- 1MySQL优化：12种提升SQL执行效率的有效方法_mysql sql执行计划优化
- 2B端系统从0到1：有几步，其中需求分析要做啥？_b端需求
- 3Python中f‘‘、str.format()和str%()的字符串格式化详解(2)------格式占位符的使用，日期、时间格式使用
- 4微软发布Win11 21H2七月更新补丁KB5040431，快来体验！
- 5java虚拟机类加载机制_java虚拟机类加载机制。
- 6VS2019 打包扩展（Microsoft Visual Studio Installer Projects）下载慢的问题_microsoft visual studio installer project 2019插件
- 7利用贝叶斯和决策树 来进行医疗诊断的
- 8Unity进阶---对象池/缓存池_unity 对象池
- 9IOS：Safari无法播放MP4（H.264编码）_iossafari浏览器支持的视频编码格式
- 10产品经理基础知识
kerberos的tgt时间理解
赞
踩
之前在impala集成kerberos时，遇到了时间相关的问题，当时没有做充分的测试，对某些理解有些问题（http://caiguangguang.blog.51cto.com/1652935/1381323），今天正好做了下测试，总结如下：
1.klist中expires以及renew until是由client端的/etc/krb5.conf配置文件中的参数决定（在没有超过max的情况）。
|
1
2
3
4
5
6
|
server端对应的配置为：
ticket_lifetime = 1h
renew_lifetime = 1d
client端对应的配置为：
ticket_lifetime = 4h
renew_lifetime = 5d
|
2.server端kdc.conf的配置起到限制client的作用。在client的设置超过max的设置时，按max取值
比如server端设置
|
1
2
3
4
5
6
7
8
9
|
max_life = 25h
max_renewable_life = 71d
client端设置
ticket_lifetime = 40h
renew_lifetime = 200d
klist的结果为server配置的值：
Valid starting Expires Service principal
03
/25/14
11:55:41 03
/26/14
12:55:41 krbtgt
/KERBEROS_HADOOP
@KERBEROS_HADOOP
renew
until
06
/03/14
11:55:41
|
3.kdc.conf配置的更改对新建的principal会立即生效，旧的不会生效，如果需要对旧的principal生效，需要modprinc
比如：
|
1
|
modprinc -maxlife 32days -maxrenewlife 32days +allow_renewable krbtgt
/REALM
|
4.理解ticket_lifetime和renew_lifetime
超过renew_lifetime时间之后，不能kinit -R,kinit -R不会改变tgt cache的renew until时间，如果想要改变tgt cache的renew until时间
可以使用kinit -r xx来renew tgt，最大时间由max_renewable_life限制。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
|
ticket_lifetime = 40w
renew_lifetime = 200w
klist
Valid starting Expires Service principal
03
/25/14
12:04:25 03
/25/14
12:05:05 krbtgt
/KERBEROS_HADOOP
@KERBEROS_HADOOP
renew
until
03
/25/14
12:07:45
date
Tue Mar 25 12:05:38 CST 2014
#超过了expires的时间，但是没有超过renew until的时间
kinit -R
#可以renew,renew until的时间不会变
klist
Valid starting Expires Service principal
03
/25/14
12:05:46 03
/25/14
12:06:26 krbtgt
/KERBEROS_HADOOP
@KERBEROS_HADOOP
renew
until
03
/25/14
12:07:45
date
#超过renew until的时间
Tue Mar 25 12:08:04 CST 2014
kinit -R
#不能renew
kinit(v5): Ticket expired
while
renewing credentials
|
5.w不代表week的意思，是s的意思（和不带单位一样）
6.如果renew_lifetime 的时间小于ticket_lifetime的时间，则renew until和Expires 时间相同，运行kinit -R不会生效，但是可以运行kinit -r xx
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
|
ticket_lifetime = 60
renew_lifetime = 10
Valid starting Expires Service principal
03
/25/14
12:25:38 03
/25/14
12:26:38 krbtgt
/KERBEROS_HADOOP
@KERBEROS_HADOOP
renew
until
03
/25/14
12:26:38
date
&& kinit -R ;klist
Tue Mar 25 12:27:29 CST 2014
Valid starting Expires Service principal
03
/25/14
12:27:29 03
/25/14
12:27:46 krbtgt
/KERBEROS_HADOOP
@KERBEROS_HADOOP
renew
until
03
/25/14
12:27:46
date
&&kinit -k -t hdfs.keytab hdfs
/xxxxx
@KERBEROS_HADOOP -r 10d;klist
Tue Mar 25 12:36:49 CST 2014
Valid starting Expires Service principal
03
/25/14
12:36:49 03
/25/14
12:37:49 krbtgt
/KERBEROS_HADOOP
@KERBEROS_HADOOP
renew
until
04
/04/14
12:36:49
#renew life time变化了
|
7.renew_lifetime的优先级高于max_renewable_life，如果renew_lifetime<=max_renewable_life,
则取renew_lifetime，renew_lifetime>=max_renewable_life时，也是取renew_lifetime的值
|
1
2
3
4
5
6
7
|
ticket_lifetime = 60
renew_lifetime = 120
max_life = 25h
max_renewable_life = 10
Valid starting Expires Service principal
03
/25/14
12:42:20 03
/25/14
12:43:20 krbtgt
/KERBEROS_HADOOP
@KERBEROS_HADOOP
renew
until
03
/25/14
12:44:20
|
