03-26 05:22 阅读 371

CDH 6.2.1 集成 freeipa

1.环境（希望大数据工作者纠正评论一起学习进步）

CDH 安装完毕 freeipa安装完毕  hosts都做了解析，CDH机器所在的dns解析都要修改为freeipa为第一个  CDH节点的dns第一个 需要是freeipa的地址 否则freeipa集成失败

2.CDH节点安装kerberos客户端

yum -y install ipa-client
ipa-client-install --domain=baidu.com --no-ntp --realm=BAIDU.COM -mkhomedir

3.查看freeipa节点

4.krb5.conf

还要添加此行

renew_lifetime = 7d

5.freeipa添加用户(添加cloudera-scm用于CDH的大数据认证)

6.生成cloudera-scm用户的keytab(在freeipa机器生成准备拷贝到CDH的master节点需要用)

7.CDH master节点

###需要将第6步骤 生成的 cloudera-scm.keytab 放在当前目录 (/opt/cloudera/freeipa)mkdir   -p  /opt/cloudera/freeipacd  /opt/cloudera/freeipa
vim  getkeytabs.sh#set -eset -x
 
CMKEYTAB="/opt/cloudera/freeipa/cloudera-scm.keytab"CMUSER="cloudera-scm"REALM="BAIDU.COM"IPASERVER="www.baidu.com"
 DEST="$1"FULLPRINC="$2"
 # Passwd based kinit#echo PASSWORD | kinit $CMUSER@$REALM
 # Or per keytab (keytab needs to be generated before)kinit -k -t $CMKEYTAB $CMUSER@$REALM
 PRINC=$( echo $FULLPRINC | sed "s/\@$( echo $REALM )//" )
 echo $PRINC
 echo Retrieving keytab for $FULLPRINC for $DEST
 echo Checking for existing service principleif ipa service-find $FULLPRINC; then
        echo Service principle foundelse
        echo Service principle not created, creating
        ipa service-add $FULLPRINC --pac-type=NONEfi
 echo Ensuring service allows
ipa service-allow-create-keytab --users=$CMUSER $FULLPRINCipa service-allow-retrieve-keytab --users=$CMUSER $FULLPRINC
 if ipa service-show $FULLPRINC | grep 'Keytab' | grep 'False'; then
        echo Creating keytab for $FULLPRINC for $DEST
        ipa-getkeytab -s $IPASERVER -p $PRINC -k $DEST -e rc4-hmac,aes256-cts,aes128-ctselse
        echo Retrieving keytab for $FULLPRINC for $DEST
        ipa-getkeytab -r -s $IPASERVER -p $PRINC -k $DESTfi
 chmod 600 $DEST
 kdestroy 
exit 0;