Apache下以指定用户执行Python脚本实现Kerberos认证连接Hadoop

一、mod_wsgi 配置多用户组 #

你对WSGIDaemonProcess只能指定一个组的怀疑是错误的，它支持同时指定多个组，语法上用逗号分隔组名即可：

WSGIDaemonProcess myapp user=target_user group=group1,group2
WSGIProcessGroup myapp

配置完成后重启Apache，再测试Kerberos认证。如果仍有问题，可以在Python脚本开头手动设置附加组：

import os
# 替换为你的两个组的GID，可通过`id -g group1`命令获取对应值
os.setgroups([gid1, gid2])

注意：脚本需要具备调用os.setgroups()的权限，通常需要以root身份临时执行，或确保目标用户权限允许修改组列表。

二、PHP调用Python脚本时指定用户和组 #

有两种可行实现方式：

• 方式1：利用PHP的posix扩展
  如果PHP启用了posix扩展，可在调用Python脚本前切换用户和组：

// 替换为目标用户的UID和GID，可通过`id -u target_user`和`id -g target_user`获取对应值
$uid = 1001;
$gid = 1002;

// 先设置组，再设置用户
posix_setgid($gid);
posix_setuid($uid);

// 调用Python脚本
exec("python3 /path/to/your_script.py");

注意：Apache运行的apache用户需要具备切换到该UID/GID的权限，可通过将apache用户添加到sudoers或调整目标用户权限实现。

• 方式2：使用runuser/su命令切换执行
  直接在exec中通过runuser命令切换用户和组执行脚本：

// 替换为目标用户名和组名
exec("runuser -u target_user -g target_group -- python3 /path/to/your_script.py 2>&1", $output, $return_var);
// 可通过$output和$return_var变量排查执行问题

需要确保apache用户有权限执行runuser命令，可修改sudoers文件添加规则：

apache ALL=(target_user) NOPASSWD: /usr/bin/runuser -u target_user -g target_group -- python3 /path/to/your_script.py

之后通过sudo调用：

exec("sudo runuser -u target_user -g target_group -- python3 /path/to/your_script.py 2>&1", $output, $return_var);

额外排查点 #

1. 在Python脚本中加入klist命令输出，确认Kerberos票据是否有效生成。
2. 检查Hadoop/Impala的权限配置，确保目标用户确实拥有两个指定组的读写权限。
3. 查看Apache和Impala的详细日志，定位认证失败的具体原因（如组权限不足、票据过期等）。

内容的提问来源于stack exchange，提问作者Afroman258