文章目录
Kerberos概述
什么是Kerberos
Kerberos是一种计算机网络认证协议，用来在非安全网络中，对个人通信以安全的手段进行身份认证。这个词又指麻省理工学院为这个协议开发的一套计算机软件。软件设计上采用客户端/服务器结构，并且能够进行相互认证，即客户端和服务器端均可对对方进行身份认证。可以用于防止窃听、防止重放攻击、保护数据完整性等场合，是一种应用对称密钥*进行密钥管理的系统。
Kerberos术语
Kerberos中有以下一些概念需要了解：
1）KDC（Key Distribute Center）：密钥分发中心，负责存储用户信息，管理发放票据。
2）Realm：Kerberos所管理的一个领域或范围，称之为一个Realm。
3）Rrincipal：Kerberos所管理的一个用户或者一个服务，可以理解为Kerberos中保存的一个账号，其格式通常如下：primary/instance@realm
4）keytab：Kerberos中的用户认证，可通过密码或者密钥文件证明身份，keytab指密钥文件。
Kerberos认证原理
Kerberos安装
安装Kerberos相关服务
选择集群中的一台主机（hadoop102）作为Kerberos服务端，安装KDC，所有主机都需要部署Kerberos客户端。
服务端主机执行以下安装命令
[root@hadoop102 ~]# yum install -y krb5-server
客户端主机执行以下安装命令
[root@hadoop102 ~]# yum install -y krb5-workstation krb5-libs
[root@hadoop103 ~]# yum install -y krb5-workstation krb5-libs
[root@hadoop104 ~]# yum install -y krb5-workstation krb5-libs
修改配置文件
1，服务端主机（hadoop102）
修改/var/kerberos/krb5kdc/kdc.conf文件，内容如下
[root@hadoop102 ~]# vim /var/kerberos/krb5kdc/kdc.conf
修改如下内容（可不做修改）
[kdcdefaults]
kdc_ports = 88
kdc_tcp_ports = 88
[realms]
EXAMPLE.COM = {
#master_key_type = aes256-cts
acl_file = /var/kerberos/krb5kdc/kadm5.acl
dict_file = /usr/share/dict/words
admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
}
2，客户端主机（所有主机）
修改/etc/krb5.conf文件（修改后记得分发）
[root@hadoop102 ~]# vim /etc/krb5.conf
[root@hadoop103 ~]# vim /etc/krb5.conf
[root@hadoop104 ~]# vim /etc/krb5.conf
内容如下
# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
default_realm = EXAMPLE.COM
#default_ccache_name = KEYRING:persistent:%{uid}
[realms]
EXAMPLE.COM = {
kdc = hadoop102
admin_server = hadoop102
}
[domain_realm]
# .example.com = EXAMPLE.COM
# example.com = EXAMPLE.COM
初始化KDC数据库
在服务端主机（hadoop102）执行以下命令，并根据提示输入密码。
用户名和密码均为admin （小写）
[root@hadoop102 ~]# kdb5_util create -s
修改管理员权限配置文件
在服务端主机（hadoop102）修改/var/kerberos/krb5kdc/kadm5.acl文件，内容如下
*/admin@EXAMPLE.COM *
启动Kerberos相关服务
在主节点（hadoop102）启动KDC，并配置开机自启 （关闭用stop 和 disable ）
[root@hadoop102 ~]# systemctl start krb5kdc
[root@hadoop102 ~]# systemctl enable krb5kdc
在主节点（hadoop102）启动Kadmin，该服务为KDC数据库访问入口
[root@hadoop102 ~]# systemctl start kadmin
[root@hadoop102 ~]# systemctl enable kadmin
创建Kerberos管理员用户
在KDC所在主机（hadoop102），执行以下命令，并按照提示输入密码
[root@hadoop102 ~]# kadmin.local -q "addprinc admin/admin"
用户名和密码均为admin （小写）
Kerberos使用概述
Kerberos数据库操作
1，登录数据库
1）本地登录（无需认证）
[root@hadoop102 ~]# kadmin.local
Authenticating as principal root/admin@EXAMPLE.COM with password.
kadmin.local:
2）远程登录（需进行主体认证，认证操作见下文）
[root@hadoop102 ~]# kadmin
Authenticating as principal admin/admin@EXAMPLE.COM with password.
Password for admin/admin@EXAMPLE.COM:
kadmin:
退出输入：exit
2，创建Kerberos主体
登录数据库，输入以下命令，并按照提示输入密码
kadmin.local: addprinc test
也可通过以下shell命令直接创建主体
[root@hadoop102 ~]# kadmin.local -q"addprinc test"
3，修改主体密码
kadmin.local :cpw test
4.查看所有主体
kadmin.local: list_principals
K/M@EXAMPLE.COM
admin/admin@EXAMPLE.COM
kadmin/admin@EXAMPLE.COM
kadmin/changepw@EXAMPLE.COM
kadmin/hadoop105@EXAMPLE.COM
kiprop/hadoop105@EXAMPLE.COM
krbtgt/EXAMPLE.COM@EXAMPLE.COM
Kerberos认证操作
1，密码认证
1）使用kinit进行主体认证，并按照提示输入密码 （admin）
[root@hadoop102 ~]# kinit test
Password for test@EXAMPLE.COM:
2）查看认证凭证
[root@hadoop102 ~]# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: test@EXAMPLE.COM
Valid starting Expires Service principal
2022-01-31T14:19:32 2022-02-01T14:19:32 krbtgt/EXAMPLE.COM@EXAMPLE.COM
2，密钥文件认证
1）生成主体test的keytab文件到指定目录/root/test.keytab
[root@hadoop102 ~]# kadmin.local -q "xst -norandkey -k /root/test.keytab test@EXAMPLE.COM"
注：-norandkey的作用是声明不随机生成密码，若不加该参数，会导致之前的密码失效。
2）使用keytab进行认证
[root@hadoop102 ~]# kinit -kt /root/test.keytab test
3）查看认证凭证
[root@hadoop102 ~]# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: test@EXAMPLE.COM
Valid starting Expires Service principal
2022-01-31T14:21:33 2022-02-01T14:21:33 krbtgt/EXAMPLE.COM@EXAMPLE.COM
3，销毁凭证
[root@hadoop102 ~]# kdestroy
[root@hadoop102 ~]# klist
klist: No credentials cache found (ticket cache FILE:/tmp/krb5cc_0)
4，恢复凭证的时候再使用keytab进行认证即可！