pyHive连接远程Hive报TTransportException: Could not start SASL怎么办

• 缺失必要连接参数：你当前的代码缺少kerberos_hostname参数，该参数需配置为HiveServer2服务所在节点的主机名（需和Kerberos principal里的_HOST解析结果一致），如果服务端principal的主机部分和host参数的解析结果不匹配，会直接触发SASL协商失败。修正后的连接参考：

conn = hive.Connection(
    host='你的HiveServer2地址',
    port=10001,
    database='default',
    username='你的Kerberos用户名',
    auth='KERBEROS',
    kerberos_service_name='hive',
    kerberos_hostname='Hive服务Kerberos principal对应的主机名',
    # 若服务端Kerberos realm和本地默认realm不一致，需额外添加以下参数
    kerberos_realm='你的Kerberos域'
).cursor()

• 依赖包不完整或版本不兼容：
  • 先确认已安装Python层面的完整依赖：pip install pyhive sasl thrift thrift-sasl
  • 需安装系统层面的SASL GSSAPI依赖：Debian/Ubuntu系列执行apt install libsasl2-modules-gssapi-mit，RHEL/CentOS系列执行yum install cyrus-sasl-gssapi，macOS可通过brew install cyrus-sasl安装
  • 仍报错可尝试降级thrift-sasl到0.3.0版本：pip install thrift-sasl==0.3.0，高版本部分场景会存在Kerberos协商兼容问题
• 服务端配置不匹配：
  • 确认kerberos_service_name和Hive服务端配置hive.server2.authentication.kerberos.principal的前缀完全一致，例如服务端principal为hive/hdp-node01@EXAMPLE.COM，则kerberos_service_name需为hive
  • 确认端口10001确实是HiveServer2开启Kerberos认证的监听端口，部分集群会把HTTP模式、无认证模式的HiveServer2端口分开配置
• Kerberos票据有效性校验：执行klist命令确认本地票据的有效期、realm、可访问的服务范围包含Hive服务的principal，票据如果是针对其他服务生成的也会导致协商失败。

内容的提问来源于stack exchange，提问作者Anthony Lauly