Configuración de la confianza mutua Cross-Manager entre clústeres
Escenario
Cuando dos clústeres en modo de seguridad gestionados por diferentes FusionInsight Managers necesitan tener acceso a los recursos del otro, el administrador del sistema puede configurar la confianza mutua entre Manager.
El alcance de uso seguro de los usuarios en cada sistema se denomina dominio. Cada FusionInsight Managers debe tener un nombre de dominio único. El acceso a Cross-Manager permite a los usuarios utilizar recursos en todos los dominios.
Se puede configurar un máximo de 500 clústeres de confianza mutua.
Impacto en el sistema
- Después de configurar la confianza mutua del clúster de cross-Manager, los usuarios de un sistema externo se pueden utilizar en el sistema local. El administrador del sistema debe comprobar periódicamente los permisos de usuario en Manager según los requisitos de seguridad y servicio de la empresa.
- Cuando se configura la confianza mutua de clústeres de cross-Manager, es necesario detener todos los clústeres, lo que provoca interrupciones del servicio.
- Después de configurar la confianza mutua del clúster de cross-Manager, los usuarios internos de Kerberos krbtgt/Local cluster domain name@External cluster domain name y krbtgt/External cluster domain name@Local cluster domain name se agregan a los dos clústeres de confianza mutua. Los usuarios internos no se pueden eliminar. El administrador del sistema debe cambiar las contraseñas periódicamente en función de los requisitos de seguridad y servicio de la empresa. Las contraseñas de estos cuatro usuarios en los dos sistemas deben ser las mismas. Cuando se cambian las contraseñas, la conectividad entre aplicaciones de servicio entre clústeres puede verse afectada.
- Después de configurar la confianza mutua del clúster de cross-Manager, los clientes de cada clúster deben descargarse e instalarse de nuevo.
- Después de configurar la confianza mutua del clúster de cross-Manager, debe comprobar si el sistema funciona correctamente y cómo acceder a los recursos del sistema del mismo nivel como usuario del sistema local. Para obtener más información, consulte Asignación de permisos de usuario después de configurar la confianza mutua entre clústeres.
Prerrequisitos
- El administrador del sistema ha aclarado los requisitos de servicio y ha planificado los nombres de dominio para los sistemas. Un nombre de dominio puede contener solo letras mayúsculas, números, (.), de puntos y guiones bajos (_), y debe comenzar con letras o números, por ejemplo, DOMAINA.HW y DOMAINB.HW.
- Los nombres de dominio de los dos Manager son diferentes. Cuando se crea un clúster ECS o BMS en MRS, se genera aleatoriamente un nombre de dominio de sistema único. Por lo general, no es necesario cambiar el nombre de dominio del sistema.
- Los dos clústeres no tienen el mismo nombre de host o la misma dirección IP.
- La hora del sistema de los dos clústeres es consistente y los servicios NTP en los dos sistemas usan la misma fuente de reloj.
- El estado de ejecución de todos los componentes de los clústeres de Manager es de Normal.
- El parámetro acl.compare.shortName del servicio ZooKeeper de todos los clústeres del Manager se establece en el valor predeterminado true. De lo contrario, cambie el valor a true y reinicie el servicio ZooKeeper.
- Los dos clústeres están en la misma VPC. Si no lo son, cree una conexión de pares de VPC entre ellos. Para obtener más información, consulte Interconexión de VPC.
Procedimiento
- Inicie sesión en un FusionInsight Manager.
- Detenga todos los clústeres en la página de inicio.
Haga clic en
junto al clúster de destino y seleccione Stop. Introduzca la contraseña del administrador del clúster. En el cuadro de diálogo Stop Cluster que se muestra, haga clic en OK. Espere hasta que se detenga el clúster. - Elija System >Permission >Domain and Mutual Trust.
- Modifique Peer Mutual Trust Domain.
Tabla 1 Parámetros relacionados Parámetro
Descripción
realm_name
Introduzca el nombre de dominio del sistema del mismo nivel.
ip_port
Introduzca la dirección KDC del sistema del mismo nivel.
Formato de valor: Dirección IP del nodo que alberga el servicio Kerberos en el sistema par: Número de puerto
- En redes de doble plano, introduzca la dirección IP del plano de servicio.
- Si se utiliza una dirección IPv6, la dirección IP debe estar entre corchetes ([]).
- Utilice comas (,) para separar las direcciones KDC si se despliegan los servicios Kerberos activos y en espera o si varios clústeres en el sistema del mismo nivel necesitan establecer confianza mutua con el sistema local.
- Puede obtener el número de puerto del parámetro kdc_ports del servicio KrbServer. El valor predeterminado es 21732. Para obtener la dirección IP del nodo donde se despliega el servicio, haga clic en la pestaña Instance de la página KrbServer y vea el Service IP Address del rol KerberosServer.
Por ejemplo, si el servicio Kerberos se despliega en los nodos de 10.0.0.1 y 10.0.0.2 que han establecido confianza mutua con el sistema local, el valor del parámetro es 10.0.0.1:21732,10.0.0.2:21732.
Si necesita configurar la confianza mutua para varios Managers, haga clic en
para agregar un nuevo elemento y establecer parámetros. Se puede confiar mutuamente en un máximo de 16 sistemas. Haga clic en 
para eliminar las configuraciones innecesarias. - Haga clic en OK.
- Inicie sesión en el nodo de gestión activo como usuario omm y ejecute el siguiente comando para actualizar la configuración del dominio:
sh ${BIGDATA_HOME}/om-server/om/sbin/restart-RealmConfig.sh
El comando se ejecuta correctamente si se muestra la siguiente información:
Modify realm successfully. Use the new password to log into FusionInsight again.
Después del reinicio, no se puede acceder a algunos hosts y servicios y se genera una alarma. Este problema se puede resolver automáticamente en aproximadamente 1 minuto después de ejecutar restart-RealmConfig.sh.
- Inicie sesión en FusionInsight Manager e inicie todos los clústeres.
Haga clic en
junto al nombre del clúster de destino y seleccione Start. En el cuadro de diálogo Start Cluster que se muestra, haga clic en OK. Espere hasta que se inicie el clúster. - Inicie sesión en el otro FusionInsight Manager y repita las operaciones anteriores.
