搜索

第 5 章 保护代理

download PDF

5.1. 保护连接

当代理连接到消息传递客户端时,或者代理连接到其他代理时,您可以使用传输层安全(TLS)保护这些连接。

您可以使用两个 TLS 配置:

  • 单向 TLS,其中只有代理提供证书。这是最常见的配置。
  • 双向(或 mutual)TLS,其中代理和客户端(或其他代理)都提供证书。

本节中的步骤演示了如何配置单向和双向 TLS。

5.1.1. 配置单向 TLS

以下流程演示了如何为单向 TLS 配置给定接受者。

  1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。
  2. 对于给定的 acceptor,添加 sslEnabled 键并将值设为 true。另外,添加 keyStorePathkeyStorePassword 密钥。设置与代理键存储对应的值。例如:

    <acceptor name="artemis">tcp://0.0.0.0:61616?sslEnabled=true;keyStorePath=../etc/broker.keystore;keyStorePassword=1234!</acceptor>

5.1.2. 配置双向 TLS

以下步骤演示了如何配置双向 TLS。

先决条件

流程

  1. 打开 & lt;broker_instance_dir&gt; /etc/broker.xml 配置文件。
  2. 对于您之前为单向 TLS 配置的接收器,添加 needClientAuth 密钥。将值设为 true。例如:

    <acceptor name="artemis">tcp://0.0.0.0:61616?sslEnabled=true;keyStorePath=../etc/broker.keystore;keyStorePassword=1234!;needClientAuth=true</acceptor>
  3. 上一步的配置假定客户端证书由可信提供者签名。如果客户端的证书 不是由 可信提供者(例如,自签名的签名)签名,则代理需要将客户端证书导入信任存储中。在这种情况下,添加 trustStorePathtrustStorePassword 密钥。设置与代理信任存储对应的值。例如:

    <acceptor name="artemis">tcp://0.0.0.0:61616?sslEnabled=true;keyStorePath=../etc/broker.keystore;keyStorePassword=1234!;needClientAuth=true;trustStorePath=../etc/client.truststore;trustStorePassword=5678!</acceptor>
注意

AMQ Broker 支持多个协议,每个协议和平台都有不同的方法来指定 TLS 参数。但是,在使用 Core Protocol(一个桥接)的客户端时,TLS 参数在连接器 URL 上配置,这与代理的接受者非常相似。

5.1.3. TLS 配置选项

下表显示了所有可用的 TLS 配置选项。

选项备注

sslEnabled

指定是否为连接启用 SSL。必须设置为 true 才能启用 TLS。默认值为 false

keyStorePath

在接受者: 到持有代理证书的代理上的 TLS 密钥存储路径(无论是由认证机构进行自签名或签名)的代理上时。

连接器上用作时: 包含客户端证书的客户端上的 TLS 密钥存储路径。仅在使用双向 TLS 时,这与连接器相关。虽然您可以在代理上配置这个值,但它由客户端下载并使用。如果客户端需要使用与代理上设置的不同路径,可以使用标准的 javax.net.ssl.keyStore 系统属性或 AMQ 特定的 org.apache.ssl.keyStore 系统属性覆盖代理设置。如果客户端上的另一个组件已经使用标准 Java 系统属性,则 AMQ 特定系统属性很有用。

keyStorePassword

在代理上使用的 acceptor: Password 作为代理上的密钥存储。

在连接器中使用时,密码用于客户端上的密钥存储。仅在使用双向 TLS 时,这与连接器相关。虽然您可以在代理上配置这个值,但它由客户端下载并使用。如果客户端需要使用代理上设置的不同密码,可以使用标准的 javax.net.ssl.keyStorePassword 系统属性或 AMQ 特定的 org.apache.keyStorePassword 系统属性覆盖代理设置。如果客户端上的另一个组件已经使用标准 Java 系统属性,则 AMQ 特定系统属性很有用。

trustStorePath

在接受者: 到含有代理信任的所有客户端密钥的代理上的 TLS 信任存储的路径。仅在使用双向 TLS 时,这与接受者相关。

连接器中使用时: 在包含客户端信任的所有代理的公钥的客户端上的 TLS 信任存储的路径。虽然您可以在代理上配置这个值,但它由客户端下载并使用。如果客户端需要使用与服务器上设置的不同路径,那么它可以通过使用标准的 javax.net.ssl.trustStore 系统属性或 AMQ- specific org.apache.ROKSStore 系统属性覆盖服务器端设置。如果客户端上的另一个组件已经使用标准 Java 系统属性,则 AMQ 特定系统属性很有用。

trustStorePassword

当用于接受器: 代理中信任存储的密码。仅在使用双向 TLS 时,这与接受者相关。

在连接器中使用时: 客户端的信任存储的密码。虽然您可以在代理上配置这个值,但它由客户端下载并使用。如果客户端需要使用代理上设置的不同密码,可以使用标准的 javax.net.ssl.trustStorePassword 系统属性或 AMQ-specific org.ssl.trustStorePassword 系统属性覆盖代理设置。如果客户端上的另一个组件已经使用标准 Java 系统属性,则 AMQ 特定系统属性很有用。

enabledCipherSuites

无论是在接受者还是连接器中,这是用于 TLS 通信的以逗号分隔的密码套件列表。默认值为 null,即使用 JVM 的默认。

enabledProtocols

无论是在接受者还是连接器中,这是用于 TLS 通信的以逗号分隔的协议列表。默认值为 null,即使用 JVM 的默认。

needClientAuth

此属性仅适用于接受者。它指示客户端连接到需要双向 TLS 的接受器。有效值为 true 或者 false。默认值为 false

Red Hat logoGithubRedditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务,以及可以信赖的内容,帮助红帽用户创新并实现他们的目标。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情,请参阅红帽博客.

關於紅帽

我们提供强化的解决方案,使企业能够更轻松地跨平台和环境(从核心数据中心到网络边缘)工作。

© 2024 Red Hat, Inc.