11.8. 加密集群传输

流程

1. 创建一个 TLS 密钥存储，其中包含用于识别数据网格服务器的单一证书。

   如果它包含 PKCS#1 或 PKCS#8 格式的私钥，以及证书，以及一个空密码： password=""，您可以使用 PEM 文件。

   注意

   如果密钥存储中的证书不是由公共证书颁发机构(CA)签名，则还必须创建包含签名证书或公钥的信任存储。

2. 将密钥存储添加到 $RHDG_HOME/server/conf 目录中。

3. 将密钥存储添加到 Data Grid Server 配置中的新安全域。

   重要

   您应该创建专用的密钥存储和安全域，以便 Data Grid Server 端点不像集群传输一样使用相同的安全域。

   <server xmlns="urn:infinispan:server:13.0">
     <security>
       <security-realms>
         <security-realm name="cluster-transport">
           <server-identities>
             <ssl>
               <!-- Adds a keystore that contains a certificate that provides SSL/TLS identity to encrypt cluster transport. -->
               <keystore path="server.pfx"
                         relative-to="infinispan.server.config.path"
                         password="secret"
                         alias="server"/>
             </ssl>
           </server-identities>
         </security-realm>
       </security-realms>
     </security>
   </server>

4. 使用 server:security-realm 属性指定安全域，将集群传输配置为使用安全域。

   <infinispan>
     <cache-container>
       <transport server:security-realm="cluster-transport"/>
     </cache-container>
   </infinispan>

1. Data Grid 集群中的第一个节点（协调器节点）会生成 secret 密钥。
2. 加入的节点使用协调器执行证书验证，以相互验证身份。
3. 加入的节点从协调器节点请求 secret 密钥。该请求包括加入节点的公钥。
4. 协调器节点使用公钥加密 secret 密钥，并将其返回到加入的节点。
5. 加入的节点解密并安装 secret 密钥。
6. 节点加入集群，使用 secret 密钥加密和解密信息。

1. 节点在启动时从 Data Grid classpath 上的密钥存储安装 secret 密钥。
2. 节点加入集群，使用 secret 密钥加密和解密信息。

流程

1. 创建具有证书链的密钥存储，使 Data Grid 能够验证节点身份。

2. 将密钥存储放在集群中的每个节点的类路径上。

   对于 Data Grid Server，您可以将密钥存储放在 $RHDG_HOME 目录中。

3. 将 SSL_KEY_EXCHANGE 和 ASYM_ENCRYPT 协议添加到数据网格配置中的 JGroups 堆栈，如下例所示：

   <infinispan>
     <jgroups>
       <!-- Creates a secure JGroups stack named "encrypt-tcp" that extends the default TCP stack. -->
       <stack name="encrypt-tcp" extends="tcp">
         <!-- Adds a keystore that nodes use to perform certificate authentication. -->
         <!-- Uses the stack.combine and stack.position attributes to insert SSL_KEY_EXCHANGE into the default TCP stack after VERIFY_SUSPECT. -->
         <SSL_KEY_EXCHANGE keystore_name="mykeystore.jks"
                           keystore_password="changeit"
                           stack.combine="INSERT_AFTER"
                           stack.position="VERIFY_SUSPECT"/>
         <!-- Configures ASYM_ENCRYPT -->
         <!-- Uses the stack.combine and stack.position attributes to insert ASYM_ENCRYPT into the default TCP stack before pbcast.NAKACK2. -->
         <!-- The use_external_key_exchange = "true" attribute configures nodes to use the `SSL_KEY_EXCHANGE` protocol for certificate authentication. -->
         <ASYM_ENCRYPT asym_keylength="2048"
                       asym_algorithm="RSA"
                       change_key_on_coord_leave = "false"
                       change_key_on_leave = "false"
                       use_external_key_exchange = "true"
                       stack.combine="INSERT_BEFORE"
                       stack.position="pbcast.NAKACK2"/>
       </stack>
     </jgroups>
     <cache-container name="default" statistics="true">
       <!-- Configures the cluster to use the JGroups stack. -->
       <transport cluster="${infinispan.cluster.name}"
                  stack="encrypt-tcp"
                  node-name="${infinispan.node.name:}"/>
     </cache-container>
   </infinispan>

流程

1. 创建包含机密密钥的密钥存储。

2. 将密钥存储放在集群中的每个节点的类路径上。

   对于 Data Grid Server，您可以将密钥存储放在 $RHDG_HOME 目录中。

3. 将 SYM_ENCRYPT 协议添加到数据网格配置中的 JGroups 堆栈。