【大数据安全-Kerberos】Kerberos常见问题及解决方案_gss initiate failed(2)

最新推荐文章于 2025-04-06 10:26:17 发布

2301_82243318

最新推荐文章于 2025-04-06 10:26:17 发布

阅读量1.2k

点赞数 14

分类专栏：程序员文章标签：大数据面试学习

本文链接：https://blog.youkuaiyun.com/2301_82243318/article/details/138880347

版权

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上大数据知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化资料的朋友，可以戳这里获取

运行 Cloudera Manager主机检查器以收集有关主机网络和DNS的信息

从Cloudera Manager中，导航到管理>安全性，然后单击导入Kerberos帐户管理器凭据以将管理凭据重新导入到Cloudera Manager中。

GSSException: Defective token detected (Mechanism level: GSSHeader did not find the right tag)

确保主机名解析为与KDC和其他服务通信的服务的IP。查看：错误：访问Oozie WebUI时出现“ HTTP状态401”
至少升级到JDK8的51更新

GSS initiate failed [Caused by GSSException: Failure unspecified at GSS-API level (Mechanism level: Request is a replay (34))]

对每个服务/主机组合使用唯一的Principal。例如，使用myservice/host123.example.com@EXAMPLE.COM，而不是myservice@EXAMPLE.COM。
确保已安装并运行网络时间协议（NTP），以便同步所有主机时钟

请参阅 《 Cloudera Security：对身份验证问题进行故障排除》

GSSException: No valid credentials provided (Mechanism level: Integrity check on decrypted field failed (31) - PROCESS_TGS)]; Host Details : local host is: “myhost61.mycompany.com/10.XX.XX.XXX”; destination host is: “myhost002.mycompany.com”:8020;
…
Caused by: KrbException: Identifier doesn’t match expected value (906)

确认所有主机上的krb5.conf设置都将查找引用到正确的KDC
对于涉及在群集之间进行复制的方案，请对两个领域使用一个KDC，或者在其中一个群集上更改领域名称，然后重新创建所有Principal

2.2.kinit 异常

kinit: KDC cannot fulfill requested option while renewing credentials

已请求续订有效期为零的票证。如果在 kinit 命令中未指定，则生存期将从 krb5.conf 中获取，如果不存在 renew_lifetime，则生存期默认为零。
您的 KDC 上的 krbtgt 服务 Principal 的更新生命周期为0。

kinit: Cannot contact any KDC for realm ‘EXAMPLE.COM’ while getting initial credentials

客户端和KDC之间的网络问题
krb5.conf中的KDC详细信息不正确

KDC: no supported encryption type

在krb5.conf中定义的加密类型（如果部署了由Cloudera Manager集成的Cloudera Manager的Kerberos）不匹配您的KDC提供的加密类型
KDC中配置的Principal的加密类型和krb5.conf中的加密类型不匹配
群集已配置为仅支持128/256位加密，但是尚未为AD中的Principal启用此功能。

注意：

从Cloudera Manager5.4.2开始，默认情况下未完成此操作。