反馈已提交

网络繁忙

当前为10.0版本文档,只有最新版本的文档支持在线编辑修改,如果想创建/编辑文档,请移步至 最新版帮助文档

[平台]数据连接Kerberos认证

  • 文档创建者:susie
  • 历史版本:23
  • 最近更新:cherishdqy 于 2020-10-30
  • 1. 概述

    1.1 认证方式简介

    1)Kerberos 认证是 Hadoop 生态的一种通用的认证方式。

    2)配置 Kerberos 认证的方式有两种:

    • 直接使用数据连接配置界面中的 Kerberos 认证:主要用于 Hive、HBase 等驱动的认证连接。

    • 配置 JVM 参数后再进入数据连接配置界面进行认证:主要用于按要求填写数据连接配置界面认证成功,创建连接依然抛错的情况,比如 CDH 的 Impala 等数据库。

    1.2 支持的数据库

    FineReport 在配置指定的数据连接时支持 Kerberos 认证,支持的数据库类型如下:

    • Apache Impala:只能使用下面的方法二连接,不能用方法一

    • Hadoop Hive

    • Spark

    • Transwarp Inceptor(星环)

    • Apache Phoenix

    • HBase

    1.3 数据连接前的准备工作

    1)下载环境上的配置文件 krb5.conf、XXX.keytab、principal 。

    2)principal 为注册过 KDC 的客户端名称。格式通常为:用户名/部门@公司 。

    3) XXX.keytab 为密钥表文件,需要在提供 Kerberos 服务的应用服务器上找到该文件的对应位置。在不同服务器上 keytab 的文件名称可能不一样,这里用 XXX 代替。

    2. 方法一:直接使用数据连接配置界面

    这里以 Spark 为例。

    2.1 复制配置文件

    下载环境上的配置文件 krb5.conf 和 XXX.keytab 放到%FR_HOME%\webapps\webroot\WEB-INF\resources目录下;

    注1:当有多个 Kerberos 认证的时候,不同的 keytab 文件不要都放在 reources 目录下,会有冲突。可以在 resources 下新建各自的文件夹放置对应的认证文件。

    注2:同一种数据库 kerberos 客户端是不能同时用两个 keytab 去登录两个用户的,一方面是驱动本身不支持两个 kerberos 认证,另一方面是不支持有两个相同数据库类型驱动同时存在。

    2.2 配置 hosts 文件

    配置本地 hosts 文件,例如路径为C:\Windows\System32\drivers\etc\hosts,配置远端的映射,映射格式为「 IP  机器名」。如下图所示:

    1574079040114456.png

    2.3 设置数据连接

    1)选择数据连接配置面板的认证方式为「Kerberos 认证」,按要求填写客户端 principal 和 keytab 密钥路径,keytab 的名称根据实际情况修改。其他按配置 数据连接 中的说明进行数据连接。

    注:URL 后面需要加上 principal 。

      选项值  
    URLjdbc:hive2://192.168.5.127:10000/default;principal=hive/quickstart.cloudera@QUICKSTART.CLOUDERA
    客户端 principal hive/quickstart.cloudera@QUICKSTART.CLOUDERA
    keytab 密钥路径%FR_HOME%\webapps\webroot\WEB-INF\resources\hive.keytab

    2)如下图所示:

    1585194295502886.png

    3)点击测试连接,连接成功如下图所示:

    44.png

    3. 方法二:配置 JVM 参数后再进入数据连接配置界面

    这里以 Apache Impala 为例。

    3.1 复制配置文件

    下载环境上的配置文件 krb5.conf 和 impala.keytab 放到%FR_HOME%\webapps\webroot\WEB-INF\resources目录下;

    注1:当有多个 Kerberos 认证的时候,不同的 keytab 文件不要都放在 reources 目录下,会有冲突。可以在 resources 下新建各自的文件夹放置对应的认证文件。

    注2:同一种数据库 kerberos 客户端是不能同时用两个 keytab 去登录两个用户的,一方面是驱动本身不支持两个 kerberos 认证,另一方面是不支持有两个相同数据库类型驱动同时存在。

    3.2 配置 krb5.ini 文件

    准备 krb5.ini 文件,放到%FR_HOMR%\webapps\webroot\WEB-INF\resources目录下。内容如下:

    Client {
        com.sun.security.auth.module.Krb5LoginModule required doNotPrompt = true 
        useKeyTab = true 
        keyTab = "%FR_HOME%\webapps\webroot\WEB-INF\resources\XXX.keytab"
        principal = "dummy@SOME.REALM"
        debug = true;
    };

