메뉴 건너뛰기

Bigdata, Semantic IoT, Hadoop, NoSQL

Bigdata, Hadoop ecosystem, Semantic IoT등의 프로젝트를 진행중에 습득한 내용을 정리하는 곳입니다.
필요한 분을 위해서 공개하고 있습니다. 문의사항은 gooper@gooper.com로 메일을 보내주세요.


서버작업등으로 Hadoop Cluster를 재기동하면 각 서비스를 올릴때 Kerberos가 설정된 상태에서 java.io.IOException: Could not configure server becase SASL configuration did not allow the Zookeeper server to authenticate itself properly: javax.security.auth.login.LoginException: Checksum failed가 발생하면 CM->Zookeeper->Instances->대상 instance를 선택후 "Actions for Seleced"탭에서 Regenerate Keytab을 눌러서 zookeeper.keytab을 재생성하고 다시 기동하면 정상적으로 기동된다.(다른 서비스들도 각각에 맞게 동일한 메뉴에서 keytab을 재생성할 수 있는 기능을 제공함)

(서비스(예, zookeeper/host_FQDN/Realm)용 principal들은 클라우레라가 서비스를 기동할때 만들어서 제공하므로 물리적인 위치에 파일로 존재하지 않으며 파일로 저장할 필요가 없다.)

그리고 Cloudera Manager에서 관리하고 있는 서비스 principal목록은 CM->Administration->Security->Kerberos Credentials에서 확인할 수 있다.


*참고 : Kerberos

- 설치 위치 : /var/kerberos/krb5, /var/kerberos/krb5kdc

- 데몬 : /usr/sbin/krb5kdc -P /var/run/krb5kdc.pid, /usr/sbin/kadmind -P /var/run/kadmind.pid 형태로 데몬이 뜬다.

- 관리명령어 : systemctl status krb5kdc, systemctl status kadmin


- 목록확인 

  sudo kadmin.local로 접근후 아래의 명령을 수행한다.

  listprincs


*참고2 : java의 jre/lib/security/jaas.conf파일내용

Server {

 com.sun.security.auth.module.Krb5LoginModule required

useKeyTab=true

keyTab="zookeeper.keytab"

storeKey=true

useTicketCache=false

principal="zookeeper/nod01.gooper.com@GOOPER.COM

};


*참고3 : /var/kerberos/krb5kdc/kdc.conf

[kdcdefaults]

  kdc_ports = 88

  kdc_tcp_ports = 88

[realms]

  GOOPER.COM = {

   acl_file = /var/kerberos/krb5kdc/kadm5.acl

   dict_file = /usr/share/dict/words

   admin_keytab = /var/kerberos/kerb5kdc/kadm5.keytab

   supported_enctypes = aes256-cts:normal aes128-cts:normal arcfour-hmac:normal

   max_renewable_life = 7d

   udp_preference_limit = 1

}


*참고4 : vi /etc/krb5.conf

[logging]

    default = FILE:/var/log/krb5lib.log

    kdc = FILE:/var/log/krb5kdc.log

    admin_server = FILE:/var/log/kadmin.log


[libdefaults]

    default_realm = GOOPER COM

    dns_lookup_realm = false

    dns_lookup_kdc = false

    ticket_lifetime = 24h

    renew_lifetime = 7d

    forwardable = true

    udp_preference_limit = 1

    default_tkt_enctypes = des-cbc-md5 des-cbc-crc des3-cbc-sha1

    default_tgs_enctypes = des-cbc-md5 des-cbc-crc des3-cbc-sha1

    permitted_enctypes = des-cbc-md5 des-cbc-crc des3-cbc-sha1


[kdc]

    profile = /var/kerberos/krb5kdc/kdc.conf

[realms]

    GOOPER.COM = {

        kdc = node01.gooper.com:88

        kdc = node02.gooper.com:88

        admin_server = node01.gooper.com:749

    }

    DEV.GOOPER.COM = {

        kdc = node01.dev.gooper.com:88

        kdc = node02.dev.gooper.com:88

        admin_server = node01.dev.gooper.com:749

    }


[domain_realm]

   .gooper.com = GOOPER.COM

    goopercom = GOOPER.COM

   .dev.gooper.com = DEV.GOOPER.COM

    dev.goopercom = DEV.GOOPER.COM



*참고5 : 서비스별 jaas.conf설정

https://www.cloudera.com/documentation/enterprise/5-14-x/topics/cdh_sg_zookeeper_security.html#prerequisites

 2.3.5.2. Create the JAAS Configuration Files
  1. Create the following JAAS configuration files on the HBase Master, RegionServer, and HBase client host machines.

    These files must be created under the $HBASE_CONF_DIR directory:

    where $HBASE_CONF_DIR is the directory that stores the HBase configuration files, such as /etc/hbase/conf.

    • On your HBase Master host machine, create the hbase-server.jaas file under the /etc/hbase/conf directory and add the following content:

      Server {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=true
      storeKey=true
      useTicketCache=false
      keyTab="/etc/security/keytabs/hbase.service.keytab"
      principal="hbase/$HBase.Master.hostname";
      };                         
    • On each RegionServer host machine, create the regionserver.jaas file under the /etc/hbase/conf directory and add the following content:

      Server {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=true
      storeKey=true
      useTicketCache=false
      keyTab="/etc/security/keytabs/hbase.service.keytab"
      principal="hbase/$RegionServer.hostname";
      };                     
    • On your HBase client machines, create the hbase-client.jaas file under the /etc/hbase/conf directory and add the following content:

      Client {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=false
      useTicketCache=true;
      };                   

  2. Create the following JAAS configuration files on the ZooKeeper Server and client host machines.

    These files must be created under the $ZOOKEEPER_CONF_DIR directory:

    where $ZOOKEEPER_CONF_DIR is the directory that stores the HBase configuration files, such as /etc/zookeeper/conf.

