ssl - NIFI(安全):SSLPeerUndefinedException:Hsotname

Question

我想在 secure nifi 中使用 rest api。我已经添加了 sslcontextService 及其 trustore JKS 文件，但是当我使用带有此 url 的 invokehttp 处理器来获取 kerberos token 时:https://ip here/nifi-api/access/kerberos 我收到此错误:< strong>SSLPeerUndefinedException: 主机名

1. 在我的 jks 文件中 subjectAltname 是空的，这可能是失败？

2. 我还想知道在获得 token 后我可以使用它进行自动化，然后根据需要使用 rest api 或者是否有任何其他需要注意的科目？

Answer 1

Apache NiFi 或底层库中没有名为 SSLPeerUndefinedException 的异常类。我怀疑您遇到的是 SSLPeerUnverifiedException。当远程端点不提供证书或无法验证证书链时抛出此异常。

您可以采取几个步骤来尝试找出问题:

1. 确保您的 NiFi 实例提供的证书也在信任库中。 PrivateKeyEntry 应该加载到 keystore 中(keystore.jks 或类似的)，但信任库不同——它包含 trustedCertEntry 其中包含SubjectKeyIdentifier 和各种证书指纹(MD5、SHA1、SHA-256)，以便它可以断言提供这些证书的服务的有效性。如果与 InvokeHTTP 处理器关联的 SSLContextService 无法验证 NiFi 提供的证书，它将不允许连接。
2. 尝试使用 curl 或其他命令行工具，如 Nipyapi连接到 NiFi API 并验证连接。

Kerberos 票证用于身份验证——通过了解/拥有某些 secret 值来证明您/客户是您声称的身份。 授权，或确定允许的操作和特权，是一个单独的过程。

根据 RFC 6125，证书中的 subjectAltName 为空可能会导致新浏览器出现问题这表示必须首先检查 SAN，但我不相信这里使用的 okhttp 库的当前版本会强制执行此操作。不过，您应该填充 SAN 字段以实现 future 的兼容性。