主講：侯磊使用Kerberos保護(hù)Hadoop集群目錄0102映射服務(wù)主體增加Kerberos配置映射服務(wù)主體1映射服務(wù)主體前面我們配置了Kerberos并準(zhǔn)備好使用它來(lái)驗(yàn)證Hadoop用戶(hù)。要使用Kerberos保護(hù)集群，需要將Kerberos信息添加到相關(guān)的Hadoop配置文件中，從而將Kerberos與Hadoop連接。Hadoop配置文件都是我們熟悉的，例如core-site.xml和hdfs-site.xml文件。需要執(zhí)行以下操作來(lái)通過(guò)Kerberos進(jìn)行驗(yàn)證：將服務(wù)主體映射到其操作系統(tǒng)用戶(hù)名。將Kerberos信息添加到Hadoop配置文件中。下面討論如何將服務(wù)主體映射到其操作系統(tǒng)用戶(hù)名，并將Kerberos相關(guān)信息添加到Hadoop配置文件。映射服務(wù)主體Kerberos使用core-site.xml文件中列出的規(guī)則，通過(guò)指定hadoop.security.auth_to_1ocal參數(shù)，將服務(wù)主體映射到操作系統(tǒng)用戶(hù)名。默認(rèn)規(guī)則(名為DEFAULT)將服務(wù)主體的名稱(chēng)轉(zhuǎn)換為它們名字的第一個(gè)組成部分。請(qǐng)記住，服務(wù)主體的名稱(chēng)要么由兩個(gè)組件組成，如sam@EXAMPLE.COM，要么使用三部分字符串，如hdfs/@EXAMPLE.COM。Hadoop將Kerberos主體名稱(chēng)映射到其本地用戶(hù)名。映射服務(wù)主體如果服務(wù)主體名稱(chēng)的第一部分(在本示例中為hdfs)與其用戶(hù)名相同，則無(wú)須創(chuàng)建任何其他規(guī)則，因?yàn)樵谶@種情況下，DEFAULT規(guī)則就足夠了。請(qǐng)注意，還可以通過(guò)在其中配置auth_to_local參數(shù)，將主體映射到krb5.conf文件中的用戶(hù)名。如果服務(wù)主體的名稱(chēng)與其操作系統(tǒng)用戶(hù)名不同，則必須配置hadoop.security.auth_to_local參數(shù)以指定將主體名稱(chēng)轉(zhuǎn)換為操作系統(tǒng)用戶(hù)名稱(chēng)的規(guī)則。如前所述，此參數(shù)的默認(rèn)值為DEFAULT。一個(gè)規(guī)則提供了轉(zhuǎn)換服務(wù)主體名稱(chēng)的機(jī)制，由以下三部分組成。映射服務(wù)主體Base：Base指定服務(wù)主體名稱(chēng)由幾個(gè)部分構(gòu)成，后跟一個(gè)冒號(hào)和用于從服務(wù)主體名稱(chēng)構(gòu)建用戶(hù)名的模式。在模式中，$0表示域，$1表示服務(wù)主體名稱(chēng)中的第一部分，$2表示第二部分。指定格式為[<number>:<string>]，將其應(yīng)用于主體的名稱(chēng)以獲得翻譯后的主體名稱(chēng)，也稱(chēng)為初始本地名稱(chēng)。映射服務(wù)主體Filter：過(guò)濾器(或接受過(guò)濾器)是使用與生成的字符串匹配的正則表達(dá)式的組件，以便應(yīng)用規(guī)則。Substitution：這是一個(gè)類(lèi)sed替換，并使用固定字符串替換被匹配的正則表達(dá)式的命令。規(guī)則的完整規(guī)范是:[<number>:<string>](<正則表達(dá)式>)s/<pattern>/<replacement>/。增加Kerberos配置2增加Kerberos配置為了在Hadoop集群中啟用Kerberos身份驗(yàn)證，必須將K