HBase作为构建在Hadoop之上的分布式列式数据库，广泛应用于大数据存储场景。默认情况下，HBase的客户端连接不需要身份验证，任何人拿到ZooKeeper地址就能直接读写数据，这在生产环境中是极大的安全隐患。将HBase接入Kerberos认证体系后，只有持有合法票据的用户才能访问集群，这是大多数企业大数据平台的安全基线配置。本文将从原理、服务端配置、客户端接入和常见问题排查四个方面，完整讲解HBase的Kerberos集成过程。
一、Kerberos认证的基本原理
Kerberos是MIT设计的一种网络认证协议，核心思想是通过可信任的第三方KDC（密钥分发中心）来证明通信双方的身份。整个体系由三部分组成：KDC数据库、认证服务器AS和票据授权服务器TGS。用户先向AS证明自己的身份并获得TGT（票据授权票据），再用TGT向TGS换取访问某个具体服务的Service Ticket，最后携带该票据访问目标服务。服务端通过解密票据确认请求者身份，全程密码不在网络上传输。
映射到HBase的场景，认证链路涉及三个主体：客户端用户principal、HBase服务principal（通常是hbase/_HOST@REALM格式）以及底层HDFS和ZooKeeper的服务principal。这一点很关键，因为HBase的数据最终存储在HDFS上，元数据和选主依赖ZooKeeper，所以开启Kerberos后这三者的认证必须同时配置，缺一不可。_HOST占位符会在运行时自动替换为所在机器的主机名，前提是主机名与IP的解析关系配置正确。
理解SASL机制也很重要。HBase的RPC层通过SASL封装Kerberos认证，客户端与服务端协商出认证方式后建立安全通道。此外Kerberos只解决身份认证问题，权限控制仍需配合HBase自身的ACL机制，两者结合才能形成完整的访问控制体系。
二、服务端配置步骤
首先确保集群已安装并启动KDC服务。以CentOS为例，安装krb5-server后修改/etc/krb5.conf，配置realm名称和KDC地址，然后创建管理员数据库并启动服务。接着为各个组件创建principal并导出keytab文件，keytab相当于principal的密钥文件，服务进程用它来无交互地完成认证。
创建principal和keytab的命令大致如下：
# 创建HBase服务主体，-randkey表示生成随机密钥 kadmin.local -q "addprinc -randkey hbase/node1.ippipp.com@EXAMPLE.COM" # 导出keytab文件 kadmin.local -q "ktadd -k /etc/security/keytabs/hbase.keytab hbase/node1.ippipp.com@EXAMPLE.COM" # 同样方式为HDFS和ZooKeeper创建主体 kadmin.local -q "addprinc -randkey hdfs/node1.ippipp.com@EXAMPLE.COM" kadmin.local -q "addprinc -randkey zookeeper/node1.ippipp.com@EXAMPLE.COM"
拿到keytab后，修改hbase-site.xml开启安全认证。核心参数包括hbase.security.authentication设为kerberos，hbase.security.authorization设为true，以及通过hbase.master.kerberos.principal、hbase.regionserver.kerberos.principal指定服务主体，keytab路径分别由hbase.master.keytab.file和hbase.regionserver.keytab.file指定。
<property> <name>hbase.security.authentication</name> <value>kerberos</value> </property> <property> <name>hbase.security.authorization</name> <value>true</value> </property> <property> <name>hbase.master.kerberos.principal</name> <value>hbase/_HOST@EXAMPLE.COM</value> </property> <property> <name>hbase.master.keytab.file</name> <value>/etc/security/keytabs/hbase.keytab</value> </property> <property> <name>hbase.regionserver.kerberos.principal</name> <value>hbase/_HOST@EXAMPLE.COM</value> </property> <property> <name>hbase.regionserver.keytab.file</name> <value>/etc/security/keytabs/hbase.keytab</value> </property> <property> <name>hbase.zookeeper.quorum</name> <value>node1.ippipp.com,node2.ippipp.com,node3.ippipp.com</value> </property>
还要在hbase-env.sh中通过HBASE_OPTS指定kerberos的JVM参数，包括krb5.conf路径等。修改完成后重启HDFS、ZooKeeper和HBase，注意重启顺序要遵循底层依赖先启动的原则。启动后通过jps确认进程存活，再查看RegionServer日志中是否出现GSSException等认证异常，如果RegionServer注册失败，多数是keytab权限或主机名解析问题。
三、Java客户端连接示例
