集群互信管理-华为云

MAPREDUCE服务 MRS-配置MRS集群间互信:前提条件

前提条件系统管理员已明确业务需求，并规划好不同系统的域名。域名只能包含大写字母、数字、圆点（.）及下划线（_），且只能以字母或数字开头。例如“DOMAINA.HW”和“DOMAINB.HW”。配置跨集群互信前，两个Manager系统的域名必须不同。 MRS 创建E CS /BMS集群时会随机生成唯一系统域名，通常无需修改。配置跨集群互信前，两个集群中不能存在有相同的主机名，也不能存在相同的IP地址。配置互信的两个集群系统时间必须一致，且系统上的NTP服务必须使用同一个时间源。配置互信的两个集群系统内所有集群全部组件的运行状态均为“良好”。配置互信的两个集群，需要在相同的VPC中。如果两集群不在同一VPC中，则需要已建立VPC对等连接，相关操作请参考VPC对等连接。 MRS 3.x及之后版本，Manager内所有集群的ZooKeeper服务的“acl.compare.shortName”参数需确保为默认值“true”。否则请修改该参数为“true”后重启ZooKeeper服务。

MAPREDUCE服务 MRS 集群互信管理

MAPREDUCE服务 MRS-配置MRS集群间互信:对系统的影响

对系统的影响配置跨集群互信后，外部系统的用户可以在本系统中使用，请系统管理员根据企业业务与安全要求，定期检视Manager系统中用户的权限。配置跨集群互信时需要重启受影响的服务，会造成对应服务的业务中断。配置跨集群互信后，互信的集群中均会增加Kerberos内部用户“krbtgt/本集群域名@外部集群域名”、“krbtgt/外部集群域名@本集群域名”，用户不能删除。针对MRS 2.x及之前版本，密码默认为“Crossrealm@123”。 MRS 3.x及之后版本，请系统管理员根据企业安全要求，及时且定期修改密码，需同时修改互信系统中4个用户且密码保持一致。具体请参见修改MRS集群组件运行用户密码。修改密码期间可能影响跨系统业务应用的连接。 MRS 3.x及之后版本，如果修改了系统域名，且集群有运行中的HetuEngine计算实例，需要重启HetuEngine的计算实例。 MRS 3.x及之后版本，配置跨集群互信后，各个集群都需要重新下载并安装客户端。配置跨集群互信后，验证配置后是否可以正常工作，且如何使用本系统用户访问对端系统资源，请参见配置互信MRS集群的用户权限。

MAPREDUCE服务 MRS 集群互信管理

MAPREDUCE服务 MRS-配置MRS集群间互信:更新互信集群客户端配置（MRS 2.x及之前版本）

更新互信集群客户端配置（MRS 2.x及之前版本）配置跨集群互信后，因在MRS Manager修改了服务配置参数并重启了服务，请重新准备好客户端配置文件并更新客户端。场景1： A集群和B集群（对端集群、互信集群）是同类型集群，例如均是分析集群或者流式集群，请参见更新客户端配置（2.x及之前版本）分别更新客户端配置文件。更新A集群的客户端配置文件。更新B集群的客户端配置文件。场景2： A集群和B集群（对端集群、互信集群）是不同类型集群，请执行如下步骤分别更新对端集群的配置文件到本端集群和本端集群自身的配置文件。将A集群的客户端配置文件更新到B集群上。将B集群的客户端配置文件更新到A集群上。更新A集群的客户端配置文件。更新B集群的客户端配置文件。登录MRS Manager(A集群)。单击“服务管理”，然后单击“下载客户端”。图1 下载客户端 “客户端类型”选择“仅配置文件”。 “下载路径”选择“远端主机”。将“主机IP”设置为B集群的主Master节点IP地址，设置“主机端口”为“22”，并将“存放路径”设置为“/tmp”。如果使用SSH登录B集群的默认端口“22”被修改，请将“主机端口”设置为新端口。 “存放路径”最多可以包含256个字符。 “登录用户”设置为“root”。如果使用其他用户，请确保该用户对保存目录拥有读取、写入和执行权限。在“登录方式”选择“密码”或“SSH私钥”。密码：输入创建集群时设置的root用户密码。 SSH私钥：选择并上传创建集群时使用的密钥文件。单击“确定”开始生成客户端文件。若界面显示以下提示信息表示客户端包已经成功保存，单击“关闭”。下载客户端文件到远端主机成功。若界面显示以下提示信息，请检查用户名密码及远端主机的安全组配置，确保用户名密码正确，及远端主机的安全组已增加SSH(22)端口的入方向规则。然后从2执行重新下载客户端。连接到服务器失败，请检查网络连接或参数设置。使用VNC方式，登录弹性云服务器（B集群）。参见登录弹性云服务器（VNC方式）。所有镜像均支持Cloud-init特性。Cloud-init预配置的用户名“root”，密码为创建集群时设置的密码。执行以下命令切换到客户端目录，例如“/opt/Bigdata/client”： cd /opt/Bigdata/client 执行以下命令，将A集群的客户端配置更新到B集群上： sh refreshConfig.sh 客户端安装目录客户端配置文件压缩包完整路径例如，执行命令： sh refreshConfig.sh /opt/Bigdata/client /tmp/MRS_Services_Client.tar 界面显示以下信息表示配置刷新更新成功： ReFresh components client config is complete. Succeed to refresh components client config. 步骤1~11的操作也可以参考更新客户端配置（2.x及之前版本）页面的方法二操作。参见1~11，将B集群的客户端配置文件更新到A集群上。参见更新客户端配置（2.x及之前版本），分别更新本端集群自身的客户端配置文件：更新A集群的客户端配置文件。更新B集群的客户端配置文件。

