2025-03-18 14:41:38,515 WARN hdfs.DataStreamer: Exception in createBlockOutputStream blk_1073742742_1918 java.io.IOException: Invalid token in javax.security.sasl.qop: DI at org.apache.hadoop.hdfs.protocol.datatransfer.sasl.DataTransferSaslUtil.readSaslMessage(DataTransferSaslUtil.java:220) at org.apache.hadoop.hdfs.protocol.datatransfer.sasl.DataTransferSaslUtil.readSaslMessage(DataTransferSaslUtil.java:237) at org.apache.hadoop.hdfs.protocol.datatransfer.sasl.SaslDataTransferClient.doSaslHandshake(SaslDataTransferClient.java:544) at org.apache.hadoop.hdfs.protocol.datatransfer.sasl.SaslDataTransferClient.getSaslStreams(SaslDataTransferClient.java:446) at org.apache.hadoop.hdfs.protocol.datatransfer.sasl.SaslDataTransferClient.send(SaslDataTransferClient.java:289) at org.apache.hadoop.hdfs.protocol.datatransfer.sasl.SaslDataTransferClient.checkTrustAndSend(SaslDataTransferClient.java:236) at org.apache.hadoop.hdfs.protocol.datatransfer.sasl.SaslDataTransferClient.socketSend(SaslDataTransferClient.java:203) at org.apache.hadoop.hdfs.protocol.datatransfer.sasl.SaslDataTransferClient.socketSend(SaslDataTransferClient.java:193) at org.apache.hadoop.hdfs.DataStreamer.createBlockOutputStream(DataStreamer.java:1780) at org.apache.hadoop.hdfs.DataStreamer.nextBlockOutputStream(DataStreamer.java:1728) at org.apache.hadoop.hdfs.DataStreamer.run(DataStreamer.java:713) 2025-03-18 14:41:38,518 WARN hdfs.DataStreamer: Abandoning BP-1654643170-10.4.136.105-1741764777416:blk_1073742742_1918 2025-03-18 14:41:38,523 WARN hdfs.DataStreamer: Excluding datanode DatanodeInfoWithStorage[10.4.136.115:1026,DS-b87f7d43-952f-484b-a735-11c2dfc16dc8,DISK] 2025-03-18 14:41:38,540 WARN hdfs.DataStreamer: Exception in createBlockOutputStream blk_1073742743_1919 java.io.IOException: Invalid token in javax.security.sasl.qop: DI at org.apache.hadoop.hdfs.protocol.datatransfer.sasl.DataTransferSaslUtil.rea

<think>嗯，用户遇到了Hadoop HDFS中的SASL握手失败问题，具体错误是IOException 'Invalid token in javax.security.sasl.qop'。我需要先理解这个错误的常见原因。根据经验，SASL相关的问题通常与Kerberos配置有关，或者QoP设置不一致。 首先，用户提到可能由于ZooKeeper中的残留文件导致的问题，比如version-2目录。之前引用[4]提到删除version-2并重启后解决了HMaster的问题，可能需要检查ZooKeeper的数据一致性。不过SASL握手失败更可能直接关联到Hadoop和Kerberos的配置。 接下来，检查Kerberos是否配置正确。引用[5]提到Hadoop使用Kerberos进行身份验证，所以需要确认所有节点的Kerberos票据是否有效，时间是否同步，以及jaas.conf文件是否正确。引用[1]和[2]都提到了设置JVMFLAGS指定jaas.conf路径，这可能与SASL配置有关，需要确认这些配置是否存在且路径正确。 然后，QoP（质量保护）设置。错误信息中提到了javax.security.sasl.qop无效，说明客户端和服务端的QoP配置不一致。Hadoop中的配置项如hadoop.rpc.protection、dfs.data.transfer.protection需要检查是否一致，是否在服务端和客户端有相同的值。 另外，SASL相关配置文件的正确性也很重要，比如core-site.xml、hdfs-site.xml中的安全配置是否正确，是否有遗漏的参数。同时，查看日志文件，如HDFS的NameNode和DataNode日志，以及客户端的错误日志，可以帮助定位具体问题。 用户可能遗漏的步骤包括更新配置后未重启服务，或者Kerberos票据过期。需要提醒用户检查kinit是否成功，keytab文件是否正确，并重启相关服务。此外，ZooKeeper的残留数据可能影响协调服务，但在此错误中可能不是主要原因，不过如果问题持续，清理ZooKeeper数据并重启也是一个可能的解决步骤。 最后，综合以上可能原因，分步骤给出解决方案，从检查Kerberos配置、QoP设置、配置文件、日志分析等方面逐一排查，并提醒用户注意配置一致性和服务重启的重要性。</think>针对Hadoop HDFS中出现的`SASL handshake failure IOException 'Invalid token in javax.security.sasl.qop'`问题，以下是系统性解决方案： --- ### **问题原因分析** 该错误通常由以下原因导致： 1. **Kerberos配置不一致**：Hadoop集群未正确配置Kerberos认证，或票据过期[^5]。 2. **QoP（Quality of Protection）参数不匹配**：客户端与服务端的`hadoop.rpc.protection`或`dfs.data.transfer.protection`参数配置不一致。 3. **ZooKeeper残留数据**：若集群依赖ZooKeeper（如HBase），残留的`version-2`目录可能导致协调服务异常[^4]。 --- ### **解决步骤** #### 1. 检查Kerberos配置 - **验证票据有效性**： 执行`klist`检查Kerberos票据是否过期，若过期需重新获取： ```bash kinit -kt <keytab_path> <principal> ``` - **检查`jaas.conf`文件**： 确保所有节点的`jaas.conf`路径正确，并通过环境变量`JVMFLAGS`指定（如引用[1][^1][^2]）： ```bash export JVMFLAGS="-Djava.security.auth.login.config=/path/to/jaas.conf" ``` #### 2. 统一QoP参数 - **修改Hadoop配置文件**： 在`core-site.xml`中设置一致的QoP参数： ```xml <property> <name>hadoop.rpc.protection</name> <value>privacy</value> <!-- 可选值：authentication, integrity, privacy --> </property> ``` 在`hdfs-site.xml`中配置数据传输保护： ```xml <property> <name>dfs.data.transfer.protection</name> <value>privacy</value> </property> ``` - **同步配置到所有节点**： 确保客户端与服务端配置完全一致，并重启HDFS服务。 #### 3. 清理ZooKeeper残留数据 - 停止ZooKeeper服务后，删除`dataDir`目录下的`version-2`和`zookeeper_server.pid`文件（参考引用[4]）： ```bash rm -rf /opt/zookeeper/data/version-2 rm -f /opt/zookeeper/data/zookeeper_server.pid ``` - 重启ZooKeeper服务，生成新数据目录。 #### 4. 验证与日志分析 - **检查HDFS服务日志**： 查看NameNode和DataNode的日志（`logs/hadoop-*-namenode-*.log`），定位具体握手失败的位置。 - **网络与时间同步**： 使用`ntpdate`确保集群节点时间同步，避免Kerberos因时间偏差拒绝认证。 --- ### **相关配置示例** ```bash # 启动HDFS前加载Kerberos配置 export HADOOP_OPTS="-Djava.security.krb5.conf=/etc/krb5.conf" hdfs namenode -format start-dfs.sh ``` ---