kerberos 跨域信任

Question

AMBARI.APACHE.ORG 领域管辖 c7301、c7302、c703 三个节点，KDC 部署在 c7301。在 c7304 上部署了一个新的 KDC，领域 REALM 是 APACHE.ORG。两个 KDC 的 krb5.conf 配置文件都包含下列内容：

[realms]
  APACHE.ORG = {
    admin_server = c7304.ambari.apache.org
    kdc = c7304.ambari.apache.org
  }
  AMBARI.APACHE.ORG = {
    admin_server = c7301.ambari.apache.org
    kdc = c7301.ambari.apache.org
  }

[domain_realm]
        c7301.ambari.apache.org = AMBARI.APACHE.ORG
        c7302.ambari.apache.org = AMBARI.APACHE.ORG
        c7303.ambari.apache.org = AMBARI.APACHE.ORG
        c7304.ambari.apache.org = APACHE.ORG

c7301-c703 部署的 hadoop 集群启用了 kerberos。以 http 协议访问 HDFS 时，提示需要认证(negotiate)：

$ curl -i http://c7301.ambari.apache.org:50070/webhdfs/v1/user?op=LISTSTATUS
HTTP/1.1 401 Authentication required
(下略)

如果用 kinit 登录领域AMBARI.APACHE.ORG，然后再用同一个URL，就可以列出HDFS中/user目录下的内容，如：

$ kinit root/admin@AMBARI.APACHE.ORG
$ curl --negotiate -u : http://c7301.ambari.apache.org:50070/webhdfs/v1/user?op=LISTSTATUS
{"FileStatuses":{"FileStatus":[
(下略)