9.3. 発信接続のセキュリティー保護

手順

1. /etc/qpid-dispatch/qdrouterd.conf 設定ファイルを開きます。

2. 外部 AMQP コンテナーのアイデンティティーの検証に使用できる証明書を定義する sslProfile が含まれていない場合は、これを追加します。

   sslProfile {
       name: broker-tls
       caCertFile: /etc/qpid-dispatch-certs/ca.crt
       ...
   }

   name

   この sslProfile の参照に使用できる一意の名前。

   caCertFile

   外部 AMQP コンテナーのアイデンティティーの検証に使用される CA 証明書への絶対パス。

3. SSL/TLS を使用して、SSL ハンドシェイク中にブローカーによって受信されたサーバー証明書を検証するために、この接続で connector を設定します。

   この例では、connector をブローカーに設定します。ルーターはブローカーに接続すると、broker-tls sslProfile に定義された CA 証明書を使用して、ブローカーから受け取ったサーバー証明書を検証します。

   connector {
       host: 192.0.2.1
       port: 5672
       role: route-container
       sslProfile: broker-tls
       ...
   }

   sslProfile

   外部 AMQP コンテナーのアイデンティティーの検証に使用する証明書を定義する sslProfile の名前。

手順

1. /etc/qpid-dispatch/qdrouterd.conf 設定ファイルを開きます。

2. ルーターに、外部の AMQP コンテナーに接続するための秘密鍵と証明書を定義する sslProfile が含まれていない場合は、これを追加します。

   この sslProfile には、ルーターがピアとの認証に使用する秘密鍵と証明書の場所が含まれます。

   sslProfile {
       name: broker-tls
       certFile: /etc/pki/tls/certs/tls.crt
       caCertFile: /etc/pki/tls/certs/ca.crt
       privateKeyFile: /etc/pki/tls/private/tls.key
       password: file:/etc/pki/tls/private/password.txt
       ...
   }

   name

   この sslProfile の参照に使用できる一意の名前。

   certFile

   このルーターのパブリック証明書を含むファイルへの絶対パス。

   caCertFile

   ルーターが受信クライアントの認証に使用する CA 証明書への絶対パス。

   privateKeyFile

   このルーターのパブリック証明書に対する秘密鍵が含まれるファイルへの絶対パス。

   注記

   qdrouterd または root ユーザーが秘密鍵にアクセスできることを確認します。以下は例になります。

   chmod 0600 /etc/pki/tls/private/tls.key
   chown qdrouterd /etc/pki/tls/private/tls.key

   パスワード

   証明書キーのロックを解除するパスワード。証明書キーにパスワードがない場合は、指定する必要はありません。異なる接頭辞を使用することで、セキュリティー要件に応じてパスワードを複数回指定できます。

   • パスワードを含むファイルへの絶対パスを指定します。これは、パスワードを含むファイルにパーミッションを設定することができるため、最も安全なオプションです。以下は例になります。

     password: file:/etc/qpid-dispatch-certs/inter-router/password.txt

   • パスワードを保存する環境変数を指定します。他のプロセスの環境は特定のプラットフォームで表示されるため、このオプションの使用には注意が必要です。以下は例になります。

     password: env:CERT_PASSWORD

   • パスワードをクリアテキストで指定します。このオプションは安全ではないため、セキュリティーが懸念されていない場合にのみ使用してください。以下は例になります。

     password: pass:mycertpassword

3. 作成した sslProfile を使用するように、このコネクションの connector を設定します。

   connector {
       host: 192.0.2.1
       port: 5672
       role: route-container
       sslProfile: broker-tls
       saslMechanisms: EXTERNAL
       ...
   }

   sslProfile

   SSL/TLS プライベートキーおよびルーター間ネットワークの証明書を定義する sslProfile の名前。

手順

1. /etc/qpid-dispatch/qdrouterd.conf 設定ファイルを開きます。

2. このコネクションが、外部 AMQP コンテナーに対してユーザー名とパスワードのクレデンシャルを提供するように connector を設定します。

   connector {
       host: 192.0.2.1
       port: 5672
       role: route-container
       saslMechanisms: PLAIN
       saslUsername: user
       saslPassword: file:/path/to/file/password.txt
       }

   saslPassword

   ピアに接続するためのパスワード。異なる接頭辞を使用することで、セキュリティー要件に応じてパスワードを複数回指定できます。

   • パスワードを含むファイルへの絶対パスを指定します。これは、パスワードを含むファイルにパーミッションを設定することができるため、最も安全なオプションです。以下は例になります。

     password: file:/path/to/file/password.txt

   • パスワードを保存する環境変数を指定します。他のプロセスの環境は特定のプラットフォームで表示されるため、このオプションの使用には注意が必要です。以下は例になります。

     password: env:PASSWORD

   • パスワードをクリアテキストで指定します。このオプションは安全ではないため、セキュリティーが懸念されていない場合にのみ使用してください。以下は例になります。

     password: pass:mypassword