我之前在开发HDFS Java客户端时也踩过Kerberos认证的坑，结合你给出的代码场景，给你梳理几个关键的解决步骤：

你当前的代码仅配置了文件系统的实现类，但完全缺少Kerberos认证相关的配置和登录逻辑，这是导致错误的核心原因。下面是针对性的修正步骤：

1. 补充Kerberos核心配置项 #

在你的Configuration对象中，必须添加Kerberos认证的基础配置：

Configuration configuration = new Configuration();
// 保留你原有的文件系统实现类配置
configuration.set("fs.hdfs.impl", org.apache.hadoop.hdfs.DistributedFileSystem.class.getName());
configuration.set("fs.file.impl", org.apache.hadoop.fs.LocalFileSystem.class.getName());
// 添加Kerberos认证相关配置
configuration.set("hadoop.security.authentication", "kerberos");
// 替换为你的HDFS NameNode的Kerberos主体（格式一般为 hdfs/<节点主机名>@<Kerberos域>）
configuration.set("dfs.namenode.kerberos.principal", "hdfs/namenode-host.example.com@EXAMPLE.COM");

2. 完成Kerberos登录操作 #

光有配置还不够，需要在代码中主动执行Kerberos登录，常用两种方式：

方式一：使用Keytab文件（适合服务端/自动化场景） #

这种方式不需要手动执行kinit，适合长期运行的服务：

// 指定krb5.conf的路径（Kerberos配置文件，需和集群环境一致）
System.setProperty("java.security.krb5.conf", "/etc/krb5.conf");
UserGroupInformation.setConfiguration(configuration);
// 替换为你的Kerberos主体和对应的keytab文件路径
UserGroupInformation.loginUserFromKeytab("your-user@EXAMPLE.COM", "/path/to/your-user.keytab");

方式二：使用用户票据缓存（适合开发测试场景） #

需要先在终端执行kinit获取有效票据，再运行代码：

UserGroupInformation.setConfiguration(configuration);
UserGroupInformation.loginUserFromSubject(null);

3. 验证依赖与环境正确性 #

• 确保项目依赖的Hadoop jar包（hadoop-common、hadoop-hdfs、hadoop-auth）版本和集群版本完全一致，版本不兼容会导致各种认证异常
• 手动执行kinit+klist命令，验证Kerberos环境能正常获取并查看票据，排除基础环境问题
• 确认krb5.conf中的KDC地址、域配置和集群的Kerberos环境匹配

修正后的完整示例代码（Keytab方式） #

import org.apache.hadoop.conf.Configuration;
import org.apache.hadoop.fs.FileSystem;
import org.apache.hadoop.fs.Path;
import org.apache.hadoop.security.UserGroupInformation;
import java.io.FileOutputStream;
import java.io.OutputStream;

public class HdfsKerberosDemo {
    public static void main(String[] args) throws Exception {
        Configuration configuration = new Configuration();
        // 原有文件系统配置
        configuration.set("fs.hdfs.impl", org.apache.hadoop.hdfs.DistributedFileSystem.class.getName());
        configuration.set("fs.file.impl", org.apache.hadoop.fs.LocalFileSystem.class.getName());
        
        // Kerberos认证配置
        configuration.set("hadoop.security.authentication", "kerberos");
        configuration.set("dfs.namenode.kerberos.principal", "hdfs/namenode-host.example.com@EXAMPLE.COM");
        
        // 执行Kerberos登录
        System.setProperty("java.security.krb5.conf", "/etc/krb5.conf");
        UserGroupInformation.setConfiguration(configuration);
        UserGroupInformation.loginUserFromKeytab("demo-user@EXAMPLE.COM", "/opt/hadoop/conf/demo-user.keytab");
        
        // 操作HDFS示例
        FileSystem fs = FileSystem.get(new Path("hdfs://namenode-host.example.com:9000/").toUri(), configuration);
        OutputStream hdfsOut = fs.create(new Path("/test/kerberos-test.txt"));
        hdfsOut.write("Kerberos Auth Success!".getBytes());
        hdfsOut.close();
        fs.close();
        
        // 保留你原有的本地文件操作
        OutputStream fileout1 = new FileOutputStream("CONF_before.XML");
        // ... 后续业务逻辑
    }
}

内容的提问来源于stack exchange，提问作者Алексей Байдин