如何为CDH集成Active Directory的Kerberos认证

温馨提示：如果使用电脑查看图片不清晰，可以使用手机打开文章单击文中的图片放大查看高清原图。

Fayson的github： https://github.com/fayson/cdhproject

提示：代码块部分可以左右滑动查看噢

1.文档编写目的

在前面Fayson介绍了多篇关于Window Server上安装的Active Directory服务，由于Active Directory服务即提供了统一的用户管理也提供了Kerberos认证服务，在向AD中新增用户的同时也为用户创建了相应的Kerberos账号。本篇文章Fayson主要介绍如何为CDH集成Active Directory的Kerberos认证。

• 内容概述

1.测试环境描述及准备

2.配置集群Kerberos客户端

3.CDH集成AD的Kerberos认证

4.总结

• 测试环境

1.RedHat7.3

2.CM和CDH版本为5.15

3.集群未启用Kerberos

• 前置条件

1.Active Directory已安装且正常使用

2.测试环境描述及准备

Fayson在前面一系列文章中介绍了AD的安装及与CDH集群中各个组件的集成，具体的文章就不在这里贴出来了，可以查看公众号“必点”菜单返回的文章《从入门到精通 - Fayson带你玩转CDH》中有所有文章的索引。

AD服务信息：

1.准备一个用于CM管理AD中Kerberos的账号cloudera/admin

创建成功

2.为cloudera-scm/admin设置Cloudera Groups和Cloudera Users组织的委派控制

设置委派控制的所有权限

3.配置集群Kerberos客户端

1.在集群的所有接节点安装Kerberos客户端

[root@cdh01 ~]# yum -y install krb5-libs krb5-workstation

2.将/etc/krb5.conf文件拷贝至集群所有节点，内容如下：

[root@cdh01 ~]# more /etc/krb5.conf
# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 default_realm = FAYSON.COM
 #default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 FAYSON.COM = {
  kdc = adserver.fayson.com
  admin_server = adserver.fayson.com
 }

[domain_realm]
 .fayson.com = FAYSON.COM
 fayson.com = FAYSON.COM

4.CDH集成AD的Kerberos认证

1.使用管理员账号登录CM，进入“管理”->“安全”界面

2.点击“启用Kerberos”，进入启用Kerberos引导界面

3.确认以上环境都已准备好后，点击“继续”

4.完成AD的Kerberos信息配置后，点击“继续”

5.跳过CM管理krb5.conf，点击“继续”

6.输入环境准备节点创建的cloudera-scm/admin账号及密码，点击“继续”

7.完成“导入KDC Account Manager凭据”后，点击“继续”

8.上述默认的配置不用修改，点击“继续”

9.勾选已准备好重启集群后，点击“继续”

10.完成集群的重启后，点击“继续”

如上操作已成功的为CDH集群启用了AD的Kerberos认证。

5.总结

1.CDH集成AD的Kerberos认证需要在AD上创建一个用于CM统一管理Hadoop所有服务的Kerberos账号cloudera-scm/admin，注意该账号需要携带“/admin”后缀以表示该用于拥有管理创建Kerberos账号的权限。

2.需要配置Active Directory后缀属性，表示CM将Hadoop所有服务的用户创建到该组织下。

提示：代码块部分可以左右滑动查看噢

为天地立心，为生民立命，为往圣继绝学，为万世开太平。 温馨提示：如果使用电脑查看图片不清晰，可以使用手机打开文章单击文中的图片放大查看高清原图。