IT明哥

V1

2022/09/27阅读:25主题:草原绿

开启kerberos后如何访问HDFS/YARN/HIVESERVER2 等服务的webui

CDH/CDP中开启kerberos后如何访问HDFS/YARN/HIVESERVER2 等服务的webui

在CDH/CDP等大数据平台中,当开启kerberos安全后,如何访问HDFS/YARN/HIVESERVER2 等服务的webui呢?一起看下相关知识。

问题现象

在CDH/CDP等大数据平台中,当开启kerberos安全后,一些常见服务如 HDFS/YARN/HIVESERVER2 的webui, 无法访问,通过chrome浏览器访问时,报错 HTTP ERROR 403,Problem accessing xxx. Reason: java.lang.IllegalArgumentException。截图如下:

问题原因

大数据集群开启kerberos安全认证后,基于http协议访问常见服务如 hdfs/yarn/hiveserver2 等的webui时,这些服务在服务端大都有专门的参数可以控制是否使用启用 spnego(基于kerberos) 认证,当启用了 spnego 安全认证而客户端浏览器获取不到有效的 kerberos ticket 时,就会报上述错误。

查看服务端配置,发现服务开启了 "Enable Kerberos Authentication for HTTP Web-Consoles", 截图如下:

通过查看后台日志,也能确认是用户认证问题;同时在客户端浏览器没有获取到有效的kerberos ticket 时,通过firefox浏览器访问目标链接,其报错提示信息更加明确地指出了需要认证:

注意:当开启了yarn的”Enable Kerberos Authentication for HTTP Web-Consoles“,而没有开启hdfs的”Enable Kerberos Authentication for HTTP Web-Consoles“时,访问yarn web ui 的报错略有不同:

问题解决

解决方式1

可以关掉 Enable Kerberos Authentication for HTTP Web-Consoles (Secure Web UI for this service is disabled even though Kerberos is enabled.), 如下图所示:(hdfs/yarn都有该选项;hive 需要通过配置高级参数 hive.server2.webui.use.spnego 实现))

解决方式2

当然也可以安装kerberos windows客户端,并配置firefox浏览器使用本地的kerberos ticket后,当在kerberos windows客户端或命令行使用用户名密码通过kerberos认证获取kerberos ticket后,firefox浏览器就可以正常访问webui了(chrome浏览器中 kerberos 相关配置比较复杂,建议使用firefox浏览器)。

在windows上安装配置kerberos 客户端并配置firefox浏览器以访问开启spnego安全认证的hdfs/yarn/hive webui

安装Kerberos客户端

MIT官网下载并安装:

配置Kerberos客户端

将Kerberos KDC服务端的配置文件/etc/krb5.conf中的内容拷贝到windows上kerberos客户端文件 krb5.ini 中,该文件路径如下:C:\ProgramData\MIT\Kerberos5\krb5.ini

配置windows的hosts文件

配置windows的hosts文件,该文件路径如下:C:\Windows\System32\drivers\etc\hosts

调整PATH环境变量

由于Kerberos客户端和OracleJDK都包含 kerberos 的 klist/kinit等命令工具,为确保后续命令行使用的是Kerberos客户端的klist/kinit,需要配置PATH环境变量将 Kerberos 目录调整靠前,如下图所示:

调整PATH环境变量前后,命令行klist命令的输出结果不同,如下所示:

配置firefox浏览器

由于chrome浏览器中 kerberos 相关配置比较复杂,建议配置使用firefox浏览器。 打开firefox浏览器,在地址栏输入about:config,然后搜索并配置如下两个参数: network.auth.use-sspi:将值改为false; network.negotiate-auth.trusted-uris:将值为集群节点ip或主机名;

获取kerberos ticketb并访问开启spnego认证的hdfs/yarn/hive webui

可以在kerberos windows客户端中通过用户名密码获取获取kerberos ticket,也可以在命令行通过kinit命令获取kerberos ticket。获取到 kerberos ticket后,通过firefox浏览器就可以正常开启spnego认证的hdfs/yarn/hivewebui了:

分类:

后端

标签:

大数据

作者介绍

IT明哥
V1