    3.3 添加 JVM 参数

    1)进入 FineReport 安装目录 bin下找到 designer.vmoptions文件,编辑该文件,增加下面 2 个 JVM 参数(两个参数的值为 krb5.conf 和 krb5.ini 文件的绝对路径)

    注:若没有该文件则新建。

    -Djava.security.krb5.conf=%FR_HOME%\webapps\webroot\WEB-INF\resources\krb5.conf
    -Djava.security.auth.login.config=%FR_HOME%\webapps\webroot\WEB-INF\resources\krb5.ini

    编辑完成的 designer.vmoptions 文件示例如下:

    1574128141859092.png

    2)此时同样也需要配置远端的映射,与方法一一致。

    3)选择数据连接配置面板的认证方式为「Kerberos 认证」,按要求填写客户端 principal 和 keytab 密钥路径,keytab 的名称根据实际情况修改。其他按配置 数据连接 中的说明进行数据连接,注意 url 后面需要加上 AuthMech、KrbHostFQDN、KrbServiceName 三个参数,如下所示:

      选项值  含义  
    urljdbc:impala://192.168.5.127:21050/default;AuthMech=1;KrbHostFQDN=quickstart.cloudera;KrbServiceName=impalaAuthMech=1 表示使用 kerberos 认证;
    KrbHostFQDN 为 impala server ;

    KrbServiceName 为对应的服务名;

    具体可参考官方文档:参数详细解释

    客户端principalimpala/quickstart.cloudera@QUICKSTART.CLOUDERA
    keytab密钥路径%FR_HOME%\webapps\webroot\WEB-INF\resources\impala.keytab存放 impala.keytab 的路径

    1585194382337280.png

    4)点击测试连接成功即可。如下图所示:

    1574128503540986.png

    4. 注意事项

    4.1 检查服务器及认证信息

    检查内容要求
    检查 FineReport 服务器所在机器和数据库服务器的系统时间差通常要求时间差小于 5 分钟

    检查配置 FineReport 服务器所在机器的 hosts 文件

    需确认能通过主机名/域名 ping 通数据库服务器
    FineReport 自带的 zookeeper 包与数据库服务端的 zookeeper 版本需要匹配例如:华为 HD 平台连接可能会出现此类报错
    检查 principal 名称是否正确

    principal 的格式通常为用户名/部门@公司,确认 principal 是否正确的方式是在数据库服务端 shell 执行klist 或者 kinit -k -t /path/to/keytab name_of_principal

    或直接通过 beeline、impala-shell 等工具连接开启认证的服务,并查看对应的 principal 信息

    例如:Hive 服务对应 principal 为 hive /bigdata@XXX.COM,而 Impala 服务对应的 principal为impala/bigdata@XXX.COM

    检查 FineReport 的工程路径确保不带有空格(如 tomcat 9),因为 Kerberos 认证不支持带有空格路径

    4.2 无法连接处理方式

    1)若连接失败,可与平台数据库管理员确认相关服务的安全认证配置是否正确,并联系帆软技术支持并提供相关报错日志(提添加 JVM 安全调试参数,如下所示),数据平台数据库版本、对应驱动 JAR 包、相关连接信息、Java 认证连接测试代码或者能连接认证数据库的 shell 工具等。

    JVM 安全调试日志参数:

    -Djava.security.debug=gssloginconfig,configfile,configparser,logincontext
    -Djava.security.krb5.debug=true

    2)特殊情况下,如果 Windows 系统下无法连接,可以把 FineReport 测试服务器部署在 Linux 系统上。需保证该服务器能通过相关 shell 工具连上数据库,通过 klist 能看到已缓存的 kgt 信息。

    4.3 报错

    1)描述:cdh 连接抛错:Unable to obtain Principal Name for authentication 。

    原因:JDK 默认安装的 JCE 不能处理超过 128 位的对称密钥。

    解决方法:更新 JRE 的 JCE 扩展包。

    操作步骤:JCE 安装详情参见:扩展包安装连接 。通常直接到第 4 步即可,下载解压得到 JCE 扩展 JAR 包,然后到 JRE 的指定目录替换文件即可。

    2)描述:Transwarp Inceptor(星环)数据库报错 GSS initiate failed 。

    原因:驱动本身做了静态全局的操作,kerberos 中心刷新后,驱动内部的静态全局还残留,故数据连接连不上。

    解决方法:重启 FineReport 服务器。

    附件列表


    主题: 数据准备
    • 有帮助
    • 没帮助
    • 只是浏览

    售前咨询电话

    400-811-8890转1

    在线技术支持

    请前往「服务平台」,选择「在线支持」

    热线电话:400-811-8890转2

    总裁办24H投诉

    热线电话:173-1278-1526