使用带有 kerberos 密钥表的 jdbc 访问 hive 元存储答案

【问题标题】：Accessing hive metastore using jdbc with kerberos keytab使用带有 kerberos 密钥表的 jdbc 访问 hive 元存储
【发布时间】：2014-02-17 23:13:25
【问题描述】：

我正在尝试连接到已配置为使用 Kerberos 进行身份验证的配置单元元存储。当我不尝试使用 keytab 文件时，这对我有用，即当程序在身份验证过程中提示我输入密码时。当我更改配置以使用 keytab 时，我得到一个很长的堆栈跟踪，其中包含以下语句：

Additional pre-authentication required (25) - Need to use PA-ENC-TIMESTAMP/PA-PK-AS-REQ

任何人都可以就我做错了什么提供任何建议吗？

如果相关的话，我的问题的上下文是我想从 mapreduce 作业访问 hive 元存储，当然，mapreduce 作业无法响应提示。

我的程序如下所示：

package com.test;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.Statement;

public class HiveJDBC {

   public static void main(String[] args) throws Exception {

      Class.forName("org.apache.hive.jdbc.HiveDriver");
      System.setProperty("java.security.auth.login.config","gss-jaas.conf");
      System.setProperty("sun.security.jgss.debug","true");
      System.setProperty("javax.security.auth.useSubjectCredsOnly","false");
      System.setProperty("java.security.krb5.conf","krb5.conf");

      Connection con = DriverManager.getConnection("jdbc:hive2://some.machine:10000/default;principal=hive/some.machine@MY_REALM");

      // Do stuff with the connection
   }
}

我的 gss-jaas.conf 文件如下所示：

com.sun.security.jgss.initiate {
   com.sun.security.auth.module.Krb5LoginModule required
   useKeyTab=true
   useTicketCache=false
   principal="my-account@MY_REALM"
   doNotPrompt=true
   keyTab="path-to-my-keytab-file"
   debug=true;
};

我的 krb5.conf 文件如下所示

[libdefaults]
default_realm = MY_REALM
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
renew_lifetime = 7d

[realms]     
 MY_REALM = {
  kdc = some.host:88
  admin_server = another.host
 }

我使用以下命令使用 ktutil 程序生成的 keytab 文件

ktutil: addent -password -p username@MY_REALM -k 1 -e aes256-cts

【问题讨论】：

实际上这篇文章是我开始使用 Hive 和 Kerberos 时能找到的最好的“快速入门”指南之一。感谢分享示例配置...

标签： jdbc hadoop hive kerberos

【解决方案1】：

显然，这个错误是由于在发出 ktutil 命令时使用了错误的加密类型造成的。切换到正确的加密（我不会提及我们使用的）解决了这个问题。

【讨论】：