메뉴 건너뛰기

Cloudera, BigData, Semantic IoT, Hadoop, NoSQL

Cloudera CDH/CDP 및 Hadoop EcoSystem, Semantic IoT등의 개발/운영 기술을 정리합니다. gooper@gooper.com로 문의 주세요.


서버작업등으로 Hadoop Cluster를 재기동하면 각 서비스를 올릴때 Kerberos가 설정된 상태에서 java.io.IOException: Could not configure server becase SASL configuration did not allow the Zookeeper server to authenticate itself properly: javax.security.auth.login.LoginException: Checksum failed가 발생하면 CM->Zookeeper->Instances->대상 instance를 선택후 "Actions for Seleced"탭에서 Regenerate Keytab을 눌러서 zookeeper.keytab을 재생성하고 다시 기동하면 정상적으로 기동된다.(다른 서비스들도 각각에 맞게 동일한 메뉴에서 keytab을 재생성할 수 있는 기능을 제공함)

(서비스(예, zookeeper/host_FQDN/Realm)용 principal들은 클라우레라가 서비스를 기동할때 만들어서 제공하므로 물리적인 위치에 파일로 존재하지 않으며 파일로 저장할 필요가 없다.)

그리고 Cloudera Manager에서 관리하고 있는 서비스 principal목록은 CM->Administration->Security->Kerberos Credentials에서 확인할 수 있다.


*참고 : Kerberos

- 설치 위치 : /var/kerberos/krb5, /var/kerberos/krb5kdc

- 데몬 : /usr/sbin/krb5kdc -P /var/run/krb5kdc.pid, /usr/sbin/kadmind -P /var/run/kadmind.pid 형태로 데몬이 뜬다.

- 관리명령어 : systemctl status krb5kdc, systemctl status kadmin


- 목록확인 

  sudo kadmin.local로 접근후 아래의 명령을 수행한다.

  listprincs


*참고2 : java의 jre/lib/security/jaas.conf파일내용

Server {

 com.sun.security.auth.module.Krb5LoginModule required

useKeyTab=true

keyTab="zookeeper.keytab"

storeKey=true

useTicketCache=false

principal="zookeeper/nod01.gooper.com@GOOPER.COM

};


*참고3 : /var/kerberos/krb5kdc/kdc.conf

[kdcdefaults]

  kdc_ports = 88

  kdc_tcp_ports = 88

[realms]

  GOOPER.COM = {

   acl_file = /var/kerberos/krb5kdc/kadm5.acl

   dict_file = /usr/share/dict/words

   admin_keytab = /var/kerberos/kerb5kdc/kadm5.keytab

   supported_enctypes = aes256-cts:normal aes128-cts:normal arcfour-hmac:normal

   max_renewable_life = 7d

   udp_preference_limit = 1

}


*참고4 : vi /etc/krb5.conf

[logging]

    default = FILE:/var/log/krb5lib.log

    kdc = FILE:/var/log/krb5kdc.log

    admin_server = FILE:/var/log/kadmin.log


[libdefaults]

    default_realm = GOOPER COM

    dns_lookup_realm = false

    dns_lookup_kdc = false

    ticket_lifetime = 24h

    renew_lifetime = 7d

    forwardable = true

    udp_preference_limit = 1

    default_tkt_enctypes = des-cbc-md5 des-cbc-crc des3-cbc-sha1

    default_tgs_enctypes = des-cbc-md5 des-cbc-crc des3-cbc-sha1

    permitted_enctypes = des-cbc-md5 des-cbc-crc des3-cbc-sha1


[kdc]

    profile = /var/kerberos/krb5kdc/kdc.conf

[realms]

    GOOPER.COM = {

        kdc = node01.gooper.com:88

        kdc = node02.gooper.com:88

        admin_server = node01.gooper.com:749

    }

    DEV.GOOPER.COM = {

        kdc = node01.dev.gooper.com:88

        kdc = node02.dev.gooper.com:88

        admin_server = node01.dev.gooper.com:749

    }


[domain_realm]

   .gooper.com = GOOPER.COM

    goopercom = GOOPER.COM

   .dev.gooper.com = DEV.GOOPER.COM

    dev.goopercom = DEV.GOOPER.COM



*참고5 : 서비스별 jaas.conf설정

https://www.cloudera.com/documentation/enterprise/5-14-x/topics/cdh_sg_zookeeper_security.html#prerequisites

 2.3.5.2. Create the JAAS Configuration Files
  1. Create the following JAAS configuration files on the HBase Master, RegionServer, and HBase client host machines.

    These files must be created under the $HBASE_CONF_DIR directory:

    where $HBASE_CONF_DIR is the directory that stores the HBase configuration files, such as /etc/hbase/conf.

