检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
成对应服务的业务中断。 配置跨集群互信后，互信的集群中均会增加Kerberos内部用户“krbtgt/本集群域名@外部集群域名”、“krbtgt/外部集群域名@本集群域名”，用户不能删除。 针对MRS 2.x及之前版本，密码默认为“Crossrealm@123”。 MRS 3.x
为ZooKeeper服务端Principal，格式为“zookeeper/hadoop.系统域名”， 其中系统域名的值可通过登录Manager界面，选择“系统 > 权限 > 域和互信”，查看“本端域”参数获取。 父主题： 配置HBase应用安全认证
未开启Kerberos认证的集群，访问MRS Manager页面报错如下图： 图1 MRS Manager页面报错 原因分析 由于MRS的域名由console-emr变更为mrs导致普通集群访问MRS Manager的链接有误。 处理步骤 以root用户登录到所有Master节点。
为“域”，不同的Manager系统需要定义唯一的域名。跨Manager访问实际上就是用户跨域使用。集群配置互信具体操作步骤请参考集群互信管理章节。 多集群互信场景下，以符合跨域访问的用户身份，使用从其中一个manager系统中获取到的用于Kerberos安全认证的keytab文件
keytab文件。“人机”用户第一次登录时需修改密码。（普通模式不涉及） 在修改集群域名后，需要重新下载客户端，以保证客户端配置文件中kerberos.domain.name配置为正确的服务端域名。 使用Kafka客户端 以客户端安装用户，登录安装客户端的节点。 执行以下命令，切换到客户端安装目录。
默认值 spark.yarn.security.credentials.hbase.enabled HBase是否获取Token： true：获取 false：不获取 false 父主题： 使用Spark/Spark2x
默认值 spark.yarn.security.credentials.hbase.enabled HBase是否获取Token： true：获取 false：不获取 false 父主题： 使用Spark2x（MRS 3.x及之后版本）
r.principal=spark2x/hadoop.<系统域名>@<系统域名>;saslQop=auth-conf;auth=KERBEROS;principal=spark2x/hadoop.<系统域名>@<系统域名>;" 其中“<server_IP>:<server_Por
no.acl.found”配置，修改参数值为true，保存配置即可。 系统域名：可登录FusionInsight Manager，选择“系统 > 权限 > 域和互信”，查看“本端域”参数，即为当前系统域名。 参考管理Kafka Topic中的消息，向kafka中写入数据。 sh
oldap > 修改配置”。 “Ldap服务监听端口”参数值即为oldap端口。 查询域名方法： 登录Manager，选择“系统 > 权限 > 域和互信”。 “本端域”参数即为域名。 例如当前系统域名为“9427068F-6EFA-4833-B43E-60CB641E5B6C.COM”。
为“域”，不同的Manager系统需要定义唯一的域名。跨Manager访问实际上就是用户跨域使用。集群配置互信具体操作步骤请参考集群互信管理章节。 多集群互信场景下，以符合跨域访问的用户身份，使用从其中一个manager系统中获取到的用于Kerberos安全认证的keytab文件
test：为准备集群认证用户信息创建的用户名称，例如developuser。 系统域名：登录FusionInsight Manager后，选择“系统 > 权限 > 域和互信”，查看“本端域”参数，即为当前系统域名。 父主题： 准备MapReduce应用开发环境
ive/hadoop.<系统域名>@<系统域名>; 系统域名可登录FusionInsight Manager，选择“系统 > 权限 > 域和互信”，查看“本端域”参数获取。 “hive/hadoop.<系统域名>”为用户名，用户的用户名所包含的系统域名所有字母为小写。例如“本端域
GROUP BY GROUP BY GROUP BY将SELECT语句的输出行划分成包含匹配值的分组。简单的GROUP BY可以包含由输入列组成的任何表达式，也可以是按位置选择输出列的序号。 以下查询是等效的： SELECT count(*), nationkey FROM customer
ive/hadoop.<系统域名>@<系统域名>; 系统域名可登录FusionInsight Manager，选择“系统 > 权限 > 域和互信”，查看“本端域”参数获取。 “hive/hadoop.<系统域名>”为用户名，用户的用户名所包含的系统域名所有字母为小写。例如“本端域
如果修改了集群kerberos域名，需要在代码中增加kerberos.domain.name的配置，并按照hadoop.expr=toLowerCase(%{default_realm}%{KerberosServer})规则配置正确的域名信息。例如：修改域名为HUAWEI.COM，则配置为hadoop
'world,'anyone : cdrwa 'sasl,'userA@<系统域名> : cdrwa 使用setAcl命令修改权限。设置新权限命令如下： setAcl /test sasl:用户名@<系统域名>:权限值 例如仅保留userA用户的所有权限，删除anyone用户的rw权限。
'world,'anyone : cdrwa 'sasl,'userA@<系统域名> : cdrwa 使用setAcl命令修改权限。设置新权限命令如下： setAcl /test sasl:用户名@<系统域名>:权限值 例如仅保留userA用户的所有权限，删除anyone用户的rw权限。
keytabpath/user.keytab查看。 如果集群有做过切换域名操作，需要保证url中使用的principal字段是新域名。 如默认为hive/hadoop.hadoop.com@HADOOP.COM，当集群有切换域名的操作时，该字段需要进行相关修改。如域名为abc.com时，则此处应填写hive/hadoop
py”中，修改“hadoop.hadoop.com”为“hadoop.实际域名”。实际域名可登录FusionInsight Manager，选择“系统 > 权限 > 域和互信 > 本端域” 查看。 先使用kinit命令获取kerberos认证的缓存。 使用准备集群认证用户信息中创建的开发用户执行以下命令运行客户端程序：
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
