首页 文章 精选 留言 我的

Can't get Kerberos realm

2018-01-18 532

1. Can't get Kerberos realm

原因分析：

原始代码为：

org.apache.hadoop.security.UserGroupInformation.setConfiguration(conf) 
sun.security.krb5.Config.refresh()

　　

首先根据传进来的Hadoop配置conf，去设置UserGroupInformation(UGI)，方法的调用关系如下(删除了部分不相关代码):

public static void setConfiguration(Configuration conf) {
  initialize(conf, true);
}

initialize方法如下 

private static synchronized void initialize(Configuration conf, boolean overrideNameRules) {
  authenticationMethod = SecurityUtil.getAuthenticationMethod(conf);
  if (overrideNameRules || !HadoopKerberosName.hasRulesBeenSet()) {
    try {
      HadoopKerberosName.setConfiguration(conf);
    } catch (IOException ioe) {
      throw new RuntimeException(
          "Problem with Kerberos auth_to_local name configuration", ioe);
    }
  }
  ......
}

　　

setConfiguration方法如下

public static void setConfiguration(Configuration conf) throws IOException {
  final String defaultRule;
  switch (SecurityUtil.getAuthenticationMethod(conf)) {
    case KERBEROS:
    case KERBEROS_SSL:
      try {
        KerberosUtil.getDefaultRealm();
      } catch (Exception ke) {
        throw new IllegalArgumentException("Can't get Kerberos realm", ke);
      }
      ......
  }
  ......
}

　　

getDefaultRealm使用了反射，目的是为了兼容两套jdk，即IBM(com.ibm.security.krb5.internal.Config) 和 Oracle(sun.security.krb5.Config)

public static String getDefaultRealm() 
    throws ClassNotFoundException, NoSuchMethodException, 
    IllegalArgumentException, IllegalAccessException, 
    InvocationTargetException {
  Object kerbConf;
  Class<?> classRef;
  Method getInstanceMethod;
  Method getDefaultRealmMethod;
  if (System.getProperty("java.vendor").contains("IBM")) {
    classRef = Class.forName("com.ibm.security.krb5.internal.Config"); // 获取IBM jdk的类引用
  } else {
    classRef = Class.forName("sun.security.krb5.Config"); // 获取Oracle jdk的类引用
  }
  getInstanceMethod = classRef.getMethod("getInstance", new Class[0]);
  kerbConf = getInstanceMethod.invoke(classRef, new Object[0]);
  getDefaultRealmMethod = classRef.getDeclaredMethod("getDefaultRealm", new Class[0]);
  return (String)getDefaultRealmMethod.invoke(kerbConf, new Object[0]);
}

　　

从上述代码来看，先获取Config类引用，然后getInstanceMethod是获得getInstance方法，再次getDefaultRealmMethod是获得getDefaultRealm方法。

因此，假设我们是使用的Oracle的JDK，那么最后是调用的sun.security.krb5.getDefaultRealm()。接下来看一下sun.security.krb5.getDefaultRealm()是如何实现的。

public String getDefaultRealm() throws KrbException {
  if(this.defaultRealm != null) { // 如果defaultRealm不为空，直接返回defaultRealm
    return this.defaultRealm;
  } else { // 如果defaultRealm为null，获取defaultRealm
    KrbException var1 = null;
    String var2 = this.getDefault("default_realm", "libdefaults");
    if(var2 == null && this.useDNS_Realm()) {
      try {
        var2 = this.getRealmFromDNS();
      } catch (KrbException var4) {
        var1 = var4;
      }
    }
    ......
  }
} 

我们假设defaultRealm = null，看一下如何从var2 = this.getRealmFromDNS();来获取defaultRealm

private String getRealmFromDNS() throws KrbException {
  String var1 = null;
  String var2 = null;

  try {
    var2 = InetAddress.getLocalHost().getCanonicalHostName(); // 1. 获取local host name
  } catch (UnknownHostException var7) {
    KrbException var4 = new KrbException(60, "Unable to locate Kerberos realm: " + var7.getMessage());
    var4.initCause(var7);
    throw var4;
  }

