本文档描述如何使用多种安全管理工具来保护CDP环境。重点介绍安全管理工具与CDP环境之间的集成点，但不会探讨这些工具的核心功能。
在调试Kerberos的时候可能会有需要禁用的场景。以下是各组件禁用Kerberos的相关配置。
PTT（Pass the Ticket，票据传递）攻击是一种使用Kerberos票据代替明文密码或NTLM哈希的方法。这种攻击手段可以用Kerberos票据进行内网横向渗透，不需要管理员权限，它最常见的用途可能是使用黄金票据和白银票据，通过票据传递访问主机，其利用方法十分简单。例如，通过这种手段，攻击者可以从Linux系统中窃取Kerberos凭据，然后在身份验证时将其传递到Windows机器上，达到横向渗透的结果。
在Kerberos环境中，我们的应用程序通过Java代码来提交任务需要先进行Kerberos凭证的初始化然后进行应用程序的提交，本文档主要讲述Java应用程序中读取krb5.conf 中配置ticket_lifetime 参数不生效的异常分析。
Kerberos这一名词来源于希腊神话“三个头的狗——冥府守门狗”，在系统中是一种认证协议，使用ticket让节点在不安全的网络环境下进行安全的通信，它能够防止窃听、防止replay攻击、保护数据完整性。黑客可以利用漏洞提升自己的网络权限，还可以获取内网资源，比如窃取密码。 三名研究员发现了这一漏洞，他们把它命名为“奥菲斯的竖琴”，因为它的原理类似希腊诗人奥菲斯用竖琴催眠守门狗的过程。 研究人员还发现，这个漏洞影响的Kerberos版本可以追溯到1996年，由于年代久远，Kerberos有其他的实现。这
关于Kerberos与Ldap两个方案，此处就不再赘述，分别参考我的另外两篇文章：
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。 雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。
此漏洞目前不一定很实用。转载这篇文章的原因，主要是理解问题和解决问题的思路，另外一点是写作思路 ------------------------------------------------------------------------------------------ 0x01 漏洞起源 说到ms14-068,不得不说silver ticket，也就是银票。银票是一张tgs，也就是一张服务票据。服务票据是客户端直接发送给服务器，并请求服务资源的。如果服务器没有向域控dc验证pac的话，那么客户端
此前对Hive的用户体系一直是心存疑惑，最近有了一些新的体会，我发现一个此前困恼了很久的问题，随着经验的增长都会迎刃而解。
前面的文章介绍了《Kerberos原理--经典对话》、《Kerberos基本概念及原理汇总》、《基于ambari的Kerberos安装配置》、《Windows本地安装配置Kerberos客户端》，已经成功安装了Kerberos KDC server，也在Ambari上启用了Kerberos，接下来我们再来研究一下如何使用Kerberos。
虽然可以使用 Hive 服务本身的 Principal 与 keytab 来连接 Hive ，但使用服务本身的 principal 不具有普遍性，所以还是建议使用自定义的 Principal 。
先说下网络环境，kafka服务器的IP为192.168.100.83 下文记做Linux 跑Java服务的IP为192.168.62.116 下文记做mac
对于HDFS服务，hdfs默认是超级管理员用户，它的权限最大，可以说它就相当于Linux的root。hdfs用户默认对所有目录有所有权限，同时可以执行HDFS相关的管理员命令比如让HDFS进入安全模式。但我们有时会碰到需要配置另一个超级用户的情况，本文Fayson主要介绍如何将普通用户设置为HDFS的超级用户。
SSH（Secure Shell）是一种网络协议，用于在不安全的网络上安全地运行网络服务。在 Linux 中，SSH 是一种常用的远程访问工具，它可以让用户在远程服务器上执行命令，上传和下载文件等。由于远程访问可能涉及到安全问题，因此 Linux 提供了多种身份验证方法来保护 SSH 连接的安全性。本文将介绍 Linux 中常用的 6 种 SSH 身份验证方法。
下面的表格中列举了包括在红帽企业 Linux 中的服务、守护进程、和程序所使用的最常见的通信端口。该列表还可以在 /etc/services 文件中找到。要查看由互联网号码分派局（IANA）制定的“著名的已注册动态端口”官方列表，请参考以下 URL：http://www.iana.org/assignments/port-numbers “层”是指服务或协议在交通层上使用 TCP 还是 UDP。若没有列举，这个服务或协议就两者都使用。 著名端口 端口号码 / 层 名称 注释 1 tc
HTTP,TCP,UDP常见端口对照表,下面罗列了包括在Linux 中的服务、守护进程、和程序所使用的最常见的通信端口小贴士：Ctrl+F 快速查找 Http端口号（点标题可收缩或展开）
Kerberos黄金票据允许攻击者建立对Windows域的持久和隐蔽的身份验证访问。攻击的工作如下：
之前，我们已经详细说过Kerberos认证的流程，这次我们就来说说如何对其进行利用，这次主要说的是白银票据伪造（Silver Tickets）
FreeIPA可以快速、便捷的将linux系统接入，进行统一的身份认证和权限管理。
在Ambari平台上，启用了Kerberos之后，一些服务的Web UI，像Namenode:50070、Oozie Web UI、Storm UI、Solr Web UI等快速链接大部分都是需要Kerberos认证才可以继续使用的。
当然我们可以利用msf建立连接后也可以使用mimikatz输入load mimikatz 然后输入wdigest就可以获取明文密码
