kinit：初期資格情報の取得中にクライアントの資格情報が取り消されました

Question

kerberosとADで構成されたhdpクラスタがあります。すべてのHDPサービスアカウントには、スパークを含むプリンシパルとキータブが生成されます。

私は、サービスアカウントはパスワードを持っておらず、無期限に設定されていることを知っています。 現在、kinit -kt spark.keytab -p spark-PRINCIPALの作業中に次のエラーが表示されます（タイトルを参照）。

多くの失敗したログイン試行や、KDC.accountのデフォルトポリシーで設定されたアカウントの有効期限がkadmin:modprinci spark/principalなどのkadminコマンドを使用してロックを解除できますが、AD管理者とクロスチェックしました。彼は、私たちがADを使用しているところでは、AD UIを使ってチェックされたときにsparkアカウントがロック解除された状態であるとkadminコマンドを実行するためにkdcサーバーを使用しないと言います。

私の質問：

ADに火花アカウントのロックを解除するために任意のコマンドがありますか？

私はsparkサービスを削除するのに疲れて、新しいキータブまたはプリンシパルを再生成してADからの取り消しエラーを回避するためにクラスタに再インストールしました。このエラーの原因となるスパークローカルアカウントがあれば見てください。

AD管理者は、LDAPの検索と削除のコマンドを実行するための限定された権限を持つサーバーの詳細とパスワードを指定しています。これらの特権を使ってsparkのロックを解除することはできますか？そしてこれを行う方法？

Answer 1

「kinit：初期資格情報の取得中にクライアントの資格情報が取り消されました」とは、キータブが関連付けられているActive Directoryアカウントが無効、ロック、期限切れ、または削除されたことを意味します。

デフォルトでは、ドメイン管理者、ドメインアカウントオペレータ、またはその他の管理特権グループのメンバーでない限り、自分のアカウントをADでアンロックできません。広告管理者はあなたにこれらの権利を与える必要があります。問題の説明に基づいて、AD管理者が間違ったアカウントを探している可能性があります。 - あなたのAD管理者「HTTP/somedomain.local」この場合にはSPNを表し

setspn -Q HTTP/somedomain.local 

は、出力はSPNとのkeytabに縛らADアカウントの名前を明らかにします。たとえば、次のコマンドを実行した場合そのアカウントを調べて、そのアカウントが無効になっているか、ロックされているか、期限切れになっているか、削除されているかどうかを判断し、是正措置を取る必要