MAPREDUCE服务 MRS 集群互信管理

MAPREDUCE服务 MRS-修改MRS集群系统域名:前提条件

前提条件系统管理员已明确业务需求，并规划好不同系统的域名。域名只能包含大写字母、数字、圆点（.）及下划线（_），且只能以字母或数字开头。例如“DOMAINA.HW”和“DOMAINB.HW”。 Manager内所有集群全部组件的运行状态均为“良好”。 Manager内所有集群的ZooKeeper服务的“acl.compare.shortName”参数需确保为默认值“true”。否则请修改该参数为“true”后重启ZooKeeper服务。

MAPREDUCE服务 MRS 集群互信管理

MAPREDUCE服务 MRS-修改MRS集群系统域名:操作场景

操作场景每个系统用户安全使用的范围定义为“域”，不同的系统需要定义唯一的域名。 FusionInsight Manager的域名在安装过程中生成，如果需要修改为特定域名，系统管理员可通过FusionInsight Manager进行配置。修改系统域名为高危操作，在执行本章节操作前，请确认已参考备份Manager数据（MRS 3.x及之后版本）章节成功备份了 OMS 数据。该章节仅适用于MRS 3.x及之后版本。

MAPREDUCE服务 MRS 集群互信管理

MAPREDUCE服务 MRS-修改MRS集群系统域名:对系统的影响

对系统的影响修改Manager系统域名时，需要重启所有集群，集群在重启期间无法使用。修改域名后，Kerberos管理员与OMS Kerberos管理员的密码将重新初始化，请使用默认密码并重新修改。组件运行用户的密码是系统随机生成的，如果用于身份认证，请参见下载MRS集群用户认证凭据文件，重新下载keytab文件。修改域名后，“admin”用户、组件运行用户和系统管理员在修改域名以前添加的“人机”用户，密码会重置为相同密码，请重新修改。重置后的密码由两部分组成：系统生成部分和用户设置部分，系统生成部分为Admin@123，用户设置部分规则参照表2中“密码后缀”参数的说明，默认值为Admin@123。例如：系统生成部分为Admin@123，用户设置部分为Test#$%@123，则此时重置后的密码为Admin@123Test#$%@123。重置后的密码必需满足当前用户密码策略，使用omm用户登录主OMS节点后，执行如下工具脚本可以获取到修改域名后的“人机”用户密码。 sh ${BIGDATA_HOME}/om-server/om/sbin/get_reset_pwd.sh 密码后缀 user_name 密码后缀为用户设置的参数，如果不指定，则填充为默认值，默认值为“Admin@123”。 user_name为可选参数，默认取值为“admin”。命令中如果携带认证密码信息可能存在安全风险，在执行命令前建议关闭系统的history命令记录功能，避免信息泄露。例如： sh ${BIGDATA_HOME}/om-server/om/sbin/get_reset_pwd.sh Test#$%@123 To get the reset password after changing cluster domain name. pwd_min_len : 8 pwd_char_types : 4 The password reset after changing cluster domain name is: "Admin@123Test#$%@123" “pwd_min_len”和“pwd_char_types”分别表示当前用户密码策略“最小密码长度”和“密码字符类型数目”，“Admin@123Test#$%@123”为修改系统域名后的“人机”用户密码。修改系统域名后，重置后的密码由系统生成部分和用户设置部分组成，且必需满足当前用户密码策略，长度不足时在Admin@123和用户设置部分中间，使用一个或多个@补全；字符种类为5时，在Admin@123后补充一个空格。当用户设置部分为Test@123，使用默认用户密码策略时，新密码为“Admin@123Test@123”，长度为17字符种类为4。需满足当前用户密码策略时，新密码处理如表1所示。表1 满足不同密码策略时的新密码最小密码长度字符种类对比用户密码策略结果重置后的密码 8到17位 4 已满足用户密码策略 Admin@123Test@123 18位 4 需补充一个@ Admin@123@Test@123 19位 4 需补充两个@ Admin@123@@Test@123 8到18位 5 需补充一个空格 Admin@123 Test@123 19位 5 需补充一个空格和一个@ Admin@123 @Test@123 20位 5 需补充一个空格和两个@ Admin@123 @@Test@123 修改系统域名后，系统管理员在修改域名以前添加的“机机”用户，请重新下载keytab文件。修改系统域名后，请重新下载并安装集群客户端。修改系统域名后，如果有运行中的HetuEngine计算实例，需要重启HetuEngine的计算实例。

