如何配置Hive Cli自动获取并续期Kerberos票据

一、基础前提确认 #

先确保Kerberos客户端与Hive客户端核心配置正确：

• krb5.conf文件路径已通过KRB5_CONFIG环境变量指定，且Realm、KDC地址配置无误
• Hive的hive-site.xml中已开启Kerberos认证，核心参数示例：

  <property>
      <name>hive.server2.authentication</name>
      <value>KERBEROS</value>
  </property>
  <property>
      <name>hive.metastore.authentication</name>
      <value>KERBEROS</value>
  </property>
  

二、Hive Shell启动自动获取票据 #

编写自定义启动脚本（如myhive.sh）替代默认hive命令，实现启动前自动检查并获取票据：

#!/bin/bash

# 检查是否存在有效Kerberos票据
klist -s
if [ $? -ne 0 ]; then
    # 两种选择：用keytab自动认证（推荐生产环境）
    kinit -kt /etc/security/keytabs/your-user.keytab your-user@YOUR-REALM.COM
    # 或交互式输入密码（测试环境用）：kinit your-user@YOUR-REALM.COM
fi

# 正常启动Hive Shell，保留原命令参数
exec hive "$@"

给脚本添加执行权限：chmod +x myhive.sh，之后通过./myhive.sh启动Hive即可自动处理票据初始化。

三、票据过期自动续期 #

方案1：基于kinit可续期票据+定时任务 #

1. 首次获取票据时指定可续期时长（比如7天）：

   kinit -r 7d -kt /etc/security/keytabs/your-user.keytab your-user@YOUR-REALM.COM
   

2. 编写续期脚本renew_krb_ticket.sh：

   #!/bin/bash
   # 计算票据剩余有效期（单位：秒）
   EXPIRE_TIME=$(klist | grep "Expires" | awk '{print $4, $5}')
   EXPIRE_TIMESTAMP=$(date -d "$(date +%Y-%m-%d) $EXPIRE_TIME" +%s)
   NOW_TIMESTAMP=$(date +%s)
   REMAIN_SEC=$((EXPIRE_TIMESTAMP - NOW_TIMESTAMP))
   
   # 剩余时间不足1小时则自动续期
   if [ $REMAIN_SEC -lt 3600 ]; then
       kinit -R
   fi
   

3. 添加crontab定时任务，每30分钟检查一次：

   crontab -e
   # 加入以下行
   */30 * * * * /path/to/renew_krb_ticket.sh >> /var/log/krb_renew.log 2>&1
   

方案2：HiveServer2层面自动续期（针对Server模式作业） #

若使用HiveServer2提交作业，可在hive-site.xml中配置自动续期：

<property>
    <name>hive.server2.authentication.kerberos.renewal.enabled</name>
    <value>true</value>
</property>
<property>
    <name>hive.server2.authentication.kerberos.renewal.interval</name>
    <value>3600</value> <!-- 每1小时续期一次 -->
</property>

四、多并发作业共用票据缓存 #

Kerberos票据默认存储在用户专属缓存文件中（路径通常为/tmp/krb5cc_<用户UID>），同一用户启动的所有进程（包括多个Hive Shell实例、后台作业）会自动共用该缓存，无需额外配置。

注意事项：

• 确保所有并发作业以同一用户身份运行
• 不要手动删除缓存文件，否则会导致所有依赖该票据的作业失败

五、验证步骤 #

1. 启动Hive Shell后执行klist，确认票据存在且有效期符合预期
2. 手动销毁票据：kdestroy，再次启动Hive Shell，检查是否自动重新获取
3. 同时启动多个Hive Shell实例，执行klist对比缓存路径与有效期，确认共用同一张票据

内容的提问来源于stack exchange，提问作者uds0128