修改jceks.key.serialFilter解决KMS重启后Can‘t recover key for testkey from keystore file

jdk8u171开始增加了jceks.key.serialFilter属性限制证书序列化的类,增强安全性,不在这个属性中的类将会被拒绝Rejected, 从而导致kms服务重启后需要从keystore中反序列化加载SecretKeyEntry加密密钥时失败从而无法recover还原密钥信息。只要将被Rejected的类加入jre/lib/security/java.security中的jceks.key.serialFilter中就可以了。

jceks.key.serialFilter = java.lang.Enum;java.security.KeyRep;java.security.KeyRep$Type;javax.crypto.spec.SecretKeySpec;jceks.key.serialFiltercom.sun.crypto.provider.SealedObjectForKeyProtector;org.apache.hadoop.crypto.key.**;!*

KMS重启后无法查看key的metadata信息了,报错如下:

java.io.IOException: Can't recover key for testkey from keystore file:/home/hadoop/kms.jks
at org.apache.hadoop.crypto.key.JavaKeyStoreProvider.getMetadata(JavaKeyStoreProvider.java:422)
at org.apache.hadoop.crypto.key.CachingKeyProvider$CacheExtension$2.load(CachingKeyProvider.java:65)
at org.apache.hadoop.crypto.key.CachingKeyProvider$CacheExtension$2.load(CachingKeyProvider.java:62)
......

Caused by: java.security.UnrecoverableKeyException: Rejected by the jceks.key.serialFilter or jdk.serialFilter property
at com.sun.crypto.provider.KeyProtector.unseal(KeyProtector.java:399)
at com.sun.crypto.provider.JceKeyStore.engineGetKey(JceKeyStore.java:144)
at java.security.KeyStore.getKey(KeyStore.java:1023)
at org.apache.hadoop.crypto.key.JavaKeyStoreProvider.getMetadata(JavaKeyStoreProvider.java:408)
... 61 more

先查看异常抛出位置的代码，异常是hadoop的JavaKeyStoreProvider以及java的jre\lib\ext\sunjce_provider.jar下的KeyProtector类。

报错在jdk的代码里应该和hadoop无关了，根据报错信息Rejected by the jceks.key.serialFilter or jdk.serialFilter property查找下这个jceks.key.serialFilter是什么。

Java™ SE Development Kit 8, Update 171 Release Notes

大意就是jdk8新特性,不在这个jceks.key.serialFilter允许的类型中的自定义类会被拒绝使用。那只要从kms异常日志中找到hadoop使用的类型加上去就可以了。

cd ${JAVA_HOME}/jre/lib/security

vi java.security

找到jceks.key.serialFilter的位置在!*前增加jceks.key.serialFiltercom.sun.crypto.provider.SealedObjectForKeyProtector;org.apache.hadoop.crypto.key.**;

修改为

jceks.key.serialFilter = java.lang.Enum;java.security.KeyRep;java.security.KeyRep$Type;com.sun.crypto.provider.SealedObjectForKeyProtector;javax.crypto.spec.SecretKeySpec;org.apache.hadoop.crypto.key.**;!*

分隔符是;

!*表示除了已配置的,其他所有类都拒绝

在hadoop的core-site.xml可以设置

<name>hadoop.security.crypto.jceks.key.serialfilter</name>

<value>java.lang.Enum;java.security.KeyRep;java.security.KeyRep$Type;javax.crypto.spec.SecretKeySpec;com.sun.crypto.provider.SealedObjectForKeyProtector;org.apache.hadoop.crypto.key.**;!*</value>

</property>

不过,jdk的配置优先级高,以jdk的java.security中jceks.key.serialFilter配置为准。

Hadoop2.7.7 API: core-site.xml 解析_张伯毅的博客-CSDN博客

Java™ SE Development Kit 8, Update 171 Release Notes

修改jceks.key.serialFilter解决KMS重启后Can‘t recover key for testkey from keystore file相关推荐

JAVA环境配置及如何解决win10重启后环境配置失效的问题
一.配置JAVA环境 1.JDK的下载与安装进入官网下载对应版本注意:安装路径最好不要包含中文或空格等特殊字符,最好使用纯英文目录 2.配置环境变量的步骤 (1)按下win+E键,找到此电脑,右键 ...
如何解决 kubernetes 重启后,启来不来的问题
如何解决 kubernetes 重启后,启来不来的问题参考文章: (1)如何解决 kubernetes 重启后,启来不来的问题 (2)https://www.cnblogs.com/jackluo/ ...
Ubuntu修改/etc/resolv.conf 中DNS重启后DNS被重置的解决方法
起因是VMware下的ubuntu上不了网了,但是可以ping通主机,也能ping通dns的地址. 尝试修改了dns地址,在几个地方都试着修改之后,最终只在/etc/resolv.conf 处修改有效 ...
tomcat修改tomcat-users.xml文件，服务器重启后又自动还原
tomcat配置用户管理权限,修改tomcat-users.xml文件在tomcat目录中找到/conf/tomcat-users.xml,修改 <tomcat-users> & ...
C#访问网络共享文件夹，带用户名密码域，解决电脑重启后访问不到网络文件夹
问题:winform访问网络共享文件夹,电脑重启后访问不到指定目录原因:访问网络共享文件夹目录需要相关的用户凭据,文件资源管理器可以记住凭据,但是电脑重启后直接用软件访问网络文件夹路径是没有凭据的, ...
计算机重启后无法连接网络,简单几步解决win10重启后网络无法连接的问题
电脑操作系统在使用的时候经常会被一些问题所困扰,近日就有使用win10精简版系统的用户表示自己的电脑出现了重启后网络无法连接的问题,不知道怎么去解决很是苦恼.所以今天小编为大家整理分享的就是关于win ...
Win10 解决电脑重启后需重新设置双网卡共享问题
问题描述: 双网卡共享:开发需要,工位只有一个网口,但是电脑和路由两个设备要用.因此使用双网卡共享Internet,主机连接有线网口,通过设置共享一个子网出来,连接路由器,这样路由也可以上网. Win ...
【环境配置】解决Ubuntu重启后Nvidia驱动消失的问题
问题出现的原因是因为重启ubuntu的内核进行了更新,提供了一些新的特性,但是更新后的ubantu内核导向的是最新的显卡驱动,所以导致你之前安装的显卡驱动有,但是因为内核的指向发生改变导致找不到. 怎 ...
题外-解决mac重启后git无法使用
只是个小笔记,以防以后遇到再找. 解决办法每次mac重启.更新系统会写在xcode 在终端输入xcode-select --install 重新下载xcode 重启编辑器里的终端就可以用了

修改jceks.key.serialFilter解决KMS重启后Can‘t recover key for testkey from keystore file

修改jceks.key.serialFilter解决KMS重启后Can‘t recover key for testkey from keystore file相关推荐

最新文章

热门文章