Topik ini menjelaskan cara mengonfigurasi kepercayaan timbal balik antar-realm untuk Kerberos agar memungkinkan akses antara kluster Kerberos yang berbeda.
Prosedur
Topik ini menjelaskan cara mengonfigurasi kepercayaan timbal balik antar-realm dengan contoh di mana Cluster-A perlu mengakses layanan di Cluster-B. Setelah dikonfigurasi, Cluster-A dapat mengakses layanan di Cluster-B dengan memperoleh ticket granting ticket (TGT) dari key distribution center (KDC) miliknya sendiri. Prosedur berikut hanya membuat kepercayaan satu arah, sehingga Cluster-B tidak dapat mengakses layanan di Cluster-A. Untuk mengaktifkan kepercayaan timbal balik dua arah, ulangi prosedur tersebut dengan menukar peran kedua kluster.
Langkah 1: Persiapan
Untuk Cluster-A dan Cluster-B, buka halaman konfigurasi layanan Kerberos. Dari file krb5.conf, ambil nilai kdc_hosts dan realm. Contoh ini menggunakan informasi kluster berikut:
-
Informasi Cluster-A:
-
hostname: master-1-1.1234.cn-hangzhou.emr.aliyuncs.com
-
realm: EMR.1234.COM
-
-
Informasi Cluster-B:
-
hostname: master-1-1.6789.cn-hangzhou.emr.aliyuncs.com
-
realm: EMR.6789.COM
-
Langkah 2: Tambahkan principal autentikasi antar-realm
-
Gunakan SSH untuk login ke node master-1-1 Cluster-A.
-
Sebagai pengguna root, jalankan perintah berikut.
kadmin.local -q "addprinc -pw 123456 krbtgt/EMR.6789.COM@EMR.1234.COM"Penjelasan parameter:
-
123456: Password awal. Anda dapat menentukan password kustom. -
EMR.1234.COM: Realm Cluster-A. -
EMR.6789.COM: Realm Cluster-B.
-
-
Login ke node master-1-1 Cluster-B dan ulangi langkah sebelumnya untuk menambahkan principal autentikasi antar-realm. Pastikan Anda menggunakan password yang sama dan menukar urutan realm dalam perintah.
Langkah 3: Konfigurasi krb5.conf
Sambungkan ke setiap node di Cluster-A melalui SSH dan modifikasi file konfigurasi /etc/krb5.conf. Tidak diperlukan restart layanan.
-
[realms]
EMR.C-BE49B6BBAEEA****.COM = { kdc = 192.168.xx.xx:88 admin_server = 192.168.xx.xx:749 } -
[domain_realm]
.1234.cn-hangzhou.emr.aliyuncs.com = EMR.1234.COM .6789.cn-hangzhou.emr.aliyuncs.com = EMR.6789.COM -
[capaths]
EMR.1234.COM = { EMR.6789.COM = . } EMR.6789.COM = { EMR.1234.COM = . }
Untuk menjalankan pekerjaan di Cluster-A yang mengakses Cluster-B, Anda juga harus melakukan restart layanan YARN di Cluster-B.
Langkah 4: Akses layanan di Cluster-B
Anda sekarang dapat menggunakan tiket Kerberos yang diperoleh dari Cluster-A untuk mengakses layanan di Cluster-B.
-
Buat principal uji coba dan hasilkan tiket.
kadmin.local -q "addprinc -pw 123456 test" kinit test -
Akses Layanan HDFS di Cluster-B.
hdfs dfs -ls hdfs://master-1-1.6789.cn-hangzhou.emr.aliyuncs.com:9000/