本文整理下hdp中開啟了kerberos后在storm中訪問的kafka所遇到的問題护姆。
測試使用的環(huán)境為： hdp2.6.0.3 storm 1.1.0, kafka 0.10.1 ,前置條件是開啟了kerberos
1 環(huán)境準備
集群開啟kerberos后，創(chuàng)建kafka topic，注意需要kinit 所需用戶的keytab 比如：
klist -k /etc/security/keytabs/storm.headless.keytab ocdp-clusteraa@ASIAINFO.COM
./kafka-topics.sh --create --topic inputTopicStorm --zookeeper host-10-1-236-128:2181 --partitions 3 --replication-factor 1
./kafka-topics.sh --create --topic outputTopicStorm --zookeeper host-10-1-236-128:2181 --partitions 3 --replication-factor 1
創(chuàng)建完topic后，進行一些簡單的kafka數(shù)據(jù)讀寫測試雕什，向對應的topic中寫入數(shù)據(jù)，命令行是否可以讀取成功：
./kafka-console-producer.sh --topic inputTopicStorm --broker-list host-10-1-236-128:6667 --security-protocol PLAINTEXTSASL
./kafka-console-consumer.sh --new-consumer --topic inputTopicStorm --bootstrap-server host-10-1-236-128:6667 --security-protocol PLAINTEXTSASL --from-beginning
上述命令如果可以正常執(zhí)行攒发，說明kerberos環(huán)境正常。如果遇到權限問題晋南，見文末的kafka權限命令惠猿。
2 storm kafka 測試代碼
注意支持kerberos的api 最低從kafka0.9開始，需要用新的API负间，需要傳遞的參數(shù)如下：
Properties props = new Properties();
props.put("bootstrap.servers", "host-10-1-236-128:6667,host-10-1-236-129:6667,host-10-1-236-130:6667");
props.put("acks", "1");
props.put("key.serializer", "org.apache.kafka.common.serialization.StringSerializer");
props.put("value.serializer", "org.apache.kafka.common.serialization.StringSerializer");
props.put("key.deserializer", "org.apache.kafka.common.serialization.StringDeserializer");
props.put("value.deserializer", "org.apache.kafka.common.serialization.StringDeserializer");
props.put("security.protocol", "SASL_PLAINTEXT");
KafkaSpoutConfig<String, String> kafkaSpoutConfig = KafkaSpoutConfig
.builder(props.getProperty("bootstrap.servers"), "foo")
.setGroupId("KafkaStormGroupID")
.setProp(props)
.setRecordTranslator((r) -> new Values(r.topic(), r.key(), r.value()), new Fields("topic", "key", "message"))
.build();
注意偶妖，根據(jù)kafka 0.10.2 的feature Dynamic JAAS configuration for Kafka clients jaas 配置文件的內(nèi)容已經(jīng)可以直接寫在代碼中了姜凄，參考原版本代碼的實現(xiàn) https://github.com/pvillard31/storm-kafka-kerberos
為了做到基礎組件的透明，避免所有應用實現(xiàn)時都需要指定一遍kerberos的詳細訪問信息趾访，這里還是采用了舊的方式态秧，即ambari已經(jīng)寫入到了storm每個supervisor節(jié)點的/usr/hdp/current/storm-supervisor/conf/storm_jaas.conf文件中。正確的版本為：
KafkaClient {
com.sun.security.auth.module.Krb5LoginModule required
useKeyTab=true
keyTab="/etc/security/keytabs/storm.headless.keytab"
storeKey=true
useTicketCache=false
serviceName="ocdp"
principal="ocdp-clusteraa@ASIAINFO.COM";
};
4 開源版本storm的配置
在開源版本中扼鞋，缺少了ambari的角色屿聋，需要我們自己修改storm.yaml,加入以下配置：
java.security.auth.login.config : '/data/storm/apache-storm-1.1.1/conf/storm_jaas.conf'
worker.childopts : '-Djava.security.auth.login.config=/data/storm/apache-storm-1.1.1/conf/storm_jaas.conf'
這樣worker中就會有java.security.auth.login.config
5 安全模式ZK問題：
注意如果需要連接安全模式ZK:
storm.yaml中需要加上
supervisor.childopts : '-Djava.security.auth.login.config=/data/storm/apache-storm-1.1.1/conf/storm_jaas.conf '
并且storm_jaas.conf中也需要加上zk的安全配置：
Client {
com.sun.security.auth.module.Krb5LoginModule required
useKeyTab=true
keyTab="/opt/apache-storm-1.1.1/conf/storm.headless.keytab"
storeKey=true
useTicketCache=false
serviceName="zookeeper"
principal="ocdp-clusteraa@ASIAINFO.COM";
};
6 kafka權限問題：
使得ocsp用戶對topic的所有權限
./kafka-acls.sh --add --allow-principal user:ocsp --operation ALL --topic inputTopicStorm --authorizer-properties zookeeper.connect=host-10-1-236-128:2181
使得ocsp用戶能夠使用任意的groupID來消費所有的topic
./kafka-acls.sh --authorizer-properties zookeeper.connect=host-10-1-236-128:2181 --allow-principal user:ocsp --consumer --topic=* --group=* --add
7 常見錯誤：
1. javax.security.auth.login.LoginException: Could not login: the client is being asked for a password, but the Kafka client code does not currently support obtaining a password from the user. not available to garner authentication information from the user
該問題是jaas config 配置有誤
2. 較低版本的HDP、kafka
如果在/usr/hdp/current/storm-supervisor/conf/storm_jaas.conf文件中沒有KafkaClient字段藏鹊，需要自行加入
詳見： https://docs.hortonworks.com/HDPDocuments/HDP2/HDP-2.4.2/bk_storm-user-guide/content/stormkafka-secure-config.html
3 Storm開啟kerberos后 UI訪問較為麻煩的問題
通過Ambari 創(chuàng)建一個 Storm View， 在新建的Storm View中就可以直接訪問Storm UI了转锈。
詳見 https://docs.hortonworks.com/HDPDocuments/Ambari-2.4.0.0/bk_ambari-views/content/creating_the_storm_view_instance.html
