Mac版Navicat不执行kinit、不读krb5.conf、不支持UI指定keytab，Kerberos认证须靠JVM参数注入；URL必须含auth=KERBEROS、完整principal和ssl=true，且需配合login.conf与严格权限的keytab文件。
Mac版Navicat根本不执行kinit，别指望它自动拿票
Mac 版 Navicat 无法调用系统 kinit、不读取 krb5.conf、也不支持在 UI 里指定 keytab 文件——所有 Kerberos 认证动作都得由底层 JVM 驱动完成，而 Navicat 启动时根本没给用户设 JVM 参数的入口。你看到的“Kerberos 认证”勾选项只是个摆设，勾了也没用，连接必报 GSS initiate failed。
真正起作用的是启动前注入的 JVM 系统属性，比如：-Djava.security.krb5.conf=/Users/you/krb5.conf 和 -Dsun.security.krb5.debug=true（仅用于排查）。这些必须写进启动环境，不能靠 Navicat 自己加载。
- macOS 上唯一可靠方式：修改 Navicat 的启动脚本（通常是
/Applications/Navicat Premium.app/Contents/MacOS/navicat-prefpane或包装脚本），在exec java命令前插入export JAVA_TOOL_OPTIONS="-Djava.security.krb5.conf=/path/to/krb5.conf" - 确认
krb5.conf文件权限为 600，且内容里default_realm和[realms]区块语法正确；路径必须用正斜杠绝对路径，~/krb5.conf会被忽略 - 不要依赖 macOS Keychain 或
klist输出——JVM 不共享 shell 的 ticket cache，即使你手动kinit成功，Navicat 也看不到
jdbc:hive2 URL 必须带三项硬参数，缺一不可
只写 jdbc:hive2://host:10000/default 连 Kerberos Hive 就是裸连，驱动根本不会走 GSSAPI 流程。URL 中必须显式声明认证机制、服务主体和 SSL 状态，否则不是报错，而是静默降级到普通认证并超时。
-
auth=KERBEROS：必须显式加，不能省略或写成Auth=kerberos（大小写敏感） -
principal=hive/hostname@REALM.COM：必须和 HiveServer2 实际运行的服务端 principal 完全一致；_HOST占位符 Mac 版 Navicat 不做替换，务必手写死全名，比如hive/quickstart.cloudera@QUICKSTART.CLOUDERA -
ssl=true：如果 HiveServer2 启用了 TLS（绝大多数生产环境都启），漏掉此项会导致 TLS 握手失败，错误日志却只显示超时或 connection refused
完整示例：jdbc:hive2://192.168.5.127:10000/default;auth=KERBEROS;principal=hive/quickstart.cloudera@QUICKSTART.CLOUDERA;ssl=true
keytab 文件得靠系统级方式注入，Navicat UI 里填不了
Mac 版 Navicat 没有“上传 keytab”或“指定 keytab 路径”的字段。它依赖 JVM 在认证时自动查找 keytab，而这个行为由 login.conf（JAAS 配置）控制——但 Navicat 不提供修改入口，只能靠外部 JAAS 配置 + JVM 参数强制加载。
- 新建一个
login.conf文件，内容类似：Client { com.sun.security.auth.module.Krb5LoginModule required useKeyTab=true keyTab="/Users/you/hive.keytab" storeKey=true useTicketCache=false debug=true; }; - 启动前加 JVM 参数：
-Djava.security.auth.login.config=/path/to/login.conf -Djavax.security.auth.useSubjectCredsOnly=false -
keytab文件权限必须是 400 或 600，且所属用户需与运行 Navicat 的用户一致；路径同样禁用中文、空格、波浪号和相对路径
跨平台连接失败？先检查 realm 名称大小写和 DNS 解析
Mac 上 Kerberos 对 realm 名称大小写极其敏感，REALM.COM 和 realm.com 被视为两个不同域；同时，JVM 默认使用系统 DNS 解析 host，若 /etc/hosts 里没配好服务端 hostname 的反向解析，会卡在 Cannot locate KDC for realm。
- 确认
krb5.conf中[libdefaults] default_realm和[realms]下的 realm 名完全大写，且与 HiveServer2 的hive.server2.thrift.principal一致 - 用
nslookup quickstart.cloudera和dig +short quickstart.cloudera验证正向解析；再用dig -x A.B.C.D验证反向解析是否返回相同 hostname - 如果服务端 hostname 是短名（如
quickstart），而 DNS 只认 FQDN（quickstart.cloudera），就在/etc/hosts里补全映射，避免 Kerberos 尝试用短名查 KDC
最常被忽略的一点：Mac 的 krb5.conf 一旦有语法错误（比如多了一个空格、少了一个右括号），JVM 会静默跳过整个文件，既不报错也不提示——建议用 krb5-config --version 或临时加 -Dsun.security.krb5.debug=true 看真实加载路径和失败原因。
