【大数据安全-Kerberos】Kerberos常见问题及解决方案_gss initiate failed

2401_84573531

于 2024-05-15 02:36:41 发布

阅读量1.3k

点赞数 26

分类专栏：程序员文章标签：大数据面试学习

本文链接：https://blog.youkuaiyun.com/2401_84573531/article/details/138880406

版权

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上大数据知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化资料的朋友，可以戳这里获取

javax.security.sasl.SaslException: GSS initiate failed [Caused by GSSException: No valid credentials provided Mechanism level: Failed to find any Kerberos TGT]

确保策略文件存在并且可由当前用户访问。cksum将文件与已知的工作副本进行比较，并在必要时进行替换：

$JAVA_HOME/jre/lib/security/US_export_policy.jar

$JAVA_HOME/jre/lib/security/local_policy.jar

确保为KDC和Principal设置了最大可再生寿命。请参阅知识文章， Impala服务无法以错误开头：“未能找到任何Kerberos tgt”
检查服务的配置，其中包含用户可以模拟其他用户的条目。通常列为proxyusers或类似配置。
升级到CDH 5.3。

注意：请参阅以下知识文章：

HBase Canary测试无法更新导致HBase的Kerberos票证：SASL身份验证失败消息
HiveServer2定期无法使用Sentry运行查询
通过Cloudera Manager为指定用户生成凭证。
以具有执行所需命令权限的用户身份运行kinit
更新JDK。请参阅《Cloudera Security：身份验证问题故障排除》
安装JDK 8版本51或更高版本

javax.security.sasl.SaslException: GSS initiate failed [Caused by GSSException: No valid credentials provided (Mechanism level: Failed to create credential. (63) - No service creds)]

升级JDK：Cross Realm Authentication with Cluster Services Fail with GSS error (63) due to KRB/JDK 6 Bug
切换到TCP通过以下设置在krb5.conf中：udp_preference_limit = 1
确保存在krb5.conf的[domain_realm]节中的任一条目，以将请求的Principal的主机映射到Kerberos领域，或者确保[libdefaults]中的default_realm条目存在且与该Principal匹配

请参阅 《Cloudera Security：身份验证问题故障排除》

org.apache.hadoop.security.authentication.client.AuthenticationException: /GSSException: Failure unspecified at GSS-API level (Mechanism level: Specified version of key is not available (44))

用户或服务正在尝试使用旧的 Kerberos keytab 进行身份验证。
自发布此 keytab 以来，有人重新生成了 Principal，从而使 key 的版本值增加了。如果有人使用 Cloudera Manager 重新生成 key 但不重新启动服务，或者对于尚未分发新 keytab 的手动配置，可能会发生这种情况。
某些服务需要一些密钥，例如 MapReduce / HDFS 需要 HTTP 密钥。如果重新生成了 HDFS 服务密钥，则 HTTP 的版本也会增加，并且更新后的密钥必须同时部署到这两个服务并重新启动。

javax.security.sasl.SaslException: GSS initiate failed [Caused by GSSException: No valid credentials provided (Mechanism level: Receive timed out)]

配置Kerberos客户端配置krb5.conf以使用TCP和/或调查网络问题。请参阅在与KDC通信时强制Kerberos客户端使用TCP

org.apache.hadoop.security.authentication.client.AuthenticationException: GSSException: Failure unspecified at GSS-API level (Mechanism level:Specified version of key is not available (44))