kinit：獲取初始憑據時客戶端憑據已被吊銷

我有用kerberos配置AD的hdp集羣。所有HDP服務帳戶都有生成的主體和密鑰表，包括spark。kinit：獲取初始憑據時客戶端憑據已被吊銷

我知道服務帳戶將不會有密碼並且設置爲未到期。現在在做kinit -kt spark.keytab -p spark-PRINCIPAL時出現以下錯誤（請參閱標題）。

我在麻省理工學院的網站上看到，這是由於許多登錄嘗試失敗或在KDC.account的默認策略中設置的帳戶失效可以使用kadmin命令解鎖，如kadmin:modprinci spark/principal，但我已經與AD管理員進行了交叉檢查。他說我們不使用kdc服務器來執行kadmin命令，因爲我們使用AD，但是當使用AD UI進行檢查時，說明spark帳戶處於解鎖狀態。

我的問題：

有解鎖火花帳戶在AD的任何命令？

我已經厭倦了刪除火花服務，並重新安裝在我的集羣中，它重新生成新的密鑰表或主體以避免從AD撤消錯誤。查看是否有任何火花本地帳戶導致此錯誤。

AD管理員給了我服務器的詳細信息和密碼，使用有限的權限來執行ldap搜索和刪除命令。我可以使用這些權限解鎖火花嗎？以及如何做到這一點？

來源

2016-11-25 kawad

我有用kerberos配置AD的HDP集羣。所有HDP服務帳戶都有生成的主體和密鑰表，包括spark。我知道服務帳戶將不會有密碼，並設置爲不過期。現在做kinit -kt spark.keytab -p spark-princlip我得到以下錯誤。「kinit：客戶端憑證已被吊銷，而獲得初始憑證」 – kawad

*「服務帳戶不會有密碼」* - 是的，他們**有**密碼; * keytab *只是一個包含該密碼散列版本的文件。只是在哈希和被遺忘後沒有辦法找到原始密碼。 –

您提交的錯誤：「kinit：獲取初始憑證時已吊銷客戶端憑證」表示與該keytab相關的Active Directory帳戶已被禁用，鎖定，過期或刪除。

默認情況下，您不能在AD中解鎖自己的帳戶（除非他們是域管理員，域帳戶操作員或其他具有管理權限的組的成員）。 AD管理員需要授予您這些權利。根據問題描述，這聽起來完全有可能AD管理員正在查看錯誤的帳戶。例如，如果您運行以下命令：

setspn -Q HTTP/somedomain.local

其中「HTTP/somedomain.local」表示SPN在這種情況下，輸出將揭示綁在SPN和密鑰表的AD帳戶的名稱 - 廣告管理需要查看該帳戶並確定其是否被禁用，鎖定，過期或刪除並採取糾正措施。

來源

2016-11-26 01:08:33

kinit：獲取初始憑據時客戶端憑據已被吊銷

回答

相關問題