Kerberos

Kerberos
1. 몇 가지 개념

KDC: 비밀 키 배포 센터

Realm: kerberos 관리의 영역 표지

Principal: 사용자 / 서비스 가 kdc 에 등록 할 때의 신분, 형식 은 주 이름 / 인 스 턴 스 이름 @ 도 메 인 이름

 *    ：      /    
 *    ：      /  ip（host）

2、KDC
Key Distribute Center。

Database（zhangsan/supergroup hdfs/haddop1）

AS: 인증 서버 (인증 서버)

인증 초기 화 및 Ticket Granting Ticket (TGT) 생 성 에 사용

TGS: Ticket Granting Server (어음 인증 서버)

TGT 에 Service Ticket 을 생 성 합 니 다.일반적으로 AS 와 TGS 는 KDC 서버 에 있 습 니 다.
3. 구축

//         
/etc/krb5.conf
/var/kerberos/krb5kdc/kdc.conf
/var/kerberos/krb5kdc/kadm5.acl

배치 하 다.

KDC 설치

yum install krb5-server krb5-libs krb5-workstation -y

노드 마다 클 라 이언 트 배치 (다른 기기 가 KDC 에 접근 하기 편리 함)

yum install krb5-libs krb5-workstation -y
설정 수정
1. 서버 설정

위치: /var/kerberos/krb5kdc/kdc.conf

여러 개의 realms 를 설정 할 수 있 습 니 다. 보통 하나, 대문자

를 설정 하 는 것 을 권장 합 니 다.

support 설정enctype 제거 aes-2560cts:normal, 그렇지 않 으 면 jar 지원 암호 화 알고리즘 을 다운로드 해 야 합 니 다.

max_life=1d (kinit 후 하루 동안 인증 하지 않 고 1d 가 넘 으 면 가 는 인증) max_renewable_life=7d (7d 후 에는 kinit 가 필요 합 니 다)

[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 HADOOP.COM = { #     realms。    。Kerberos        realms，      。     ，            。  realms    host     。
  #master_key_type = aes256-cts
  # supported_enctypes    aes256-cts。  ，JAVA  aes256-cts           jar （      ）。     ，    aes256-cts。
  kadmind_port = 749
  acl_file = /var/kerberos/krb5kdc/kadm5.acl #   admin     ，        。     ：Kerberos_principal permissions [target_principal] [restrictions]       。       */[email protected] *,      */[email protected]     admin，    *。      。
  dict_file = /usr/share/dict/words
  database_name = /var/kerberos/krb5kdc/principal
  key_stash_file =  /var/kerberos/krb5kdc/.k5.HADOOP.COM
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab #KDC       keytab
  max_life = 24h
  max_renewable_life = 10d #        ticket renwe    
  default_principal_flags = +renewable, +forwardable
  supported_enctypes = des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal #       .   aes256-cts  
 }

2. 클 라 이언 트 설정
모든 클 라 이언 트 는 설정 이 필요 합 니 다.

위치: /etc/krb5.conf

# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/
[logging] #[logging]：   server          
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults] #[libdefaults]：         ，              
 default_realm = HADOOP.COM #  Kerberos         。        ，   [realms]        
 dns_lookup_realm = false
 #clockskew = 120 #                        ，            。  ，         300  （5   ）。            ，                  5    。~~
 ticket_lifetime = 24h #         ，   24  
 renew_lifetime = 7d #              ，       。       ，                 
 forwardable = true #          
 rdns = false
 udp_preference_limit = 1 #    udp      Hadoop    

[realms] #     realm
HADOOP.COM = {
  kdc = node1:88 #   kdc   。     :  。           。
  admin_server = node1:749 #  admin   。     :  。           。
  default_domain = HADOOP.COM #       。
 }
[kdc]
 profile=/var/kerberos/krb5kdc/kdc.conf
 //           realm，  realm         
[domain_realm]
#.example.com = EXAMPLE.COM
# example.com = EXAMPLE.COM

3. Kerberos 데이터베이스 만 들 기
kdc 에 설 치 된 기계 에서 실행 kdb5_util create [-r HADOOP.COM] -s 하려 면 비밀 번 호 를 입력 해 야 합 니 다.생 성 된 파일 은 /var/kerberos/krb5kdc 경로 아래 에 있 습 니 다.기본적으로 kerbeos 의 주체 가 생 성 되 었 습 니 다 (principals)
4. 시동

kdc 시작: systemctl start krb5kdc

오픈 시 원 격 로그 인 가능: systemctl start kadmin

자동 작 동 systemctl enable krb5kdc, systemctl enable kadmin

시작 여 부 를 확인 합 니 다: systemctl is-enabled krb5kdc, systemctl is-enabled kadmin

5. 데이터베이스 로그 인 방식 (my sql 로그 인 유사)

kdc 로 컬 로그 인 (사용자 이름 & 비밀번호): kadmin.local

원 격 로그 인 ()

6. kdc 계 정 조작

추가 (기본 도 메 인 은 생략 가능): addprinc hf / hfgrioup [@ HADOOP. COM]

삭제: delprinc hf

7. kerberos 주체 인증 (상호 배척)

사용자 명 + 비밀번호: kinit hf

비밀 키

//     
xst -k /home/username/user.keytab user/ugroup
//   
kinit -kt /home/username/user.keytab user/ugroup

퇴장: quit

CDH kerberos 준비 사용 하기

CDH 를 위 한 관리자 주체 만 들 기

kadmin.local -q "addprinc cloudrea-scm/admin"

관리자 인 스 턴 스 의 모든 주체 에 게 권한 을 부여 합 니 다

vim /var/kerberos/krb5kdc/kadm5.acl

*/[email protected]      *

CDH 의 관제 대 에서 Kerberos 를 엽 니 다.

이 내용에 흥미가 있습니까?

현재 기사가 여러분의 문제를 해결하지 못하는 경우 AI 엔진은 머신러닝 분석(스마트 모델이 방금 만들어져 부정확한 경우가 있을 수 있음)을 통해 가장 유사한 기사를 추천합니다:

spark 의 2: 원리 소개

Google Map/Reduce 를 바탕 으로 이 루어 진 Hadoop 은 개발 자 에 게 map, reduce 원 어 를 제공 하여 병렬 일괄 처리 프로그램 을 매우 간단 하고 아름 답 게 만 들 었 습 니 다.S...

텍스트를 자유롭게 공유하거나 복사할 수 있습니다.하지만 이 문서의 URL은 참조 URL로 남겨 두십시오.

CC BY-SA 2.5, CC BY-SA 3.0 및 CC BY-SA 4.0에 따라 라이센스가 부여됩니다.

Kerberos

좋은 웹페이지 즐겨찾기