  String var3 = PrincipalName.mapHostToRealm(var2); // 2. 根据local host name获取realm
  ....
} 

mapHostToRealm()方法如下：

static String mapHostToRealm(String var0) {
  String var1 = null;

  try {
    String var2 = null;
    Config var3 = Config.getInstance(); // 获取Config的单例对象
    if((var1 = var3.getDefault(var0, "domain_realm")) != null) {
      return var1;
    }
    .......
  } catch (KrbException var5) {
    ;
  }
  return var1;
}

　　

这里会获取Config的单例对象，

public static synchronized Config getInstance() throws KrbException {
  if(singleton == null) {
    singleton = new Config();
  }

  return singleton;
}

 

再看Config.getInstance();的具体动作就是判断单例对象是否为null，不为null直接返回，为null重新new一个Config对象。

同时，Config类中还有一个方法refresh，其代码如下：

public static synchronized void refresh() throws KrbException {
  singleton = new Config();
  KdcComm.initStatic();
}

　　

从refresh的代码看，只要调用refresh()方法，就会重新生成Config的单例对象。这个refresh()方法，也是我们代码里面要调用的。

再回顾一下我们的原始代码：

org.apache.hadoop.security.UserGroupInformation.setConfiguration(conf) 
sun.security.krb5.Config.refresh()

回到getInstance()方法，假设singleton单例是null，会生成Config的单例对象。以后，再次调用getInstance方法都会直接返回这个单例对象了，没有再new的机会了。有人开始质疑没有机会new Config()对象了？ 调用Config.refresh()方法不是可以new吗？ 答案是可以new，但是如果我们的UserGroupInformation.setConfiguration(conf)会抛出异常，是不是Config.refresh()方法就不会被调用了！ 我们的错误就是出现在这里，后面分析UserGroupInformation.setConfiguration(conf)怎么抛出异常了。

 

在我们来看一下new Config()具体做了什么事情。

private Config() throws KrbException {
  String var1 = getProperty("java.security.krb5.kdc"); // 从系统变量获取kdc地址，假设我们启动JVM时没有设置该变量
  if(var1 != null) {
    this.defaultKDC = var1.replace(':', ' ');
  } else {
    this.defaultKDC = null;
  }

  this.defaultRealm = getProperty("java.security.krb5.realm"); // 从系统变量获取realm，假设我们启动JVM时也没有设置该变量
  if((this.defaultKDC != null || this.defaultRealm == null) && (this.defaultRealm != null || this.defaultKDC == null)) {
    try {
      String var3 = this.getJavaFileName(); // 该方法会从JVM参数java.security.krb5.conf以及<java-home>/lib/security/krb5.conf获取到krb5.conf文件
      Vector var2;
      if(var3 != null) {
        var2 = this.loadConfigFile(var3);
        this.stanzaTable = this.parseStanzaTable(var2);
        if(DEBUG) {
          System.out.println("Loaded from Java config");
        }
      } else { // 假设JVM参数java.security.krb5.conf以及<java-home>/lib/security/krb5.conf都没有获取到krb5.conf文件
        boolean var4 = false;
        if(isMacosLionOrBetter()) {
          try {
            this.stanzaTable = SCDynamicStoreConfig.getConfig();
            if(DEBUG) {
              System.out.println("Loaded from SCDynamicStoreConfig");
            }

            var4 = true;
          } catch (IOException var6) {
            ;
          }
        }

        if(!var4) {
          var3 = this.getNativeFileName(); // 我们是centos机器， 会拿到/etc/krb5.conf
          var2 = this.loadConfigFile(var3); // 加载/etc/krb5.conf文件
          this.stanzaTable = this.parseStanzaTable(var2);
          if(DEBUG) {
            System.out.println("Loaded from native config");
          }
        }
      }
    } catch (IOException var7) {
      ;
    }

