凭证提供者API

在Hadoop的凭据命令

用法：hadoop凭证<subcommand> [选项]

请参见《命令手册》中的命令选项详细信息

凭证命令可以用于向特定凭证存储提供者提供密码或机密。为了明确指示要使用哪个提供者存储，应使用-provider选项。

示例：hadoop凭据创建ssl.server.keystore.password -provider jceks：//file/tmp/test.jceks

为了指示特定的提供程序类型和位置，用户必须在core-site.xml中提供hadoop.security.credential.provider.path配置元素，或在每个凭证管理命令上使用命令行选项-provider。该提供程序路径是一个用逗号分隔的URL列表，它指示应查询的提供程序列表的类型和位置。例如，以下路径：user：///，jceks：//file/tmp/test.jceks,jceks：//hdfs@nn1.example.com/my/path/test.jceks表示当前用户的凭据应该通过用户提供程序咨询该文件，位于/tmp/test.jceks的本地文件是Java Keystore Provider，并且位于HDFS内的文件位于nn1.example.com/my/path/test.jceks还是Java Keystore Provider的商店。

提供者类型

1. 由提供者URI user：///表示的UserProvider用于从用户的凭据文件中检索凭据。该文件用于存储执行作业和应用程序所需的各种令牌，机密和密码。
2. 的JavaKeyStoreProvider，这是由提供者URI表示JCEKS：// SCHEME /路径到密钥库，用于检索在一个文件系统从Java密钥存储文件凭证<SCHEME>底层使用Hadoop的文件系统API允许证书是存储在本地文件系统上或群集存储中。
3. 的LocalJavaKeyStoreProvider，这是由提供者URI表示localjceks：//文件/路径到密钥库，用于从所必须存储在本地文件系统Java密钥的访问凭证。凭据将需要使用此凭据，从而导致递归依赖于访问HDFS。每当需要您的凭据才能访问HDFS时，我们就不必依赖从HDFS中获取凭据。

将凭据存储在文件系统中时，将应用以下规则：

• 存储在本地localjceks：//文件中的凭证将在配置中的读取过程中加载。要在YARN应用程序中使用，这意味着它们在主机的本地文件系统中的整个群集中必须可见。

• 可以将使用jceks：//提供程序存储的凭据存储在群集文件系统中，并在整个群集中可见，但是不能在需要特定凭据访问的文件系统中看到。

要使用jceks URI 包装文件系统URI，请执行以下步骤：

1. 取得文件系统URI，例如hdfs：// namenode：9001 / users / alice / secrets.jceks
2. 将jceks：//放在URL的前面：jceks：// hdfs：// namenode：9001 / users / alice / secrets.jceks
3. 用@符号替换第二个：//字符串：jceks：// hdfs @ namenode：9001 / users / alice / secrets.jceks

例子

对于本地文件系统，诸如file：///tmp/secrets.jceks之类的路径将变为：jceks：//file/tmp/secrets.jceks

请注意，为避免无限递归，诸如abfs，s3a，adls和wasb之类的文件系统显式排除了存储在其自己文件系统方案中的路径上的密钥库，即使它们存储在使用一组与所查找凭据不同的凭据的容器中也是如此。

例如，您不能使用存储在s3a：//shared/secrets/secret.jceks中的凭据来读取容器s3a：// private /的凭据。

密钥库密码

Java中的密钥库通常受密码保护。保护基于密钥库的凭据提供程序的主要方法是操作系统级文件权限以及目标文件系统可能存在的任何其他基于策略的访问保护。尽管密码不是主要的保护来源，但了解所需的机制以及管理这些密码的可用选项非常重要。了解所有需要访问用于保护密钥库的密码以便在运行时使用它们的各方也非常重要。

禁用回退到纯文本

该Credentials.getPassword（）操作回落到配置XML文件中使用的条目，如果没有凭据提供，或者如果密钥无法被发现。

可以通过将配置选项hadoop.security.credential.clear-text-fallback从true更改为false来禁用此操作：

<属性>
  <name> hadoop.security.credential.clear-text-fallback </ name>
  <value> false </ value>
  <说明>
    是或否，表示是否退回到存储凭证
    密码为明文形式。默认值是true。此属性仅适用
    当无法从凭证提供者处找到密码时。
  </ description>
</ property>

设置后，必须通过凭据提供程序来提供通过getPassword（） API 查找的所有配置选项。