[kerberos] Couldn't renew kerberos ticket in order to work around Kerberos 1.8.1 issue. Please check that the ticket for hue/xxxx 오류 처리

오류

hue에서 커버러스(kerberos)를 설정하고 실행 할 때 다음과 같은 오류가 발생하면서 제대로 실행되지 않는 문제가 있었습니다.

 

[28/Mar/2024 21:45:22 +0900] kt_renewer   ERROR    Couldn't renew kerberos ticket in order to work around Kerberos 1.8.1 issue. Please check that the ticket for 'hue/test.com@KERB.ROS' is still renewable:
  $ klist -f -c /tmp/hue_krb5_ccache
If the 'renew until' date is the same as the 'valid starting' date, the ticket cannot be renewed. Please check your KDC configuration, and the ticket renewal policy (maxrenewlife) for the 'hue/test.com@KERB.ROS' and `krbtgt' principals.
[28/Mar/2024 12:45:23 ] supervisor   ERROR    Process /opt/hue/build/env/bin/hue kt_renewer exited abnormally. Restarting it.
[28/Mar/2024 21:45:27 +0900] kt_renewer   ERROR    Couldn't renew kerberos ticket in order to work around Kerberos 1.8.1 issue. Please check that the ticket for 'hue/test.com@KERB.ROS' is still renewable:

 

원인

커버러스 티켓에 설정된 갱신 유효 기간이 0일 로 설정되어 문제가 발생하였습니다. 다음과 같이 getprinc 명령을 이용해서 티켓에 설정된 Maximum renewable life를 확인 하면 0 days 로 확인할 수 있습니다.

 

kadmin.local:  getprinc krbtgt/KERB.ROS
Principal: krbtgt/KERB.ROS@KERB.ROS
Expiration date: [never]
Last password change: [never]
Password expiration date: [never]
Maximum ticket life: 1 day 00:00:00
Maximum renewable life: 0 days 00:00:00
Last modified: Tue Mar 26 10:28:12 UTC 2024 (db_creation@KERB.ROS)
Last successful authentication: [never]
Last failed authentication: [never]
Failed password attempts: 0
Number of keys: 2
Key: vno 1, aes256-cts-hmac-sha1-96
Key: vno 1, aes128-cts-hmac-sha1-96
MKey: vno 1
Attributes: LOCKDOWN_KEYS
Policy: [none]

 

해결 방법

따라서 이 갱신 일자를 늘려주는 것으로 오류를 해결할 수 있습니다. modprinic 명령으로 krbtgt/렐름과 hue 권한의 maxrenewlife 일자를 늘려 주어서 오류를 해결할 수 있습니다.

kadmin.local:  modprinc -maxrenewlife 30day krbtgt/KERB.ROS
Principal "krbtgt/KERB.ROS@KERB.ROS" modified.
kadmin.local:  modprinc -maxrenewlife 30day hue/test.com@KERB.ROS
Principal "hue/test.com@KERB.ROS" modified.
kadmin.local:  client_loop: send disconnect: Broken pipe

 

이렇게 해도 문제가 해결 되지 않는 다면 커버러스 서버의 설정(krb5.conf) 에 명시적으로 설정값을 추가하고, kdc 서버를 재시작합니다.

 

[realms]
  REAL.RM = {
    kdc = hostname
    admin_server = hostname
    max_life = 12h 0m 0s -> 추가 
    max_renewable_life = 7d 0h 0m 0s -> 추가
  }