  } else {
    throw new KrbException("System property java.security.krb5.kdc and java.security.krb5.realm both must be set or neither must be set.");
  }
}

　　

我们的问题就出在var2 = this.loadConfigFile(var3); 位置，因为加载/etc/krb5.conf文件的时候，恰好/etc/krb5.conf文件不存在，因为我们会把修改的krb5.conf去替换/etc/krb5.conf文件，在替换的时间内，恰好去loadConfigFile()，该方法就报了FileNotFoundException的异常。这个异常一直throw到UserGroupInformation.setConfiguration(conf)调用的地方，导致我们永远调用不到Config.refresh()方法。

 

 

2. 报错com.google.common.util.concurrent.UncheckedTimeoutException: java.util.concurrent.TimeoutException

原因分析：首先这个异常是因为调试上述报错产生的，所以顺便分析下原因。

上述报错是Can't get Kerberos realm，网上查一下，大概是因为拿不到kdc和realm。

因此，我在JVM启动参数中添加了如下3个参数:

       -Djava.security.krb5.conf=/etc/krb5.conf \
       -Djava.security.krb5.kdc=node1:8080 \
       -Djava.security.krb5.realm=KFC.com \

指定了krb5.conf文件，kdc地址，realm值。然后重启程序，发现可以正常使用，然后把/etc/krb5.conf文件删除了（上个错误其实猜想到了是因为读不到krb5.conf造成的）。

程序竟然报错 java.util.concurrent.TimeoutException，打jstack

TimeoutException 的jstack如下:
"builtin-checker-serviceId-58" prio=10 tid=0x00007f678800e800 nid=0x4084 waiting for monitor entry [0x00007f672fffe000]
   java.lang.Thread.State: BLOCKED (on object monitor)
        at org.apache.hadoop.security.UserGroupInformation.loginUserFromKeytabAndReturnUGI(UserGroupInformation.java:1074)
        - waiting to lock <0x00000000a8b940d0> (a java.lang.Class for org.apache.hadoop.security.UserGroupInformation)
        ......        
        at java.util.concurrent.FutureTask.run(FutureTask.java:262)
        at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1145)
        at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:615)
        at java.lang.Thread.run(Thread.java:745)


调用UserGroupInformation.loginUserFromKeytabAndReturnUGI被block了

往上找jstack，
"builtin-checker-serviceId-59" prio=10 tid=0x00007f67680b3800 nid=0x4097 runnable [0x00007f672f2ee000]
   java.lang.Thread.State: RUNNABLE
        at java.net.PlainDatagramSocketImpl.receive0(Native Method)
        - locked <0x000000009a0076e0> (a java.net.PlainDatagramSocketImpl)
        at java.net.AbstractPlainDatagramSocketImpl.receive(AbstractPlainDatagramSocketImpl.java:146)
        - locked <0x000000009a0076e0> (a java.net.PlainDatagramSocketImpl)
        at java.net.DatagramSocket.receive(DatagramSocket.java:816)
        - locked <0x000000009a017848> (a java.net.DatagramPacket)
        - locked <0x000000009a0076a0> (a java.net.DatagramSocket)
        at sun.security.krb5.internal.UDPClient.receive(NetClient.java:207)  // 卡主了
        at sun.security.krb5.KdcComm$KdcCommunication.run(KdcComm.java:390)
        at sun.security.krb5.KdcComm$KdcCommunication.run(KdcComm.java:343)
        at java.security.AccessController.doPrivileged(Native Method)
        at sun.security.krb5.KdcComm.send(KdcComm.java:327)
        at sun.security.krb5.KdcComm.send(KdcComm.java:219)
        at sun.security.krb5.KdcComm.send(KdcComm.java:191)
        at sun.security.krb5.KrbAsReqBuilder.send(KrbAsReqBuilder.java:319)
        at sun.security.krb5.KrbAsReqBuilder.action(KrbAsReqBuilder.java:364)
        at com.sun.security.auth.module.Krb5LoginModule.attemptAuthentication(Krb5LoginModule.java:735)
        at com.sun.security.auth.module.Krb5LoginModule.login(Krb5LoginModule.java:584)
        at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
        at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:57)
        at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
        at java.lang.reflect.Method.invoke(Method.java:606)
        at javax.security.auth.login.LoginContext.invoke(LoginContext.java:762)
        at javax.security.auth.login.LoginContext.access$000(LoginContext.java:203)
        at javax.security.auth.login.LoginContext$4.run(LoginContext.java:690)
        at javax.security.auth.login.LoginContext$4.run(LoginContext.java:688)
        at java.security.AccessController.doPrivileged(Native Method)
        at javax.security.auth.login.LoginContext.invokePriv(LoginContext.java:687)
        at javax.security.auth.login.LoginContext.login(LoginContext.java:595)
        at org.apache.hadoop.security.UserGroupInformation.loginUserFromKeytabAndReturnUGI(UserGroupInformation.java:1092)
        - locked <0x00000000a8b940d0> (a java.lang.Class for org.apache.hadoop.security.UserGroupInformation)
        ........
        at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1145)
        at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:615)
        at java.lang.Thread.run(Thread.java:745)

