SSH を使用して Amazon で Kerberos 認証済みクラスターに接続する EMR

このセクションでは、Kerberos で認証されたユーザーが EMRクラスターのプライマリノードに接続する手順を示します。

SSH 接続に使用する各コンピュータには、SSHクライアントおよび Kerberos クライアントアプリケーションがインストールされている必要があります。ほとんどの Linux コンピューターにはデフォルトでこれがあります。例えば、OpenSSH はほとんどの Linux、Unix、macOS オペレーティングシステムにインストールされます。コマンドラインsshで と入力することで、 SSHクライアントを確認できます。コンピュータが コマンドを認識しない場合は、 SSHクライアントをインストールしてプライマリノードに接続します。OpenSSH プロジェクトでは、ツールのフルスイートを無料で実装SSHできます。詳細については、Open SSHウェブサイトを参照してください。Windows ユーザーは、Pu TTYなどのアプリケーションを SSHクライアントとして使用できます。

SSH 接続の詳細については、「Amazon EMRクラスターに接続する」を参照してください。

SSH は GSSAPIを使用して Kerberos クライアントを認証します。クラスタープライマリノードでSSHサービスのGSSAPI認証を有効にする必要があります。詳細については、「」を参照してくださいSSH に対する GSSAPI の有効化。 SSHクライアントは も使用する必要がありますGSSAPI。

次の例では、 には、クラスターの詳細ペインのサマリータブに Master public DNS に表示される値MasterPublicDNSを使用します。たとえば、 ですec2-11-222-33-44.compute-1.amazonaws.com。

krb5.conf (非 Active Directory) の前提条件

Active Directory 統合を使用しない設定を使用する場合、SSHクライアントおよび Kerberos クライアントアプリケーションに加えて、各クライアントコンピュータには、クラスタープライマリノードの /etc/krb5.conf ファイルと一致する /etc/krb5.conf ファイルのコピーが必要です。

krb5.conf ファイルをコピーするには

1. キーEC2ペアとデフォルトhadoopユーザーを使用してプライマリノードに接続するSSHには、 を使用します。たとえば、 ですhadoop@MasterPublicDNS。詳細な手順については、「Amazon EMRクラスターに接続する」を参照してください。

2. プライマリノードから /etc/krb5.conf ファイルの内容をコピーします。詳細については、「Amazon EMRクラスターに接続する」を参照してください。

3. クラスターに接続する各クライアントコンピュータで、前のステップで作成したコピーに基づいて同一の /etc/krb5.conf ファイルを作成します。

kinit と の使用 SSH

ユーザーが Kerberos 認証情報を使用してクライアントコンピューターから接続するたびに、ユーザーはまずクライアントコンピューター上でユーザーに対する Kerberos チケットを更新する必要があります。さらに、SSHクライアントはGSSAPI認証を使用するように設定する必要があります。

SSH を使用して Kerberos 認証済みEMRクラスターに接続するには

1. 次の例に示すように、kinit を使用して Kerberos チケットを更新する

   kinit user1

2. ssh クライアントを、クラスター専用KDCまたは Active Directory ユーザー名で作成したプリンシパルとともに使用します。次の例に示すように、GSSAPI認証が有効になっていることを確認します。

   例: Linux ユーザー

   -K オプションはGSSAPI認証を指定します。

   ssh -K user1@MasterPublicDNS

   例: Windows ユーザー (PuTTY）

   次に示すように、セッションのGSSAPI認証オプションが有効になっていることを確認します。