UDH安全配置手冊(cè)

1、 大型企業(yè)與組織計(jì)算平臺(tái) UAP操作手冊(cè)大型企業(yè)與組織計(jì)算平臺(tái) UAP操作手冊(cè) UDH安全配置手冊(cè)（V1.0.1）目錄 TOC o 1-3 h z u HYPERLINK l _Toc419991577 1.Kerberos簡(jiǎn)介 PAGEREF _Toc419991577 h 1 HYPERLINK l _Toc419991578 2.UDH啟用安全系統(tǒng) PAGEREF _Toc419991578 h 1 HYPERLINK l _Toc419991579 2.1.安裝Kerberos前準(zhǔn)備 PAGEREF _Toc419991579 h 1 HYPERLINK l _Toc419991580

2、 2.2.安裝Kerberos PAGEREF _Toc419991580 h 2 HYPERLINK l _Toc419991581 2.3.配置安全 PAGEREF _Toc419991581 h 2 HYPERLINK l _Toc419991582 2.3.1.啟用安全 PAGEREF _Toc419991582 h 3 HYPERLINK l _Toc419991583 2.3.2.創(chuàng)建Principals和Keytabs PAGEREF _Toc419991583 h 3 HYPERLINK l _Toc419991584 2.3.3.應(yīng)用安全 PAGEREF _Toc419991

3、584 h 4 HYPERLINK l _Toc419991585 2.4.服務(wù)檢測(cè) PAGEREF _Toc419991585 h 4 HYPERLINK l _Toc419991586 2.4.1.運(yùn)行服務(wù)檢測(cè) PAGEREF _Toc419991586 h 5 HYPERLINK l _Toc419991587 2.4.2.HTTP Spnego 檢測(cè) PAGEREF _Toc419991587 h 5 HYPERLINK l _Toc419991588 3.UDH禁用安全系統(tǒng) PAGEREF _Toc419991588 h 5Kerberos簡(jiǎn)介“Kerberos 是一種在不可信網(wǎng)絡(luò)上

4、對(duì)可信任主機(jī)之間的認(rèn)證協(xié)議”，即在開(kāi)放、不安全的網(wǎng)絡(luò)上，主機(jī)之間的通信可能被攔截，Kerberos協(xié)議用于在這樣的網(wǎng)絡(luò)上提供可靠的認(rèn)證服務(wù)。但如果使用的計(jì)算機(jī)很容易受到攻擊，Kerberos則無(wú)法提供任何保證：認(rèn)證服務(wù)器、應(yīng)用服務(wù)器（imap, pop, smtp, telnet, ftp, ssh , AFS, lpr, .）、客戶端必須保持密碼的周期性更新，以保證請(qǐng)求服務(wù)的用戶和服務(wù)提供者之間的正確認(rèn)證。例如，如果某人獲取了一臺(tái)機(jī)器的特許訪問(wèn)權(quán)限，可以復(fù)制包含密鑰的文件，則Kerberos的認(rèn)證策略就失去用途了。侵入者可以復(fù)制密鑰文件到另一臺(tái)機(jī)器上，設(shè)置相同的DNS和IP，認(rèn)證服務(wù)器會(huì)認(rèn)為

5、它就是真正的客戶端。UDH啟用安全系統(tǒng)安裝Kerberos前準(zhǔn)備在UDH環(huán)境下安裝Kerberos需要注意：NameNode與DataNode分開(kāi)安裝SNameNode與DataNode分開(kāi)安裝NameNode與SNameNode分開(kāi)安裝ResouceManager與NodeManager分開(kāi)安裝即上述各條中的組件不能同時(shí)安裝在一個(gè)節(jié)點(diǎn)上（NameNode可與ResouceManager安裝于同一節(jié)點(diǎn)），否則容易造成啟用安全后，服務(wù)無(wú)法啟動(dòng)。安裝配置好UDH后，若需要啟用安全系統(tǒng)，需要經(jīng)歷以下三個(gè)步驟：安裝kerberos，配置UDH安全，運(yùn)行服務(wù)檢測(cè)。安裝KerberosUDH提供Kerbe

6、ros的自動(dòng)安裝腳本：kerberos_install.sh。該腳本在執(zhí)行的服務(wù)器上安裝KDC，即krb5-server。在腳本路徑下執(zhí)行：#bash ./kerberos_install.sh 將出現(xiàn)以下提示信息：Pleaseuseuppercaseenterdefault_realmeg:YONYOU.COM: YONYOU.COMPleaseenterkadminspasswd:Pleaseconfirmthescriptexecuteonudhmanager-server?Y/N: 安裝過(guò)程中按提示輸入即可。這里，腳本支持KDC兩種安裝方式：UDH Manager機(jī)器上部署即在安裝UD

7、H的集群內(nèi)的一臺(tái)機(jī)器上執(zhí)行kerberos_install.sh腳本，并在Pleaseconfirmthescriptexecuteonudhmanager-server?Y/N:步驟選擇Y，說(shuō)明將在安裝UDH的集群中部署kerberos，部署范圍涉及整個(gè)集群。UDH集群外獨(dú)立機(jī)器上部署即在安裝UDH的集群外的一臺(tái)機(jī)器上執(zhí)行kerberos_install.sh腳本，并在Pleaseconfirmthescriptexecuteonudhmanager-server?Y/N:步驟選擇N，說(shuō)明將在UDH集群外機(jī)器上安裝KDC，在UDH集群內(nèi)的機(jī)器上安裝client, 部署范圍涉及執(zhí)行腳本的服務(wù)器

