12.8. クラスタートランスポートの暗号化

手順

1. 1 つの証明書が含まれる TLS キーストアを作成し、Data Grid Server を特定します。

   PKCS#1 または PKCS#8 形式の秘密鍵、証明書、および空のパスワードである password="" が含まれている場合は、PEM ファイルを使用することもできます。

   注記

   キーストアの証明書が公開認証局 (CA) で署名されていない場合は、署名証明書または公開鍵のいずれかが含まれるトラストストアを作成する必要もあります。

2. キーストアを $RHDG_HOME/server/conf ディレクトリーに追加します。

3. キーストアを Data Grid Server 設定の新しいセキュリティーレルムに追加します。

   重要

   Data Grid Server エンドポイントがクラスタートランスポートと同じセキュリティーレルムを使用しないように、専用のキーストアとセキュリティーレルムを作成する必要があります。

   <server xmlns="urn:infinispan:server:14.0">
     <security>
       <security-realms>
         <security-realm name="cluster-transport">
           <server-identities>
             <ssl>
               <!-- Adds a keystore that contains a certificate that provides SSL/TLS identity to encrypt cluster transport. -->
               <keystore path="server.pfx"
                         relative-to="infinispan.server.config.path"
                         password="secret"
                         alias="server"/>
             </ssl>
           </server-identities>
         </security-realm>
       </security-realms>
     </security>
   </server>

4. server:security-realm 属性でセキュリティーレルムの名前を指定して、セキュリティーレルムを使用するようにクラスタートランスポートを設定します。

   <infinispan>
     <cache-container>
       <transport server:security-realm="cluster-transport"/>
     </cache-container>
   </infinispan>

1. Data Grid クラスターの最初のノードであるコーディネーターノードは、秘密鍵を生成します。
2. 参加ノードは、コーディネーターとの証明書認証を実行して、相互に ID を検証します。
3. 参加ノードは、コーディネーターノードに秘密鍵を要求します。その要求には、参加ノードの公開鍵が含まれています。
4. コーディネーターノードは、秘密鍵を公開鍵で暗号化し、参加ノードに返します。
5. 参加ノードは秘密鍵を復号してインストールします。
6. ノードはクラスターに参加し、秘密鍵でメッセージを暗号化および復号化します。

1. ノードは、起動時に Data Grid クラスパスのキーストアから秘密鍵をインストールします。
2. ノードはクラスターに参加し、秘密鍵でメッセージを暗号化および復号化します。

手順

1. Data Grid がノードの ID を検証できるようにする証明書チェーンでキーストアを作成します。

2. クラスター内の各ノードのクラスパスにキーストアを配置します。

   Data Grid Server の場合は、$RHDG_HOME ディレクトリーにキーストアを配置します。

3. 以下の例のように、SSL_KEY_EXCHANGE プロトコルおよび ASYM_ENCRYPT プロトコルを Data Grid 設定の JGroups スタックに追加します。

   <infinispan>
     <jgroups>
       <!-- Creates a secure JGroups stack named "encrypt-tcp" that extends the default TCP stack. -->
       <stack name="encrypt-tcp" extends="tcp">
         <!-- Adds a keystore that nodes use to perform certificate authentication. -->
         <!-- Uses the stack.combine and stack.position attributes to insert SSL_KEY_EXCHANGE into the default TCP stack after VERIFY_SUSPECT2. -->
         <SSL_KEY_EXCHANGE keystore_name="mykeystore.jks"
                           keystore_password="changeit"
                           stack.combine="INSERT_AFTER"
                           stack.position="VERIFY_SUSPECT2"/>
         <!-- Configures ASYM_ENCRYPT -->
         <!-- Uses the stack.combine and stack.position attributes to insert ASYM_ENCRYPT into the default TCP stack before pbcast.NAKACK2. -->
         <!-- The use_external_key_exchange = "true" attribute configures nodes to use the `SSL_KEY_EXCHANGE` protocol for certificate authentication. -->
         <ASYM_ENCRYPT asym_keylength="2048"
                       asym_algorithm="RSA"
                       change_key_on_coord_leave = "false"
                       change_key_on_leave = "false"
                       use_external_key_exchange = "true"
                       stack.combine="INSERT_BEFORE"
                       stack.position="pbcast.NAKACK2"/>
       </stack>
     </jgroups>
     <cache-container name="default" statistics="true">
       <!-- Configures the cluster to use the JGroups stack. -->
       <transport cluster="${infinispan.cluster.name}"
                  stack="encrypt-tcp"
                  node-name="${infinispan.node.name:}"/>
     </cache-container>
   </infinispan>

手順

1. シークレットキーが含まれるキーストアを作成します。

2. クラスター内の各ノードのクラスパスにキーストアを配置します。

   Data Grid Server の場合は、$RHDG_HOME ディレクトリーにキーストアを配置します。

3. Data Grid 設定の JGroups スタックに SYM_ENCRYPT プロトコルを追加します。