为Linux客户端配置Kerberos

可以配置Linux客户端应用来连接一个配置为用Kerberos认证的Greenplum数据库系统。

如果在RedHat Enterprise Linux上的JDBC应用连接Greenplum数据库时使用Kerberos认证,客户端系统必须被配置为使用Kerberos认证。如果没有使用Kerberos认证来连接到Greenplum数据库,就无需在客户端系统上配置Kerberos。

有关在Greenplum数据库中启用Kerberos认证的信息,请见Greenplum数据库管理员指南中的”使用Kerberos认证”。

上级主题: 配置客户端认证

要求

下面是从一个客户端系统用JDBC应用连接到启用了Kerberos认证的Greenplum数据库的要求。

先决条件

  • 在Greenplum数据库的Master主机上必须安装并配置好Kerberos。

    重要: Greenplum数据库必须被配置好,这样远程用户能够用Kerberos认证连接到Greenplum数据库。对Greenplum数据库访问的授权由pg_hba.conf文件控制。细节请见Greenplum数据库管理员指南中的”编辑pg_hba.conf文件”,还可参见Greenplum数据库安全性配置指南

  • 客户端系统从Greenplum数据库的Master请求Kerberos配置文件krb5.conf。

  • 客户端系统要求一个Kerberos的keytab文件,其中含有被用来登入数据库的Greenplum数据库用户的认证证书。
  • 客户端机器必须能够连接到Greenplum数据库的Master主机。

    如果需要,把Greenplum数据库的Master主机名和IP地址添加到系统的hosts文件中。在Linux系统上,hosts文件在/etc中。

客户端机器上的必备软件

  • 在客户端机器上要求Kerberos的kinit工具。在安装Kerberos包时就有kinit工具:

    • krb5-libs
    • krb5-workstation

    注意: 在安装Kerberos包时,可以使用其他Kerberos工具(例如klist)来显示Kerberos的ticket信息。

Java应用要求额外的软件:

  • Java JDK

    在Red Hat Enterprise Linux 6.x上支持Java JDK 1.7.0_17。

  • 确保JAVA_HOME被设置为受支持的Java JDK的安装目录。

设置带有Kerberos认证的客户端系统

用Kerberos认证连接到Greenplum数据库需要一个Kerberos的ticket。在客户端系统上,ticket从Kerberos的keytab文件用kinit工具生成,并且被保存在一个缓冲文件中。

  1. 从Greenplum数据库的Master上的Kerberos配置文件krb5.conf复制一份拷贝。这个文件会被Greenplum数据库客户端软件以及Kerberos工具使用。

    把krb5.conf安装在目录/etc中。

    如果需要,把参数default_ccache_name添加到krb5.ini文件的[libdefaults]小节中,并且为它指定客户端系统上的Kerberos ticket缓冲文件。

  2. 获得一个包含Greenplum数据库用户的认证证书的Kerberos keytab文件。

  3. 运行kinit根据指定的keytab文件在客户端机器上创建一个ticket。对于这个例子,keytab文件gpdb-kerberos.keytab在当前目录中。ticket缓冲文件在gpadmin用户的主目录中。

    1. > kinit -k -t gpdb-kerberos.keytab -c /home/gpadmin/cache.txt
    2. gpadmin/kerberos-gpdb@KRB.EXAMPLE.COM

运行psql

用户可以从一个远程系统访问启用了Kerberos认证的Greenplum数据库。

要用psql连接到Greenplum数据库

  1. 作为gpadmin用户,打开一个命令窗口。
  2. 从命令窗口启动psql,并且指定建立到Greenplum数据库的连接,连接使用一个配置了Kerberos认证的用户。

    下面的例子作为gpadmin用户登入到kerberos-gpdb机器上的Greenplum数据库,该用户的Kerberos证书是gpadmin/kerberos-gpdb:

    1. $ psql -U "gpadmin/kerberos-gpdb" -h kerberos-gpdb postgres

运行一个Java应用

从一个Kerberos认证的Java应用使用Java认证和授权服务(JAAS)访问Greenplum数据库

  1. 在用户主目录中创建文件.java.login.config。

    例如,在一个Linux系统上,主目录类似于/home/gpadmin。

    把下列文本加到该文件中:

    1. pgjdbc {
    2. com.sun.security.auth.module.Krb5LoginModule required
    3. doNotPrompt=true
    4. useTicketCache=true
    5. ticketCache = "/home/gpadmin/cache.txt"
    6. debug=true
    7. client=true;
    8. };
  2. 创建一个使用Kerberos认证连接到Greenplum数据库的Java应用,并且作为该用户运行该应用。

这个示例数据库连接URL使用了一种PostgreSQL JDBC驱动并且指定了用于Kerberos认证的参数。

  1. jdbc:postgresql://kerberos-gpdb:5432/mytest?
  2. kerberosServerName=postgres&jaasApplicationName=pgjdbc&
  3. user=gpadmin/kerberos-gpdb

指定的参数名和值取决于该Java应用如何执行Kerberos认证。