MAPREDUCE服务 MRS 集群互信管理

MAPREDUCE服务 MRS-修改Manager系统域名:前提条件

前提条件系统管理员已明确业务需求，并规划好不同系统的域名。域名只能包含大写字母、数字、圆点（.）及下划线（_），且只能以字母或数字开头。例如“DOMAINA.HW”和“DOMAINB.HW”。 Manager内所有集群全部组件的运行状态均为“良好”。 Manager内所有集群的ZooKeeper服务的“acl.compare.shortName”参数需确保为默认值“true”。否则请修改该参数为“true”后重启ZooKeeper服务。

MAPREDUCE服务 MRS 集群互信管理

MAPREDUCE服务 MRS-修改Manager系统域名:对系统的影响

对系统的影响修改Manager系统域名时，需要重启所有集群，集群在重启期间无法使用。修改域名后，Kerberos管理员与OMS Kerberos管理员的密码将重新初始化，请使用默认密码并重新修改。组件运行用户的密码是系统随机生成的，如果用于身份认证，请参见导出认证凭据文件，重新下载keytab文件。修改域名后，“admin”用户、组件运行用户和系统管理员在修改域名以前添加的“人机”用户，密码会重置为相同密码，请重新修改。重置后的密码由两部分组成：系统生成部分和用户设置部分，系统生成部分为Admin@123，用户设置部分规则参照表2中“密码后缀”参数的说明，默认值为Admin@123。例如：系统生成部分为Admin@123，用户设置部分为Test#$%@123，则此时重置后的密码为Admin@123Test#$%@123。重置后的密码必需满足当前用户密码策略，使用omm用户登录主OMS节点后，执行如下工具脚本可以获取到修改域名后的“人机”用户密码。 sh ${BIGDATA_HOME}/om-server/om/sbin/get_reset_pwd.sh 密码后缀 user_name 密码后缀为用户设置的参数，如果不指定，则填充为默认值，默认值为“Admin@123”。 user_name为可选参数，默认取值为“admin”。命令中如果携带认证密码信息可能存在安全风险，在执行命令前建议关闭系统的history命令记录功能，避免信息泄露。例如： sh ${BIGDATA_HOME}/om-server/om/sbin/get_reset_pwd.sh Test#$%@123 To get the reset password after changing cluster domain name. pwd_min_len : 8 pwd_char_types : 4 The password reset after changing cluster domain name is: "Admin@123Test#$%@123" “pwd_min_len”和“pwd_char_types”分别表示当前用户密码策略“最小密码长度”和“密码字符类型数目”，“Admin@123Test#$%@123”为修改系统域名后的“人机”用户密码。修改系统域名后，重置后的密码由系统生成部分和用户设置部分组成，且必需满足当前用户密码策略，长度不足时在Admin@123和用户设置部分中间，使用一个或多个@补全；字符种类为5时，在Admin@123后补充一个空格。当用户设置部分为Test@123，使用默认用户密码策略时，新密码为“Admin@123Test@123”，长度为17字符种类为4。需满足当前用户密码策略时，新密码处理如表1所示。表1 满足不同密码策略时的新密码最小密码长度字符种类对比用户密码策略结果重置后的密码 8到17位 4 已满足用户密码策略 Admin@123Test@123 18位 4 需补充一个@ Admin@123@Test@123 19位 4 需补充两个@ Admin@123@@Test@123 8到18位 5 需补充一个空格 Admin@123 Test@123 19位 5 需补充一个空格和一个@ Admin@123 @Test@123 20位 5 需补充一个空格和两个@ Admin@123 @@Test@123 修改系统域名后，系统管理员在修改域名以前添加的“机机”用户，请重新下载keytab文件。修改系统域名后，请重新下载并安装集群客户端。修改系统域名后，如果有运行中的HetuEngine计算实例，需要重启HetuEngine的计算实例。

MAPREDUCE服务 MRS 集群互信管理

MAPREDUCE服务 MRS-配置跨Manager集群互信:前提条件

前提条件系统管理员已明确业务需求，并规划好不同系统的域名。域名只能包含大写字母、数字、圆点（.）及下划线（_），且只能以字母或数字开头。例如“DOMAINA.HW”和“DOMAINB.HW”。配置跨集群互信前，两个Manager系统的域名必须不同。MRS创建ECS/BMS集群时会随机生成唯一系统域名，通常无需修改。配置跨集群互信前，两个集群中不能存在有相同的主机名，也不能存在相同的IP地址。配置互信的两个集群系统时间必须一致，且系统上的NTP服务必须使用同一个时间源。配置互信的两个集群系统内所有集群全部组件的运行状态均为“良好”。 Manager内所有集群的ZooKeeper服务的“acl.compare.shortName”参数需确保为默认值“true”。否则请修改该参数为“true”后重启ZooKeeper服务。配置互信的两个集群，需要在相同的VPC中。如果两集群不在同一VPC中，则需要已建立VPC对等连接，相关操作请参考VPC对等连接。

MAPREDUCE服务 MRS 集群互信管理

云服务器内容精选

集群互信管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线