HBase Java连接Kerberos环境报错Expected HEADER=HBas排查求助

RpcServer报错信息："Expected HEADER=HBas but received HEADER=\x00\x00\x01\x0B from :61866"

该报错的核心原因是HBase服务端RPC端口收到了不符合HBase原生协议头的数据包，你收到的\x00\x00\x01\x0B是SASL GSSAPI Kerberos协商的初始请求标识，说明客户端已发起Kerberos认证协商，但服务端未按预期处理SASL协商包，属于两端认证配置不匹配类问题。

具体排查项 #

• 核对HBase服务端认证开关配置：确认所有HBase节点的hbase-site.xml中hbase.security.authentication配置值为kerberos，且配置修改后已重启所有HBase服务生效。如果服务端实际未开启Kerberos认证，客户端携带Kerberos身份发起请求就会触发该报错。
• 核对客户端与服务端认证配置一致性：确认客户端使用的hbase-site.xml或代码中硬编码的hbase.security.authentication配置值和服务端完全一致，禁止出现服务端开Kerberos、客户端配成simple，或者反过来的情况。
• 核对RPC保护级别配置匹配性：确认两端的hbase.rpc.protection配置值完全一致，可选值包括authentication/integrity/privacy，该配置不匹配会直接导致SASL协商失败，抛出该错误。
• 核对ZooKeeper认证配置匹配性：如果集群同时开启了ZK的Kerberos认证，需要确认客户端已正确配置hbase.zookeeper.property.authProvider.1 = org.apache.zookeeper.server.auth.SASLAuthenticationProvider，且zookeeper.kerberos.removeHostFromPrincipal、zookeeper.kerberos.removeRealmFromPrincipal两个配置和服务端保持一致。
• 排查端口访问链路是否正常：确认客户端访问的HBase Master（默认16000）、RegionServer（默认16020）端口没有被七层代理、端口映射转发到非HBase服务，错误的转发规则会导致服务端收到非HBase协议的数据包。
• 核对Kerberos身份访问权限：确认你使用的Kerberos principal已经被加入HBase的访问白名单，即使Kerberos登录成功，无HBase访问权限的principal发起的请求也可能触发协商异常。

内容的提问来源于stack exchange，提问作者Francesco Clementi