　　

从jstack中看到UDPClient.receive卡主了，为什么卡主了，不知道！ 问大神，大神说加入JVM调试参数-Dsun.security.krb5.debug=true，可以打印日志到console中。在console中看到如下日志：

Ordering keys wrt default_tkt_enctypes list
default etypes for default_tkt_enctypes: 3 1 16.
default etypes for default_tkt_enctypes: 3 1 16.
>>> KrbAsReq creating message
>>> KrbKdcReq send: kdc=node1    UDP:88, timeout=30000, number of retries =3, #bytes=134
>>> KDCCommunication: kdc=node1   UDP:88, timeout=30000,Attempt =1, #bytes=134
SocketTimeOutException with attempt: 1
>>> KDCCommunication: kdc=node1   UDP:88, timeout=30000,Attempt =2, #bytes=134
SocketTimeOutException with attempt: 2
>>> KDCCommunication: kdc=node1   UDP:88, timeout=30000,Attempt =3, #bytes=134
SocketTimeOutException with attempt: 3
>>> KrbKdcReq send: error trying node1  
java.net.SocketTimeoutException: Receive timed out
        at java.net.PlainDatagramSocketImpl.receive0(Native Method)
        at java.net.AbstractPlainDatagramSocketImpl.receive(AbstractPlainDatagramSocketImpl.java:146)
        at java.net.DatagramSocket.receive(DatagramSocket.java:816)
        at sun.security.krb5.internal.UDPClient.receive(NetClient.java:207)
        at sun.security.krb5.KdcComm$KdcCommunication.run(KdcComm.java:390)
        at sun.security.krb5.KdcComm$KdcCommunication.run(KdcComm.java:343)
        at java.security.AccessController.doPrivileged(Native Method)
        at sun.security.krb5.KdcComm.send(KdcComm.java:327)
        at sun.security.krb5.KdcComm.send(KdcComm.java:219)
        at sun.security.krb5.KdcComm.send(KdcComm.java:191)
        at sun.security.krb5.KrbAsReqBuilder.send(KrbAsReqBuilder.java:319)
        at sun.security.krb5.KrbAsReqBuilder.action(KrbAsReqBuilder.java:364)
        at com.sun.security.auth.module.Krb5LoginModule.attemptAuthentication(Krb5LoginModule.java:735)
        at com.sun.security.auth.module.Krb5LoginModule.login(Krb5LoginModule.java:584)
        at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
        at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:57)
        at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
        at java.lang.reflect.Method.invoke(Method.java:606)
        at javax.security.auth.login.LoginContext.invoke(LoginContext.java:762)
        at javax.security.auth.login.LoginContext.access$000(LoginContext.java:203)
        at javax.security.auth.login.LoginContext$4.run(LoginContext.java:690)
        at javax.security.auth.login.LoginContext$4.run(LoginContext.java:688)
        at java.security.AccessController.doPrivileged(Native Method)
        at javax.security.auth.login.LoginContext.invokePriv(LoginContext.java:687)
        at javax.security.auth.login.LoginContext.login(LoginContext.java:595)
        at org.apache.hadoop.security.UserGroupInformation.loginUserFromKeytabAndReturnUGI(UserGroupInformation.java:1092)
        ........

