AWS EMR Phoenix集成Kerberos失败问题排查求助

你遇到的RetriesExhaustedException: Can't get the locations错误，本质是Phoenix客户端无法和HBase RegionServer建立有效连接，结合Kerberos环境，大概率是认证配置或票据有效性的问题。结合你已经完成的操作，我整理了以下针对性的排查步骤：

1. 补全并验证HBase Site中的Phoenix Kerberos配置 #

Kerberos集成要求Phoenix相关的Kerberos属性必须完整配置，你提到只做了部分配置，建议检查/etc/hbase/conf/hbase-site.xml中是否包含以下关键项：

• phoenix.queryserver.kerberos.principal：Phoenix Query Server的服务主体，格式应为phoenix/_HOST@YOUR_REALM（_HOST会自动替换为节点主机名）
• phoenix.queryserver.kerberos.keytab：对应主体的keytab文件路径，通常是/etc/phoenix.keytab
• 同时确认HBase本身的Kerberos配置正确：
  • hbase.security.authentication需设为kerberos
  • hbase.master.kerberos.principal和hbase.regionserver.kerberos.principal配置无误

2. 切换到Phoenix专属的Kerberos主体获取票据 #

你当前使用hbase主体的票据，但Phoenix客户端需要用自身的服务主体进行认证，而非HBase的主体：

• 执行以下命令获取Phoenix主体的票据：

  kinit -t /etc/phoenix.keytab phoenix/$(hostname -f)@YOUR_REALM_NAME
  

• 用klist命令验证票据是否有效，确认主体、有效期均符合预期。

3. 修正Phoenix Sqlline的启动参数 #

启动sqlline时，必须明确指定Kerberos相关的JDBC连接参数，确保客户端能正确发起认证：

sqlline.py -u "jdbc:phoenix:<ZK_QUORUM>:2181:/hbase-secure;principal=phoenix/$(hostname -f)@YOUR_REALM_NAME"

注意：

• <ZK_QUORUM>替换为EMR集群的ZooKeeper节点地址（可以是主节点或ZooKeeper集群地址）
• /hbase-secure是Kerberos环境下HBase默认的ZooKeeper根路径，需和HBase配置一致
• 如果你的jaas.conf路径非默认，需额外添加JVM参数：-Djava.security.auth.login.config=/etc/hbase/conf/jaas.conf

4. 先验证HBase集群的Kerberos可用性 #

排除HBase本身的Kerberos问题是关键：

• 启动hbase shell，执行list命令，如果能正常列出表，说明HBase的Kerberos配置无问题，问题集中在Phoenix端；如果HBase shell也报错，先排查HBase的RegionServer/Master的keytab、主体配置。

5. 查看日志定位具体错误 #

模糊的RetriesExhaustedException需要更详细的日志信息：

• 查看Phoenix客户端日志：默认在当前目录的sqlline.log，或EMR上的/var/log/phoenix目录，寻找AuthenticationException或GSSException这类认证相关的错误信息
• 查看HBase RegionServer和Master的日志（/var/log/hbase），确认是否有拒绝Phoenix客户端连接的认证记录

6. EMR专属配置检查 #

EMR环境有一些特定的配置点需要确认：

• 登录EMR控制台，检查集群配置中Phoenix的Kerberos选项是否已启用
• 验证keytab文件权限：确保/etc/phoenix.keytab和/etc/hbase.keytab的权限为600，且所属用户为phoenix和hbase（执行ls -l /etc/*.keytab查看）

内容的提问来源于stack exchange，提问作者Raj Kumar Rai