Data Grid 安全指南

流程

1. 构建启用授权的 GlobalConfigurationBuilder，指定角色映射器，并定义一组角色和权限。

   GlobalConfigurationBuilder global = new GlobalConfigurationBuilder();
   global
      .security()
         .authorization().enable() 

   1

   
            .principalRoleMapper(new IdentityRoleMapper()) 

   2

   
            .role("admin") 

   3

   
               .permission(AuthorizationPermission.ALL)
            .role("reader")
               .permission(AuthorizationPermission.READ)
            .role("writer")
               .permission(AuthorizationPermission.WRITE)
            .role("supervisor")
               .permission(AuthorizationPermission.READ)
               .permission(AuthorizationPermission.WRITE)
               .permission(AuthorizationPermission.EXEC);

   Copy to Clipboard Toggle word wrap

   1

   为 Cache Manager 启用 Data Grid 授权。

   2

   指定 PrincipalRoleMapper 的实现，它将 Principals 映射到角色。

   3

   定义角色及其关联的权限。

2. 在 ConfigurationBuilder 中启用用于缓存的授权，以根据用户角色限制访问权限。

   ConfigurationBuilder config = new ConfigurationBuilder();
   config
      .security()
         .authorization()
            .enable(); 

   1

   Copy to Clipboard Toggle word wrap

   1

   隐式添加全局配置中的所有角色。

   如果您不想将所有角色应用到缓存，请明确定义授权缓存的角色，如下所示：

   ConfigurationBuilder config = new ConfigurationBuilder();
   config
      .security()
         .authorization()
            .enable()
            .role("admin") 

   1

   
            .role("supervisor")
            .role("reader");

   Copy to Clipboard Toggle word wrap

   1

   定义缓存的授权角色。在本例中，只有 writer 角色的用户没有授权"secured"缓存。Data Grid 拒绝来自这些用户的任何访问请求。

流程

1. 在 cache-container 中配置全局授权设置，用于指定角色映射器，并定义一组角色和权限。

2. 配置缓存授权，以根据用户角色限制访问权限。

   <infinispan>
      <cache-container default-cache="secured" name="secured">
         <security>
            <authorization> 

   1

   
               <identity-role-mapper /> 

   2

   
               <role name="admin" permissions="ALL" /> 

   3

   
               <role name="reader" permissions="READ" />
               <role name="writer" permissions="WRITE" />
               <role name="supervisor" permissions="READ WRITE EXEC"/>
            </authorization>
         </security>
         <local-cache name="secured">
            <security>
               <authorization/> 

   4

   
            </security>
         </local-cache>
      </cache-container>
   </infinispan>

   Copy to Clipboard Toggle word wrap

   1

   为 Cache Manager 启用 Data Grid 授权。

   2

   指定 PrincipalRoleMapper 的实现，它将 Principals 映射到角色。

   3

   定义角色及其关联的权限。

   4

   隐式添加全局配置中的所有角色。

   如果您不想将所有角色应用到缓存，请明确定义授权缓存的角色，如下所示：

   <infinispan>
      <cache-container default-cache="secured" name="secured">
         <security>
            <authorization>
               <identity-role-mapper />
               <role name="admin" permissions="ALL" />
               <role name="reader" permissions="READ" />
               <role name="writer" permissions="WRITE" />
               <role name="supervisor" permissions="READ WRITE EXEC"/>
            </authorization>
         </security>
         <local-cache name="secured">
            <security>
               <authorization roles="admin supervisor reader"/> 

   1

   
            </security>
         </local-cache>
      </cache-container>
   
   </infinispan>

   Copy to Clipboard Toggle word wrap

   1

   定义缓存的授权角色。在本例中，只有 writer 角色的用户没有授权"secured"缓存。Data Grid 拒绝来自这些用户的任何访问请求。

1. Data Grid 集群中的第一个节点(coordinator 节点)会生成一个 secret 密钥。
2. 加入节点使用协调器执行证书身份验证，以互相验证身份。
3. 加入的节点从 coordinator 节点请求 secret 密钥。该请求包含加入节点的公钥。
4. 协调器节点使用公钥加密 secret 密钥，并将其返回到加入节点。
5. 加入节点解密并安装 secret 密钥。
6. 节点加入集群，使用 secret 密钥加密并解密信息。