看到默认去连了KDC的88端口，默认端口被改成了1088，所以连接失败，导致超时。 听说没有参数可以设置KDC的端口， 不知道真假，在-Djava.security.krb5.kdc参数中指定kdc端口无效。

 

 

参考: https://docs.oracle.com/javase/7/docs/technotes/guides/security/jgss/tutorials/KerberosReq.html 及源代码

上一篇 下一篇
优秀的个人博客,低调大师

微信关注我们

原文链接：https://yq.aliyun.com/articles/441104

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Python DNS处理模块dnspython(转载)

DNS处理模块dnspython 下载地址http://www.dnspython.org/kits/1.12.0/ dnspython提供一个DNS解析器类——resolver，使用它的query方法来实现域名的查询功能。 query（self,qname,rdtype=1,rdclass=1,tcp=False,source=None,raise_on_no_answer=True,source_prot=0) 其中，qname参数为查询的域名，rdtype参数用来指定RR资源的类型，常用的类型如下： A记录：将主机名转换成IP地址 MX记录：邮件交换记录，定义邮件服务器的域名 CNAME记录：指别名记录，实现域名间的映射。 NS记录：标记区域的域名服务器及授权子域 PTR记录：反向解析，与A记录相反，将地址换成主机名 SOA记录：SOA标记，一个起始授权区的定义。 rdclass参数用于指定网络类型，可选的值为IN,CH,HS，IN为默认，使用最广泛。 tcp参数用于指定查询是否启用TCP协议，默认不启用。 source和source_prot指定查询源地址和端口，默认值为查询设...
2018-01-19
639
上一篇

手把手教你用python抢票回家过年 !（附代码）

首先看看如何快速查看剩余火车票？ 当你想查询一下火车票信息的时候，你还在上12306官网吗？或是打开你手机里的APP？下面让我们来用Python写一个命令行版的火车票查看器, 只要在命令行敲一行命令就能获得你想要的火车票信息！如果你刚掌握了Python基础，这将是个不错的小练习。 接口设计 一个应用写出来最终是要给人使用的，哪怕只是给你自己使用。所以，首先应该想想你希望怎么使用它？让我们先给这个小应用起个名字吧，既然及查询票务信息，那就叫它tickets好了。我们希望用户只要输入出发站，到达站以及日期就让就能获得想要的信息，所以tickets应该这样被使用： $ tickets from to date 另外，火车有各种类型，高铁、动车、特快、快速和直达，我们希望可以提供选项只查询特定的一种或几种的火车，所以，我们应该有下面这些选项： -g
2018-01-19
664
下一篇

相关文章

发表评论

资源下载

更多资源
优质分享App

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

时间: 2025-12-03 大小: 4.36MB 下载: 23次
腾讯云软件源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

时间: 2025-12-17 大小: 1MB 下载: 2次
Nacos

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

时间: 2025-12-21 大小: 189MB 下载: 2次
Sublime Text

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

时间: 2025-12-03 大小: 9.84MB 下载: 39次
手机查看

扫码在手机上查看文章

扫描二维码，手机阅读更方便

热门标签
Redis Rocky OpenAi Service Mesh SpringBoot4 Docker Gemini3 Jdk25 Kubernetes SpringCloud HarmonyOS6 Nacos3 DeepSeek

欢迎您！

登录后，您将获得更多功能！

热门文章
联系我们

有任何问题或合作意向欢迎联系我们

Email: 99873273@qq.com

QQ: 99873273