1 Overview
部署 Kerberos 认证的 HDFS 本来就是一件比较麻烦的事，那么如果遇到 K8S 呢？也就是需要把 HDFS 部署到 K8S 集群上，并且带有 Kerberos 认证的呢，那恐怕就既要懂的 Hadoop 安全集群的搭建又要一点 K8S 的实践基础。
本文就这个项目 hadoop-kerberos-helm，讲解一下作者是如何部署 Kerberized HDFS 到 K8S 集群上的。
Kerberized HDFS -> KH
2 Steps
2.1 Step1 下载 Hadoop 2.7.3 的发行版
代码语言：javascript复制wget https://archive.apache.org/dist/hadoop/common/hadoop-2.7.3/hadoop-2.7.3.tar.gz这是因为在构建 Docker 镜像的时候需要。
2.2 Step2 构建 Docker 镜像
以下是一个相当常规的 Dockerfile，可以见到，需要给容器安装 krb5-server 等 Kerberos 相关的软件，另外就是将 Step 1 下载的 tar 放入镜像。然后就是复制几个启动 NameNode 和 DataNode 节点的脚本，以及启动 KDC 的脚本（KDC 可以理解是 Kerberos 存储用户信息的数据库）。
代码语言：javascript复制FROM centos:7
RUN yum -y install krb5-server krb5-workstation
RUN yum -y install java-1.8.0-openjdk-headless
RUN yum -y install apache-commons-daemon-jsvc
RUN yum install net-tools -y
RUN yum install telnet telnet-server -y
RUN yum -y install which
RUN sed -i -e 's/#//' -e 's/default_ccache_name/# default_ccache_name/' /etc/krb5.conf
RUN useradd -u 1098 hdfs
ADD hadoop-2.7.3.tar.gz /
RUN ln -s hadoop-2.7.3 hadoop
RUN chown -R -L hdfs /hadoop
COPY core-site.xml /hadoop/etc/hadoop/
COPY hdfs-site.xml /hadoop/etc/hadoop/
COPY ssl-server.xml /hadoop/etc/hadoop/
COPY yarn-site.xml /hadoop/etc/hadoop/
COPY krb5.conf /etc/
COPY start-namenode.sh /
COPY start-datanode.sh /
COPY populate-data.sh /
COPY start-kdc.sh /
COPY people.json /
COPY people.txt /
ENV JAVA_HOME=/usr/lib/jvm/jre-1.8.0-openjdk
ENV PATH=/hadoop/bin:$PATH
ENV HADOOP_CONF_DIR=/hadoop/etc/hadoop2.3 Step3 启动 K8S 集群
Mac 用户还是建议用 Docker For Mac，因为配置实在太简单了…
2.4 Step4 创建 PV 和 PVC
前提是你本地安装了 helm，没有也没有关系，可以用 kubectl 自行安装。
代码语言：javascript复制helm install -n hdfs-pvs pv看看 PV 相关的文件。
代码语言：javascript复制➜ hadoop-kerberos-helm git:(master) tree pv
pv
├── Chart.yaml
└── templates
├── namenode-hadoop-pv.yaml
├── namenode-hadoop.yml
├── server-keytab-pv.yaml
└── server-keytab.yaml先创建 PV 再创建 PVC。
2.5 Step5 启动 Pods
然后就是创建启动 KDC, NameNode, DataNode 的 Pods 了。
2.5.1 KDC Node
安装 KDC。同样如果是没有 helm 的话，按照上述方法就可以安装。
代码语言：javascript复制helm install -n hdfs-kdc kdc需要注意，创建 KDC 的 Pod 的时候，运行了 start-kdc.sh 这个脚本，这个脚本主要是创建 KDC 的用户和赋予密码，并且生成了 hdfs.keytab 文件。
2.5.2 NN Node
代码语言：javascript复制helm install -n hdfs-nn namenode2.5.3 DN Node
代码语言：javascript复制helm install -n hdfs-dn datanode2.5.4 DataPopulator Node
代码语言：javascript复制helm install -n hdfs-dp datapopulator2.6 运行 kinit
上述过程如果顺利的话，应该可以看到几个 Pod 都是处于 Running 状态。
➜ hadoop-kerberos-helm git:(master) kubectl get pods
NAME READY STATUS RESTARTS AGE
hdfs-data-populator-f9d85cf5d-r4tnx 1/1 Running 0 46s
hdfs-dn1-fdbb479d6-99tx4 1/1 Running 0 48s
kerberos-86b44bf796-4mtwr 1/1 Running 0 53s
nn-644bb56d5b-54tfn 1/1 Running 0 50skinit 是因为需要和 KDC 通信，下面的 Principal hdfs/nn.default.svc.cluster.local 是在启动 KDC 的时候创建的，下面的脚本可以根据这个 Principal 和预生成的 keytab 文件通过 Kerberos 的安全认证。
kubectl exec -it <POD_NAME> -- /bin/bash
su hdfs
kinit -kt /var/keytabs/hdfs.keytab hdfs/nn.default.svc.cluster.local
hdfs dfs -ls /3 Summary
至此，就简单介绍了在 K8S 集群中部署 KH 的步骤。