服务端开启Kerberos后，所有客户端必须先通过认证才能建立连接。Java客户端的做法是通过UserGroupInformation的loginUserFromKeytab方法完成登录，之后再创建HBase连接。需要注意的是krb5.conf和keytab文件的路径，以及代码中指定的principal必须与实际环境一致。
import org.apache.hadoop.conf.Configuration;
import org.apache.hadoop.security.UserGroupInformation;
import org.apache.hadoop.hbase.HBaseConfiguration;
import org.apache.hadoop.hbase.TableName;
import org.apache.hadoop.hbase.client.*;
import org.apache.hadoop.hbase.util.Bytes;
public class HBaseKerberosDemo {
public static void main(String[] args) throws Exception {
// 设置Kerberos配置文件路径
System.setProperty("java.security.krb5.conf", "/etc/krb5.conf");
Configuration conf = HBaseConfiguration.create();
conf.set("hadoop.security.authentication", "kerberos");
conf.set("hbase.security.authentication", "kerberos");
conf.set("hbase.master.kerberos.principal", "hbase/_HOST@EXAMPLE.COM");
conf.set("hbase.regionserver.kerberos.principal", "hbase/_HOST@EXAMPLE.COM");
conf.set("hbase.zookeeper.quorum", "node1.ippipp.com,node2.ippipp.com");
// 使用keytab登录，避免手工输入密码
UserGroupInformation.setConfiguration(conf);
UserGroupInformation.loginUserFromKeytab(
"hbase-client@EXAMPLE.COM",
"/etc/security/keytabs/hbase-client.keytab");
// 创建连接并执行读取
try (Connection connection = ConnectionFactory.createConnection(conf);
Table table = connection.getTable(TableName.valueOf("user_info"))) {
Get get = new Get(Bytes.toBytes("row001"));
Result result = table.get(get);
byte[] value = result.getValue(
Bytes.toBytes("cf"), Bytes.toBytes("name"));
System.out.println("读取结果: " + Bytes.toString(value));
}
}
}
代码中有几个容易踩坑的地方。第一，UserGroupInformation.setConfiguration必须在loginUserFromKeytab之前调用，否则认证模式仍是simple。第二，依赖包版本要与集群匹配，hadoop-auth和hbase-client的版本不一致时经常出现 Sasl异常。第三，如果使用的是CDH或HDP发行版，部分配置项名称可能略有差异，建议参考对应版本的官方文档。
除了Java API，命令行访问也需要先执行kinit获取票据，例如kinit -kt /etc/security/keytabs/hbase-client.keytab hbase-client@EXAMPLE.COM，然后再执行hbase shell即可正常操作，否则会报GSSException: No valid credentials provided。
四、常见问题排查思路
集成过程中的报错看似复杂，但按链路逐层排查通常能快速定位。最常见的是时钟不同步问题，Kerberos默认允许的时间偏差只有5分钟，集群机器之间时间差超过该阈值就会报Clock skew too great，部署NTP服务统一校时即可解决。
第二类是principal相关错误。报错信息中出现Server not found in Kerberos database时，一般是principal写错或者主机名解析不一致，重点检查krb5.conf中的realm配置、/etc/hosts文件中是否将主机名解析到了127.0.0.1。建议hosts文件中使用真实IP并保证短主机名与FQDN对应关系正确。
第三类是keytab问题，典型报错是Unable to obtain password from user或Failure to unspecified GSSAPI。可能原因包括keytab文件权限过严（进程用户必须可读）、keytab过期重新生成后未同步、以及krb5.conf中enctype类型与KDC支持的加密算法不匹配。可以先用klist -kt命令验证keytab内容，再用kinit -kt测试能否正常获取票据，这一步通过则说明客户端侧配置无误，问题集中在服务端。
最后提醒一点，开启Kerberos后整个链路都要走认证，HDFS、ZooKeeper、YARN等组件如果尚未开启安全认证，可能出现HBase自身认证通过但底层读写HDFS失败的诡异现象。建议在集成HBase之前先完成HDFS和ZooKeeper的安全化，再逐层启用HBase的认证与授权，这样排查范围更小，上线过程也更平稳。
HBase Kerberos认证Kerberos集成HBase安全认证修改时间：2026-09-03 21:05:19