[HADOOP] Kerberos 인증 적용된 하둡 접근하기

하둡에 인증을 넣어 관리할때 커버로스 인증을 사용해서 권한 관리를 할때는 hadoop 명령어를 이용해서 접근할 경우 다음과 같이 오류가 발생된다. 그래서 하둡명령을 날리기전에 kinit 명령을 실행해서 인증을 거친이후 하둡명령을 실행해야 사용이 가능하다.

$ hadoop fs -ls 
ls: failure to login: using ticket cache file: FILE:/tmp/krb5cc_p13321 javax.security.auth.login.LoginException: java.lang.IllegalArgumentException: Illegal principal name foo@BAR.COM: org.apache.hadoop.security.authentication.util.KerberosName$NoMatchingRule: No rules applied to foo@BAR.COM

kinit 명령으로 인증하기

계정이 이미 생성되어있다면, 다음과 같이 kinit 명령에서 유저를 지정하고 로그인 가능하다.

이때 문제는 패스워드를 수동으로 입력해야 하기 때문에, 쉘스크립트로 배치를 만들거나 할때 사용할 수 없는 문제가 있다.

이걸 해결하려면 keytab 파일을 받아서 인증해야 한다.

# ---------------------------
# product 라는 유저가 있다고 가정
# ---------------------------
$ kinit product@MY-DOMAIN.BAR.COM
Password for product@MY-DOMAIN.BAR.COM: <암호입력>

$ hadoop fs -ls 
Found 13 items
drwxrwxrwt   - yarn   hadoop          0 2022-05-04 16:22 /app-logs
drwxr-xr-x   - hdfs   hdfs            0 2022-04-12 13:48 /apps
....

keytab 파일로 인증하기

인증을 위한 keytab 파일을 요청해서 받은후 다음과 같이 해당 keytab 파일과 유저정보를 인자로 줘서 사용자가 암호를 입력하지 않고 인증하는것이 가능하다. 

# ----------------------------------
# keytab 파일기반으로 인증 (패스워드 타이핑 필요없음)
# ----------------------------------
$ kinit -k -t /home1/user/owner/product.keytab product@MY-DOMAIN.BAR.COM
$ hadoop fs -ls 
Found 13 items
drwxrwxrwt   - yarn   hadoop          0 2022-05-04 16:22 /app-logs
drwxr-xr-x   - hdfs   hdfs            0 2022-04-12 13:48 /apps
....

 

krb5.conf 경로 지정해서 실행하기

참고로, 커버로스 인증관련 정보의 디폴트 경로는 /etc/krb5/krb5.conf 파일에 세팅이 되어있어야 한다.

근데, admin 권한이 없어서 해당 파일을 수정을 못하거나 별도의 경로에 관리해서 사용해야 한다면 다음과 같이 KRB5_CONFIG 값을 세팅해서 kinit 명령을 실행하면 된다.

# ----------------------------------
# 사용자가 krb5.conf 경로를 지정해서 실행할때
# ----------------------------------
$ env KRB5_CONFIG=/home1/user/owner/krb5.conf kinit -k -t /home1/user/owner/product.keytab product@MY-DOMAIN.BAR.COM
$ hadoop fs -ls 
Found 13 items
drwxrwxrwt   - yarn   hadoop          0 2022-05-04 16:22 /app-logs
drwxr-xr-x   - hdfs   hdfs            0 2022-04-12 13:48 /apps
....