kinit：获取初始凭据时客户端凭据已被吊销

我有用kerberos配置AD的hdp集群。所有HDP服务帐户都有生成的主体和密钥表，包括spark。kinit：获取初始凭据时客户端凭据已被吊销

我知道服务帐户将不会有密码并且设置为未到期。现在在做kinit -kt spark.keytab -p spark-PRINCIPAL时出现以下错误（请参阅标题）。

我在麻省理工学院的网站上看到，这是由于许多登录尝试失败或在KDC.account的默认策略中设置的帐户失效可以使用kadmin命令解锁，如kadmin:modprinci spark/principal，但我已经与AD管理员进行了交叉检查。他说我们不使用kdc服务器来执行kadmin命令，因为我们使用AD，但是当使用AD UI进行检查时，说明spark帐户处于解锁状态。

我的问题：

有解锁火花帐户在AD的任何命令？

我已经厌倦了删除火花服务，并重新安装在我的集群中，它重新生成新的密钥表或主体以避免从AD撤消错误。查看是否有任何火花本地帐户导致此错误。

AD管理员给了我服务器的详细信息和密码，使用有限的权限来执行ldap搜索和删除命令。我可以使用这些权限解锁火花吗？以及如何做到这一点？

来源

2016-11-25 kawad

我有用kerberos配置AD的HDP集群。所有HDP服务帐户都有生成的主体和密钥表，包括spark。我知道服务帐户将不会有密码，并设置为不过期。现在做kinit -kt spark.keytab -p spark-princlip我得到以下错误。 “kinit：客户端凭证已被吊销，而获得初始凭证” – kawad

*“服务帐户不会有密码”* - 是的，他们**有**密码; * keytab *只是一个包含该密码散列版本的文件。只是在哈希和被遗忘后没有办法找到原始密码。 –

您提交的错误：“kinit：获取初始凭证时已吊销客户端凭证”表示与该keytab相关的Active Directory帐户已被禁用，锁定，过期或删除。

默认情况下，您不能在AD中解锁自己的帐户（除非他们是域管理员，域帐户操作员或其他具有管理权限的组的成员）。 AD管理员需要授予您这些权利。根据问题描述，这听起来完全有可能AD管理员正在查看错误的帐户。例如，如果您运行以下命令：

setspn -Q HTTP/somedomain.local

其中“HTTP/somedomain.local”表示SPN在这种情况下，输出将揭示绑在SPN和密钥表的AD帐户的名称 - 广告管理需要查看该帐户并确定其是否被禁用，锁定，过期或删除并采取纠正措施。

来源

2016-11-26 01:08:33

kinit：获取初始凭据时客户端凭据已被吊销

回答

相关问题