出于CDH集群安全考虑，在CDH集群中增加了Kerberos认证机制。因为HBase的存储系统是基于Hadoop的存储，所以通过HBase客户端访问HBase数据库时需要进行身份认证。在Linux下使用HBase客户端访问HBase数据时需要先kinit初始化Kerberos账号，认证完成后我们就可以直接使用HBase shell操作HBase了。通过Linux的Kinit命令可以方便的完成Kerberos的认证，那么在Java开发中如何完成Kerberos的登录认证呢？本篇文章主要讲述如何使用Java连接Kerberos环境的HBase。
我查找了很久，还是没有找到这个错误的解决方法。因为我的配置是没有问题的，所以猜想会不会是浏览器的问题，没想到，重启火狐浏览器，再次访问HDFS真的就可以有权限访问文件了
写作本系列文章的背景是我们要在大数据平台/企业数据湖场景下给出中心化的用户身份认证方案。此前，我们实现过Windows AD + Kerberos的集成方案，由于Windows AD是LDAP和Kerberos的双重实现，这种天然优势使得Windows AD可以实现真正意义上的（大数据集群的）Kerberos账号与企业用户账号的统一管理。当我们想在OpenLDAP + Kerberos上实现同样的目标时，发现这一领域的知识与方案琐碎而凌乱，缺少统一连贯，脉络清晰的讲解，在经过大量技术调研和系统梳理后，我们特别撰写了本系列文章，希望可以借此将这一话题全面彻底地阐述清楚。本系列由三篇文章组成，将沿着“如何集成OpenLDAP与Kerberos实现统一认证管理”这一主线推进，在实现过程中会详细介绍使用到的技术和原理并给出完备的执行脚本用于实际环境的搭建。我们假设读者已经具备OpenLDAP和Kerberos的基本知识，不再对两者进行单独介绍。
问题导读 1.如何配置 Hadoop HTTP web-consoles 所需要的用户身份验证? 2.哪个配置文件可以配置 Hadoop HTTP认证？ 3.hadoop.http.authenti
昨天Fayson写了一篇《如何安装Tableau并连接CDH的Hive/Impala》，后台关注人数当天增加了40人，有点大大超过Fayson的预期，首先还是谢谢各位关注Fayson的人。
信任认证 trust 这个方法允许任何可以与OushuDB 数据库服务器连接的用户以他们期望的任意OushuDB 数据库用户身 份进行连接，而不需要口令或任何其他认证。 trust认证对于单用户工作站的本地连接是非常合适和方便的，它只适合 TCP/IP 连接，只有在你信任那 些trust 行上所有机器中的所有用户的时候才适合，一般很少使用trust作为任何除来自localhost (127.0.0.1) 以外的 TCP/IP 连接的认证方式，建议不要在生产环境中使用。 ident认证 ident 认证方法是通过从一个ident服务器获取客户端的操作系统用户名，然后列出允许的相对应名称的 映射文件确定允许的数据库用户名。这个用户映射文件为pg_ident.conf，记录着与操作系统用户匹配的 数据库用户，如果某操作系统用户在本文件中没有映射用户，则默认的映射数据库用户与操作系统用户 同名。比如，服务器上有名为user1的操作系统用户，同时数据库上也有同名的数据库用户，user1登录 操作系统后可以直接输入psql，以user1数据库用户身份登录数据库且不需密码。
1.Access Controller coprocessor实现的ACL权限控制；
内容来源：2017 年 07 月 29 日，威客安全技术合伙人安琪在“CDAS 2017 中国数据分析师行业峰会”进行《大数据平台基础架构hadoop安全分析》演讲分享。IT 大咖说（微信id：itdakashuo）作为独家视频合作方，经主办方和讲者审阅授权发布。
Impala本身提供了两种接口进行访问：beeswax和hs2，其中beeswax是impala自己开发的api，而hs2是兼容hive的。由于beesswax的连接方式需要使用impala自己提供的python脚本，而且不支持HA，因此这里就不再多做介绍。本文主要介绍如何使用hive的beeline客户端来连接impala集群。目前我们内部的Impala集群都支持zk的高可用，来解决单点故障的问题。不过对于用户来说，单节点和高可用只是体现在URL的不同，其他并无区别。
Master实例的pg_hba.conf文件控制对Greenplum数据库系统的客户端访问及认证。
著名端口 端口号码 / 层 名称 注释 1 tcpmux TCP 端口服务多路复用 5 rje 远程作业入口 7 echo Echo 服务 9 discard 用于连接测试的空服务 11 systat 用于列举连接了的端口的系统状态 13 daytime 给请求主机发送日期和时间 17 qotd 给连接了的主机发送每日格言 18 msp 消息发送协议 19 chargen 字符生成服务；发送无止境的字符流 20 ftp-data FTP 数据端口 21 ftp 文件传输协议（FTP）端口；有时被文件服务协议
端口号码 / 层 名称 注释 1 tcpmux TCP 端口服务多路复用 5 rje 远程作业入口 7 echo Echo 服务 9 discard 用于连接测试的空服务 11 systat 用于列举连接了的端口的系统状态 13 daytime 给请求主机发送日期和时间 17 qotd 给连接了的主机发送每日格言 18 msp 消息发送协议 19 chargen 字符生成服务；发送无止境的字符流 2
在评估漏洞影响时，人们关注的往往是漏洞风险，而实际上，漏洞潜伏的时间也是一个非常重要的因素。时间跨度大，也就意味着在此期间使用这些含有漏洞的软件的设备更多，影响的设备就更多；而时间跨度长，也就意味着被
温馨提示：要看高清无码套图，请使用手机打开并单击图片放大查看。 Fayson的github： https://github.com/fayson/cdhproject 提示：代码块部分可以左右滑动查看噢 1.文档编写目的 ---- 在开发应用使用Hadoop提供的hadoop-client API来访问HDFS并进行本地调试，本篇文章Fayson主要介绍如何使用Java API访问Kerberos环境下的HDFS并为目录设置配额。 内容概述 1.环境准备 2.Kerberos环境为HDFS目录设置配额 3.
