zookeeper kerberos

### ZooKeeper与Kerberos集成

#### 配置ZooKeeper以支持Kerberos认证

为了使ZooKeeper能够利用Kerberos进行安全通信，需对`zoo.cfg`文件做出相应修改并创建必要的Kerberos主体和服务密钥表[^1]。

- **配置参数**

修改`conf/zoo.cfg`文件加入如下选项：

  authProvider.1=org.apache.zookeeper.server.auth.KerberosAuthProvider
  jaasLoginRenew=3600000

- **JAAS配置文件**

创建名为`zookeeper_jaas.conf`的Java Authentication and Authorization Service (JAAS)配置文件，在其中定义服务端和客户端的身份验证机制。对于服务器而言，该文件应包含类似下面的内容：

  Server {
    com.sun.security.auth.module.Krb5LoginModule required
    useKeyTab=true
    storeKey=true
    keyTab="/etc/security/keytabs/zk.service.keytab"
    principal="zookeeper/_HOST@YOUR-REALM.COM";
  };

- **启动脚本中的环境变量**

更新用于启动ZooKeeper进程的shell脚本，确保设置了正确的JAVA_OPTS来加载上述JAAS配置文件：

  export JAVA_OPTS="-Djava.security.auth.login.config=/path/to/zookeeper_jaas.conf $JAVA_OPTS"

#### 故障排查指南

当遇到涉及Kerberos身份验证的问题时，可以采取以下几个方面来进行诊断：

- **日志审查**

查看ZooKeeper的日志记录，特别是关于SASL/Kerberos初始化失败的信息。这些错误提示可以帮助定位具体原因所在。

- **网络连通性和时间同步**

确认所有节点之间具有良好的网络连接，并且它们的时间保持一致。NTP服务应当被正确配置以便维持集群内部成员间的时间同步性。

- **KDC访问权限**

测试从各个ZooKeeper实例到Kerberos分发中心(KDC)的服务可达情况；如果适用的话，还需确认防火墙规则允许必需的流量通过。

- **票据获取测试**

使用`kinit`命令尝试获得TGT（Ticket Granting Ticket），以此检验是否能成功完成初步的身份验证过程。