Amazon EMR で SSH を使用して Kerberos 認証済みのクラスターに接続する

このセクションでは、Kerberos 認証済みユーザーが EMR クラスターのプライマリノードに接続するためのステップを示しています。

SSH 接続のために使用する各コンピューターには、SSH クライアントおよび Kerberos クライアントアプリケーションがインストールされている必要があります。ほとんどの Linux コンピューターにはデフォルトでこれがあります。たとえば、ほとんどの Linux、Unix、および Mac OS オペレーティングシステムには OpenSSH がインストールされています。SSH クライアントがあるかどうかを確認するには、コマンドラインで ssh と入力します。ご使用のコンピュータでこのコマンドが認識されない場合、プライマリノードに接続するために SSH クライアントをインストールします。OpenSSH プロジェクトが、SSH ツールの完全なスイートの無料実装を提供しています。詳細については、OpenSSH のウェブサイトを参照してください。Windows ユーザーは、PuTTY などのアプリケーションを SSH クライアントとして使用できます。

SSH 接続の詳細については、「Amazon EMR クラスターに接続する」を参照してください。

SSH は GSSAPI を使用して Kerberos クライアントを認証するため、クラスターのプライマリノードで SSH サービスに対して GSSAPI 認証を有効にする必要があります。詳細については、「SSH で GSSAPI を有効化する」を参照してください。また、SSH クライアントは GSSAPI も使用する必要があります。

以下の例では、MasterPublicDNS に、クラスター詳細ペインの [概要] タブの [マスターパブリック DNS] に表示される値 (例: ec2-11-222-33-44.compute-1.amazonaws.com) を使用します。

krb5.conf (非 Active Directory) の前提条件

Active Directory 統合なしの設定を使用する場合、SSH クライアントと Kerberos クライアントのアプリケーションに加えて、各クライアントコンピュータには、クラスターのプライマリノード上の /etc/krb5.conf ファイルに一致する /etc/krb5.conf ファイルのコピーがあることが必要です。

kinit および SSH を使用する

ユーザーが Kerberos 認証情報を使用してクライアントコンピューターから接続するたびに、ユーザーはまずクライアントコンピューター上でユーザーに対する Kerberos チケットを更新する必要があります。また、SSH クライアントは GSSAPI 認証を使用するように設定されている必要があります。