    • On your HBase Master host machine, create the hbase-server.jaas file under the /etc/hbase/conf directory and add the following content:

      Server {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=true
      storeKey=true
      useTicketCache=false
      keyTab="/etc/security/keytabs/hbase.service.keytab"
      principal="hbase/$HBase.Master.hostname";
      };                         
    • On each RegionServer host machine, create the regionserver.jaas file under the /etc/hbase/conf directory and add the following content:

      Server {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=true
      storeKey=true
      useTicketCache=false
      keyTab="/etc/security/keytabs/hbase.service.keytab"
      principal="hbase/$RegionServer.hostname";
      };                     
    • On your HBase client machines, create the hbase-client.jaas file under the /etc/hbase/conf directory and add the following content:

      Client {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=false
      useTicketCache=true;
      };                   

  2. Create the following JAAS configuration files on the ZooKeeper Server and client host machines.

    These files must be created under the $ZOOKEEPER_CONF_DIR directory:

    where $ZOOKEEPER_CONF_DIR is the directory that stores the HBase configuration files, such as /etc/zookeeper/conf.

    • On the ZooKeeper server host machines, create the zookeeper-server.jaas file under the /etc/zookeeper/conf directory and add the following content:

      Server {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=true
      storeKey=true
      useTicketCache=false
      keyTab="/etc/security/keytabs/zookeeper.service.keytab"
      principal="zookeeper/$ZooKeeper.Server.hostname";
      };                         
    • On each ZooKeeper client host machine, create the zookeeper-client.jaas file under the /etc/zookeeper/conf directory and add the following content:

      Client {
      com.sun.security.auth.module.Krb5LoginModule required
      useKeyTab=false
      useTicketCache=true;
      };                 

  3. Edit the hbase-env.sh file on your HBase server to add the following information:

    export HBASE_OPTS ="-Djava.security.auth.login.config=$HBASE_CONF_DIR/hbase-client.jaas"
    export HBASE_MASTER_OPTS ="-Djava.security.auth.login.config=$HBASE_CONF_DIR/hbase-server.jaas"
    export HBASE_REGIONSERVER_OPTS="-Djava.security.auth.login.config=$HBASE_CONF_DIR/regionserver.jaas"

    where HBASE_CONF_DIR is the HBase configuration directory. For example, /etc/hbase/conf.

  4. Edit the zoo.cfg file on your ZooKeeper server to add the following information:

    authProvider.1=org.apache.zookeeper.server.auth.SASLAuthenticationProvider
    jaasLoginRenew=3600000
    kerberos.removeHostFromPrincipal=true
    kerberos.removeRealmFromPrincipal=true     
  5. Edit the zookeeper-env.sh file on your ZooKeeper server to add the following information:

    export SERVER_JVMFLAGS ="-Djava.security.auth.login.config=$ZOOKEEPER_CONF_DIR/zookeeper-server.jaas"
    export CLIENT_JVMFLAGS ="-Djava.security.auth.login.config=$ZOOKEEPER_CONF_DIR/zookeeper-client.jaas"

    where $ZOOKEEPER_CONF_DIR is the ZooKeeper configuration directory. For example, /etc/zookeeper/conf.

번호 제목 날짜 조회 수
670 "bad handshake: Error([('SSL routines', 'ssl3_get_server_certificate', 'certificate verify failed')])" 오류는 CA인증을 하지 못해서 발생함 2022.05.13 3991
669 [TLS/SSL]Kudu Tablet Server설정 2022.05.13 4208
668 [TLS/SSL]Kudu Master 설정하기 2022.05.13 4291
667 [TLS/SSL]Cloudera 6.3.4기준 Oozie Web UI TLS설정 항목및 설정값 2022.05.13 4195
666 [TLS/SSL]Cloudera CDH6.3.4기준 Hue TLS설정 항목 2022.05.13 4656
665 [HIVESERVER2]프로세스의 thread및 stack trace를 덤프하는 방법(pstack, jstack) 2022.05.11 4069
664 [Hue]Hue의 메타정보를 담고 있는 desktop_document테이블과 desktop_document2의 관계 2022.05.09 4529
663 Error: IO_ERROR : java.io.IOException: Error while connecting Oozie server 2022.05.02 4618
662 oozie webui접근시 id/pw를 물어보는 Windows보안 팝업창이 뜰때 확인/조치방법 2022.05.02 4588
661 [개발] 온라인 IDE - 개발 환경 구축 없어 어디서나 웹브라우저로 개발하기 2022.05.02 4105
660 [bitbucket] 2022년 3월 2일 부터 git 작업시 기존에 사용하던 비빌번호를 사용할 수 없도록 변경되었다. 2022.04.30 4241
659 주문히스토리 조회 2022.04.30 2617
658 주문 생성 데이터 예시 2022.04.30 2329
657 restaurant-controller,에서 등록 예시 2022.04.30 2124
656 Could not authenticate, GSSException: No valid credentials provided (Mechanism level: Failed to find any kerberos tgt) 2022.04.28 4256
655 [oracle]10자리 timestamp값을 날짜로 변환하는 방법 2022.04.14 2164
654 [hive] hive.tbls테이블의 owner컬럼값은 hadoop.security.auth_to_local에 의해서 filtering된다. 2022.04.14 3250
653 collection생성혹은 collection조회시 Plugin init failure for [schema.xml] fieldType "pdate": Error loading class 'solr.IntField' 오류 조치사항 2022.04.07 3441
652 hue메타 정보를 저장(oracle DB)하는 내부 테이블을 이용하여 전체 테이블목록, 전체 코디네이터 목록, 코디네이터기준 workflow구조를 추출하는 쿼리문 2022.04.01 3153
651 HDFS에서 quota 설정 방법및 확인 방법 2022.03.30 4107
위로