1. 节点在启动时从 Data Grid 类路径上的密钥存储安装 secret 密钥。
2. 节点加入集群，使用 secret 密钥加密和解密消息。

流程

1. 使用证书链创建密钥存储，使 Data Grid 能够验证节点身份。

2. 将密钥存储放在集群中每个节点的 classpath 上。

   对于 Data Grid Server，您要将密钥存储放在 $RHDG_HOME 目录中。

3. 将 SSL_KEY_EXCHANGE 和 ASYM_ENCRYPT 协议添加到 Data Grid 配置中的 JGroups 堆栈，如下例所示：

   <infinispan>
       <jgroups>
            <stack name="encrypt-tcp" extends="tcp"> 

   1

   
              <SSL_KEY_EXCHANGE keystore_name="mykeystore.jks" 

   2

   
                                keystore_password="changeit" 

   3

   
                                stack.combine="INSERT_AFTER"
                                stack.position="VERIFY_SUSPECT"/> 

   4

   
              <ASYM_ENCRYPT asym_keylength="2048" 

   5

   
                       asym_algorithm="RSA" 

   6

   
                       change_key_on_coord_leave = "false" 

   7

   
                       change_key_on_leave = "false" 

   8

   
                       use_external_key_exchange = "true" 

   9

   
                       stack.combine="INSERT_AFTER"
                       stack.position="SSL_KEY_EXCHANGE"/> 

   10

   
            </stack>
       </jgroups>
       <cache-container name="default" statistics="true">
         <transport cluster="${infinispan.cluster.name}"
                    stack="encrypt-tcp" 

   11

   
                    node-name="${infinispan.node.name:}"/>
      </cache-container>
   </infinispan>

   Copy to Clipboard Toggle word wrap

   1

   创建名为"encrypt-tcp"的安全 JGroups 堆栈，用于扩展 Data Grid 的默认 TCP 堆栈。

   2

   将节点用来执行证书身份验证的密钥存储命名。

   3

   指定密钥存储密码。

   4

   使用 stack.combine 和 stack.position 属性在 VERIFY_SUSPECT 协议后将 SSL_KEY_EXCHANGE 插入到默认的 TCP 堆栈中。

   5

   指定协调器节点生成的 secret 密钥长度。默认值为 2048。

   6

   指定 coordinator 节点用来生成 secret 密钥的密码引擎。默认值为 RSA。

   7

   配置 Data Grid，以在协调器节点更改时生成并分发新的 secret 密钥。

   8

   配置 Data Grid，以在节点离开时生成和分发新的 secret 密钥。

   9

   配置 Data Grid 节点，以使用 SSL_KEY_EXCHANGE 协议进行证书身份验证。

   10

   使用 stack.combine 和 stack.position 属性在 SSL_KEY_EXCHANGE 协议后将 ASYM_ENCRYPT 插入默认的 TCP 堆栈。

   11

   配置 Data Grid 集群，以使用 secure JGroups 堆栈。

流程

1. 创建包含 secret 密钥的密钥存储。

2. 将密钥存储放在集群中每个节点的 classpath 上。

   对于 Data Grid Server，您要将密钥存储放在 $RHDG_HOME 目录中。

3. 将 SYM_ENCRYPT 协议添加到 Data Grid 配置中的 JGroups 堆栈中，如下例所示：

   <infinispan>
       <jgroups>
            <stack name="encrypt-tcp" extends="tcp"> 

   1

   
              <SYM_ENCRYPT keystore_name="myKeystore.p12" 

   2

   
                           keystore_type="PKCS12" 

   3

   
                           store_password="changeit" 

   4

   
                           key_password="changeit" 

   5

   
                           alias="myKey" 

   6

   
                           stack.combine="INSERT_AFTER"
                           stack.position="VERIFY_SUSPECT"/> 

   7

   
            </stack>
       </jgroups>
       <cache-container name="default" statistics="true">
         <transport cluster="${infinispan.cluster.name}"
                    stack="encrypt-tcp" 

   8

   
                    node-name="${infinispan.node.name:}"/>
      </cache-container>
   </infinispan>

   Copy to Clipboard Toggle word wrap

   1

   创建名为"encrypt-tcp"的安全 JGroups 堆栈，用于扩展 Data Grid 的默认 TCP 堆栈。

   2

   将密钥存储命名为从哪些节点获取 secret 密钥。

   3

   指定密钥存储类型。JGroups 默认使用 JCEKS。

   4

   指定密钥存储密码。

   5

   指定 secret 密钥密码。

   6

   指定 secret 密钥别名。

   7

   使用 stack.combine 和 stack.position 属性在 VERIFY_SUSPECT 协议后将 SYM_ENCRYPT 插入到默认的 TCP 堆栈中。

   8

   配置 Data Grid 集群，以使用 secure JGroups 堆栈。