环境变量，或者称为全局变量，存在与所有的shell 中，在你登陆系统的时候就已经有了相应的系统定义的环境变量了。Linux 的环境变量具有继承性，即子shell 会继承父shell 的环境变量。
目前impala的认证方式支持两种：用户名密码和kerberos，由于impala的表数据一般是存在HDFS上的，所以很多时候，impala集群也会开启kerberos的认证，初次新接入Impala的小伙伴，可能会对kerberos比较头疼，这里将通过一个简单的例子来告诉大家，如何在代码中访问带kerberos的impala集群。废话不多说，直接上代码：
最新版下载地址：https://github.com/gentilkiwi/mimikatz/releases/download/2.1.1-20180205/mimikatz_trunk.zip
Cloudera 集群如何使用Kerberos工件，例如principal、keytab和委派令牌。
rcp命令用于复制远程文件或目录，如同时指定两个以上的文件或目录，且最后的目标位置是一个已经存在的目录，则它会把前面指定的所有文件或目录复制到该目录中，执行rcp命令以后不会有返回信息，仅需要在目标目录下查看文件或目录是否复制成功即可，rcp不提示输入密码，其通过rsh执行远程执行。
https://github.com/Ridter/Intranet_Penetration_Tips
由于服务器存储空间有限，但是如果有个外置的NAS存储服务就能够很好的解决服务器的磁盘问题。下面就简单介绍一下如何将NAS挂载在服务器上，简介的扩充磁盘。
Kerberos认证在大数据场景下用的比较多，特别是在Hadoop生态下，认证基本用的都是Kerberos认证。一般来讲Kerberos认证相对于其他方式的认证安全很多，同样的认证的时候性能应该差一点。
conf目录下krb5.conf和kafka.keytab和jaas.conf拷贝到客户端机器的etc目录, 同时,krb5.conf中的kdc集群主机名和IP配置到客户端机器hosts配置文件中
对于任何计算环境来讲，身份验证是最基本的安全要求。简单来说，用户和服务必须先向系统证明其身份（身份验证），然后才能在授权范围内使用系统功能。身份验证和授权携手并进，以保护系统资源。授权有多种方式处理，从访问控制列表（ACL）到HDFS扩展的ACL，再到使用Ranger的基于角色的访问控制（RBAC）。
linux 添加 用户，并为这个用户指定用户组，并将这个用户添加到 sudo 用户组 shell> useradd user 也可以用 shell> adduser user 用 adduser 比较好用一些，这样的话系统会自动将 standme 的目录什么都建立，然后直接提示你设置密码。 如果用 useradd ，之后还需要用 passwd user 来设置密码。 之前用 debian5的时候，直接添加用户，然后设置密码都没问题，这次全新安装 debian squeeze 6.0 之后，发现会
Kerberos是一种计算机网络认证协议，它允许某实体在非安全网络环境下通信，向另一个实体以一种安全的方式证明自己的身份。它也指由麻省理工实现此协议，并发布的一套免费软件。它的设计主要针对客户-服务器模型，并提供了一系列交互认证——用户和服务器都能验证对方的身份。Kerberos协议可以保护网络实体免受窃听和重复攻击。
Fayson在前面的文章介绍了《如何在CDH集群安装Kafka Manager》和《0542-6.1.0-非安全环境下Kafka管理工具Kafka Eagle安装使用》。Kafka-eagle支持Kerberos环境下的Kafka集群管理，本篇文章Fayson主要介绍在Kerberos环境下Kafka管理工具Kafka Eagle安装使用。
身份验证是任何计算环境的基本安全要求。简单来说，用户和服务必须先向系统证明其身份（身份验证），然后才能在授权范围内使用系统功能。身份验证和授权携手并进，以保护系统资源。授权使用多种方式处理，从访问控制列表（ACL）到HDFS扩展ACL，再到使用Ranger的基于角色的访问控制（RBAC）。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