    • On the ZooKeeper server host machines, create the zookeeper-server.jaas file under the /etc/zookeeper/conf directory and add the following content:

      Server {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=true
      storeKey=true
      useTicketCache=false
      keyTab="/etc/security/keytabs/zookeeper.service.keytab"
      principal="zookeeper/$ZooKeeper.Server.hostname";
      };                         
    • On each ZooKeeper client host machine, create the zookeeper-client.jaas file under the /etc/zookeeper/conf directory and add the following content:

      Client {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=false
      useTicketCache=true;
      };                 

  3. Edit the hbase-env.sh file on your HBase server to add the following information:

    export HBASE_OPTS ="-Djava.security.auth.login.config=$HBASE_CONF_DIR/hbase-client.jaas"
    export HBASE_MASTER_OPTS ="-Djava.security.auth.login.config=$HBASE_CONF_DIR/hbase-server.jaas"
    export HBASE_REGIONSERVER_OPTS="-Djava.security.auth.login.config=$HBASE_CONF_DIR/regionserver.jaas"

    where HBASE_CONF_DIR is the HBase configuration directory. For example, /etc/hbase/conf.

  4. Edit the zoo.cfg file on your ZooKeeper server to add the following information:

    authProvider.1=org.apache.zookeeper.server.auth.SASLAuthenticationProvider
    jaasLoginRenew=3600000
    kerberos.removeHostFromPrincipal=true
    kerberos.removeRealmFromPrincipal=true     
  5. Edit the zookeeper-env.sh file on your ZooKeeper server to add the following information:

    export SERVER_JVMFLAGS ="-Djava.security.auth.login.config=$ZOOKEEPER_CONF_DIR/zookeeper-server.jaas"
    export CLIENT_JVMFLAGS ="-Djava.security.auth.login.config=$ZOOKEEPER_CONF_DIR/zookeeper-client.jaas"

    where $ZOOKEEPER_CONF_DIR is the ZooKeeper configuration directory. For example, /etc/zookeeper/conf.

번호 제목 글쓴이 날짜 조회 수
396 [HA구성 이슈]oozie 2대를 L4로 HA구성했을때 발생하는 이슈 gooper 2023.01.17 15
395 [Impala 3.2버젼]compute incremental stats db명.테이블명 수행시 ERROR: AnalysisException: Incremental stats size estimate exceeds 2000.00MB. 오류 발생원인및 조치방안 gooper 2022.11.30 694
394 [oozie]oozie ssh action으로 패스워드 없이 다른 서버에 ssh로그인 하여 shellscript호출하는 설정하는 방법 gooper 2022.11.10 23
393 kudu의 내부 table명 변경하는 방법 gooper 2022.11.10 17
392 kerberos연동된 CDH 6.3.4에서 default realm값이 잘못된 상태에서 서비스 기동시 오류 gooper 2022.10.14 33
391 [impala]쿼리 수행중 발생하는 오류(due to memory pressure: the memory usage of this transaction, Failed to write to server) gooper 2022.10.05 61
390 [Kerberos인증] /var/log/krb5kdc.log파일 기준으로 인증요청(AS), 티켓확인(TGS)이 진행되는 로그 기록 gooper 2022.09.21 36
389 Oracle 12c DB의 LOB타입 컬럼이 있는 테이블을 import할 때 주의 할 사항 gooper 2022.09.14 140
388 [kerberos]Kerberos HA구성 참고 페이지 gooper 2022.08.31 15
387 [CDP7.1.7]Impala Query의 Memory Spilled 양은 ScratchFileUsedBytes값을 누적해서 구할 수 있다. gooper 2022.07.29 28
386 [Kudu]Schema별 혹은 테이블별 사용량(Replica포함) 구하는 방법 gooper 2022.07.14 109
385 [Cloudera 6.3.4, Kudu]]Service Monitor에서 사용하는 metric중에 일부를 blacklist로 설정하여 모니터링 정보 수집 제외하는 방법 gooper 2022.07.08 31
384 small file 한개 파일로 만들기(text file 혹은 parquet file의 테이블) gooper 2022.07.04 72
383 javax.net.ssl.SSLHanshakeException: SSLHandshakeException invoking https://mainCluster.gooper.com:7183/api/v1/users: sun.security.validator.ValidatorException: No trusted certificate found gooper 2022.06.29 169
382 Cloudera Manager의 Java Heap Size변경하는 방법 gooper 2022.06.27 29
381 [Sentry] sentry메타 DB를 이용하여 테이블에 매핑되어 있는 role명칭 찾는 방법. gooper 2022.06.22 16
380 Authorization within Hadoop Projects gooper 2022.06.13 82
379 CDP에서 AD와 Kerberos를 활용하여 인증 환경을 구축하는 3가지 방법 gooper 2022.06.10 407
378 [AD(LADP)] CDP1.7에서 AD및 Kerberos를 연동해도 각 노드에 os account, os group은 생성되어야 하지만 SSSD서비스를 이용하면 직접 생성될 필요가 없다. gooper 2022.06.10 101
377 Query 1234:1234 expired due to client inactivity(timeout is 5m)및 invalid query handle gooper 2022.06.10 80

A personal place to organize information learned during the development of such Hadoop, Hive, Hbase, Semantic IoT, etc.
We are open to the required minutes. Please send inquiries to gooper@gooper.com.

위로