Защита NIFI с помощью SSL Comodo Cert - PullRequest
Новая
       22

Защита NIFI с помощью SSL Comodo Cert

0 голосов
/ 12 июля 2019

Я пытаюсь защитить нашу среду NIFI с помощью SSL. Я получаю следующую ошибку: 

This site can’t provide a secure connection <I.P> uses an unsupported protocol.
ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Я получил сертификат Comodo, который я запросил в своей организации, и получил его одобрение. У меня также есть ключ, который был сгенерирован во время CSR. Я импортировал сертификат comodo в хранилище ключей. Затем я импортировал как корневой сертификат comodo, так и .key в хранилище доверенных сертификатов. NIFI версия 1.9.2

nifi.properties: 

nifi.security.keystoreType=JKS
nifi.security.keystorePasswd=mypassword
nifi.security.keyPasswd=
nifi.security.truststore=./conf/truststore.jks
nifi.security.truststoreType=JKS
nifi.security.truststorePasswd=mypassword
nifi.security.user.authorizer=managed-authorizer
nifi.security.user.login.identity.provider=
nifi.security.ocsp.responder.url=
nifi.security.ocsp.responder.certificate=

последние несколько строк логов: 

2019-07-12 02:29:55,877 INFO [main] o.eclipse.jetty.server.AbstractConnector Started ServerConnector@45e97963{SSL,[ssl, http/1.1]}{0.0.0.0:8443}
2019-07-12 02:29:55,877 INFO [main] org.eclipse.jetty.server.Server Started @28943ms
2019-07-12 02:29:55,906 INFO [main] org.apache.nifi.nar.NarAutoLoader Starting NAR Auto-Loader for directory ./extensions ...
2019-07-12 02:29:55,907 INFO [main] org.apache.nifi.nar.NarAutoLoader NAR Auto-Loader started
2019-07-12 02:29:55,907 INFO [main] org.apache.nifi.web.server.JettyServer NiFi has started. The UI is available at the following URLs:
2019-07-12 02:29:55,907 INFO [main] org.apache.nifi.web.server.JettyServer https://<I.P>:8443/nifi
2019-07-12 02:29:55,907 INFO [main] org.apache.nifi.web.server.JettyServer https://127.0.0.1:8443/nifi
2019-07-12 02:29:55,909 INFO [main] org.apache.nifi.BootstrapListener Successfully initiated communication with Bootstrap
2019-07-12 02:29:55,909 INFO [main] org.apache.nifi.NiFi Controller initialization took 19369037824 nanoseconds (19 seconds).

1 Ответ

0 голосов
/ 12 июля 2019

Можете ли вы показать результаты использования инструмента OpenSSL s_client для подключения к хосту? Я предполагаю, <I.P> - это замена действительного IP-адреса вручную? При использовании этой версии NiFi сертификат должен содержать действительные SubjectAlternativeName записи для имен хостов и IP-адресов, которые вы хотите использовать для доступа к услуге.

Вы также хотите убедиться, что хранилище ключей содержит открытый сертификат и закрытый ключ . хранилище доверенных сертификатов должно содержать открытый сертификат и все сертификаты CA, используемые для его подписи (в зависимости от вашего порогового значения для желаемой специфичности при принятии входящих сертификатов для аутентификации сертификата клиента).

...