8、中/etc/hosts下的所有域內(nèi)機(jī)器（）。配置安全安裝配置好Kerberos后，在管理菜單里選擇“安全”，點(diǎn)擊“啟用安全系統(tǒng)”。啟用安全指定Kerberos的Realm域：本例中設(shè)置為YONYOU.COM；2、（可選）修改各服務(wù)的Principal名稱及Keytab文件的存儲(chǔ)位置，建議保持原值；創(chuàng)建Principals和Keytabs導(dǎo)出用于生成Principal及Keytab的CSV文件，上傳到KDC所在的服務(wù)器。因?yàn)镵DC要生成Keytab文件，并分發(fā)到各客戶端，也就是Hadoop集群里的每一臺(tái)機(jī)器上，所以要保證KDC可以無(wú)密碼訪問(wèn)這些客戶端。在UDH中，我們的策略是將KDC部署在集群的

9、主節(jié)點(diǎn)（master）上面，這樣就可以方便的生成Principal并將相應(yīng)的Keytab文件分發(fā)送到各從節(jié)點(diǎn)。同時(shí)，啟用了安全認(rèn)證的集群里每個(gè)服務(wù)都需要進(jìn)行安全配置，所以我們統(tǒng)一生成配置文件，并在下面的步驟里重啟整個(gè)集群。在CSV上傳到KDC（UDH主節(jié)點(diǎn)）之后，執(zhí)行以下命令，系統(tǒng)將生成所有的Principal及Keytab文件，并分發(fā)到相應(yīng)的Kerberos客戶端上。其中，各客戶端上Keytab文件存放的路徑與步驟1中配置服務(wù)頁(yè)面中的Keytab文件路徑一致。/var/lib/ambari-server/resources/scripts/kerberos-setup.sh /root/to

10、ols/host-principal-keytab-list.csv /root/.ssh/其中參數(shù) host-principal-keytab-list.csv是我們導(dǎo)出的CSV文件，參數(shù) /root/.ssh/是SSH目錄，系統(tǒng)要讀取該目錄下的密鑰。注意，必須先下載CSV，生成Principal及Keytab文件之后，才可以點(diǎn)擊應(yīng)用按鈕，否則系統(tǒng)將無(wú)法啟動(dòng)！應(yīng)用安全點(diǎn)擊頁(yè)面的應(yīng)用按鈕，系統(tǒng)將停止所有服務(wù)，并在應(yīng)用所有服務(wù)的安全配置后，重新啟動(dòng)所有服務(wù)，集群進(jìn)入安全系統(tǒng)運(yùn)行模式。這個(gè)過(guò)程可能用時(shí)較長(zhǎng)，通常要十幾分鐘或更長(zhǎng)時(shí)間，請(qǐng)耐心等待，不要在部署過(guò)程中點(diǎn)擊確定（或者是同意）按鈕。服務(wù)檢測(cè)啟

11、用安全后，在各服務(wù)的“配置”界面中，非perties的“自定義配置文件”下，都顯示了該服務(wù)安全相關(guān)的配置項(xiàng)，可進(jìn)行查看。運(yùn)行服務(wù)檢測(cè)各服務(wù)界面右上角處有“服務(wù)操作”按鈕，點(diǎn)擊下拉菜單中的“運(yùn)行服務(wù)檢測(cè)”可執(zhí)行該服務(wù)的安全驗(yàn)證腳本，運(yùn)行成功意味著該服務(wù)在安全模式下可正常運(yùn)行。HTTP Spnego 檢測(cè)基本上需要網(wǎng)頁(yè)訪問(wèn)的服務(wù)都需要進(jìn)行HTTP Spnego驗(yàn)證1、各節(jié)點(diǎn)執(zhí)行kinit(使用具體的主機(jī)名和域名替代hostnameREALM):kinit k t /etc/security/keytabs/spnego.service.keytab HTTP/hostnameREALM2、安裝VN

12、Cyum install tigervncyum install tigervnc-servervncserver :18下載VNC Viewer并安裝。打開(kāi) VNC Viewer，安裝Firefox，輸入：yum install firefox在VNC Viewer中打開(kāi)Firefox，進(jìn)行如下配置：在地址欄輸入about:config，回車；在過(guò)濾器內(nèi)輸入過(guò)濾條件network.negotiate-auth.trusted-uris；雙擊條目，在輸入框內(nèi)輸入要訪問(wèn)的主機(jī)列表，主機(jī)之間以逗號(hào)分隔, , , hostname 4.打開(kāi)HDFS頁(yè)面，例如：http:/ :50070如果提示需要進(jìn)行HTTP認(rèn)證，在dev1上執(zhí)行如下命令：kinit -k -t /etc/security/keytabs/spnego.service.keytab HYPERLINK mailto:HTTP/%20YONYOU.COM HTTP/ YONYOU.COM注意：測(cè)試過(guò)程中需要針對(duì)不同的服務(wù)設(shè)置用戶:如HDFS需要：kinit -k -t /etc/security/keytabs/hdfs.headless.keytab HYPER