java - 具有自己的证书颁发机构的 Cassandra SSL

Question

我想设置我自己的 CA 以用于 cassandra 集群，这样我就不必在每次添加新节点时都复制所有证书。我已经阅读了一些关于 Cassandra 和 SSL 的教程，但它们都与复制证书有关。我在 CA 过程中有点迷茫

这是我认为我需要做的

• 创建 CA 一次
• 为每个节点创建一个 CSR，然后用我的 CA 对每个节点进行签名(-> 另存为 nodeX.crt)
• 将 node0.crt 导入到我的 cassandra node0 keystore ，将 node1.crt 导入到 node1 keystore 等

现在:

• 我需要向信任库添加任何内容吗？
• 我需要对 CA 文件做些什么吗？将其复制到每个客户端/节点服务器？
• 我需要为我的 java 客户端提供什么文件？ cqlsh 客户端？

优点:不再需要在节点之间复制 ssl 证书。每个节点只需一个即可。

编辑:

好的，我就是这样做的。如果我犯了任何错误，请告诉我。我遗漏了 JCE 文件和适当的 cassandra.yaml 配置之类的东西。这些需要出现在服务器上!

openssl genrsa -out clusterCA.key 2048
openssl req -x509 -new -key clusterCA.key -days <DAYS> -out clusterCA.pem

keytool -importcert -alias clusterCA -file clusterCA.pem -keystore clustertruststore -storepass <PASS>

#on each cassandra host for clients. for client replace nodename with clientname
keytool -genkeypair -alias <NODENAME> -keyalg RSA -keysize 2048 -dname "CN=<NODENAME>,OU=<UNITNAME>,O=<ORGANISATION>" -keypass <PASS> -keystore <NODENAME>.keystore -storepass <PASS> -validity <DAYS>

keytool -keystore <NODENAME>.keystore -alias <NODENAME> -certreq -file <NODENAME>.cert -storepass <PASS> -keypass <PASS>


# sign it with CA

openssl x509 -req -CA clusterCA.pem -CAkey clusterCa.key -in <NODENAME>.cert -out <NODENAME>.signed -days <DAYS> -CAcreateserial

# add rootCA to host

keytool -keystore <NODENAME>.keystore -storepass <PASS> -alias clusterCA -import -file clusterCA.pem -noprompt

keytool -keystore <NODENAME>.keystore -storepass <PASS> -alias <NODENAME> -import -file <NODENAME>.signed -keypass <PASS>

## use <NODENAME>.keystore as truststore and keystore for cassandra node / client trust/keystore
## No need to copy keystores around. You only need it on your host


## create CQLSH pem
keytool -importkeystore -srckeystore <NODENAME>.keystore -destkeystore <NODENAME>_user1.p12 -deststoretype PKCS12
openssl pkcs12 -in <NODENAME>_user1.p12 -out <NODENAME>_user1.pem -nodes

##  use <NODENAME>_user1.pem as certfile for cqlsh

Answer 1

您的策略非常合理，我也会这样做。您希望拥有自己的证书颁发机构，然后为每个节点创建一个 CSR。这比单独信任节点证书更容易管理。

• 每个节点都有自己的 keystore 来存储它的证书。
• 您会希望每个节点都在其信任库中拥有 CA 公共(public)证书。这仅在您将“require_client_auth”设置为 true 时才会发生。我建议这样做，因为它设置起来并不太困难，并且会添加一个额外的身份识别层，这应该被认为很重要。

区分 internode encryption 也很重要和 client encryption . Cassandra 对每个都有不同的设置(记录在上面的链接中)。如果使用客户端到节点加密，您还需要有一个用于客户端证书的信任库。您可以使用相同的信任库并向客户端颁发证书。

在客户端到节点端here's an example来自 java-driver 测试如何使用您的 key 和信任库设置您的 SSLContext:

/**
 * @param keyStorePath Path to keystore, if absent is not used.
 * @param trustStorePath Path to truststore, if absent is not used.
 * @return {@link com.datastax.driver.core.SSLOptions} with the given keystore and truststore path's for
 * server certificate validation and client certificate authentication.
 */
public SSLOptions getSSLOptions(Optional<String> keyStorePath, Optional<String> trustStorePath) throws Exception {

    TrustManagerFactory tmf = null;
    if(trustStorePath.isPresent()) {
        KeyStore ks = KeyStore.getInstance("JKS");
        ks.load(this.getClass().getResourceAsStream(trustStorePath.get()), DEFAULT_CLIENT_TRUSTSTORE_PASSWORD.toCharArray());

        tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
    }

    KeyManagerFactory kmf = null;
    if(keyStorePath.isPresent()) {
        KeyStore ks = KeyStore.getInstance("JKS");
        ks.load(this.getClass().getResourceAsStream(keyStorePath.get()), DEFAULT_CLIENT_KEYSTORE_PASSWORD.toCharArray());

        kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        kmf.init(ks, DEFAULT_CLIENT_KEYSTORE_PASSWORD.toCharArray());
    }

    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(kmf != null ? kmf.getKeyManagers() : null, tmf != null ? tmf.getTrustManagers() : null, new SecureRandom());

    return new SSLOptions(sslContext, SSLOptions.DEFAULT_SSL_CIPHER_SUITES);
}

一旦你有了一个 SSLOptions 对象，你就可以简单地将它传递到你的 Cluster Builder 中，即:

cluster = Cluster.builder()
    .addContactPoint(host)
    .withSSL(sslOptions))
    .build();

CQLSH 通过 cqlshrc 文件支持 SSL。您可以找到如何设置的示例 here .