容
[root@cdh01 ~]# more /etc/krb5.conf
# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
default_realm = FAYSON.COM
#default_ccache_name = KEYRING:persistent:%{uid}
[realms]
FAYSON.COM = {
kdc = adserver.fayson.com
admin_server = adserver.fayson.com
}
[domain_realm]
.fayson.com = FAYSON.COM
fayson.com = FAYSON.COM
(可左右滑动)
3.进入“管理”-> “安全”-> “Kerberos凭据”界面
4.点击“配置”修改Kerberos服务指向AD服务,具体修改内容如下图标注部分
5.保存配置后,回到“Kerberos凭据”界面,点击“导入Kerberos Account Manager凭据”
用户名为前面环境准备节点创建的cloudera-scm/admin账号,输入账号密码后点击导入
完成Kerberos管理账号的导入,CM通过该账号向AD服务器创建集群所有服务使用到的Kerberos账号。
6.完成上述操作后,需要为集群重新生成Kerberos账号,注意重新生成的前提是需要集群所有服务已停止
凭证生成成功
查看AD上Cloudera Users组织下有大量的用户生成,生成的用户为CDH各个服务的Kerberos账号。
4.启动服务及验证
1.集群所有服务均正常启动
2.在集群中提交一个MR作业测试
作业执行成功
5.总结
1.CDH的Kerberos集成迁移至AD认证,同样需要在AD上创建一个用于CM统一管理Hadoop所有服务的Kerberos账号cloudera-scm/admin,注意该账号需要携带“/admin”后缀以表示该用于拥有管理创建Kerberos账号的权限。
2.在切换为AD认证后,需要配置Active Directory后缀属性,表示CM将Hadoop所有服务的用户创建到该组织下。
3.需要在CM上导入Kerberos Account Manager凭据(cloudera-scm/admin)。
4.完成所有AD的配置集成后,需要为集群所有服务重新生成Kerberos信息,因为AD服务器上并没有这些服务的Kerberos信息。
5.注意这里只能将CM及CDH所有服务的Kerberos账号生成到AD服务器中,至于自己创建的Kerberos账号需要手动的进行创建。
提示:代码块部分可以左右滑动查看噢
为天地立心,为生民立命,为往圣继绝学,为万世开太平。 温馨提示:如果使用电脑查看图片不清晰,可以使用手机打开文章单击文中的图片放大查看高清原图。