Habilitar la autenticación de Cassandra

De forma predeterminada, Cassandra se instala sin la autenticación habilitada. Esto significa que cualquier persona que tenga acceso a tu servidor de Cassandra puede consultar la base de datos de Cassandra sin autenticación. Puedes habilitar la autenticación después de instalar Edge o como parte del proceso de instalación.

Si decides habilitar la autenticación en Cassandra sin proporcionar tus propias credenciales, se usarán las siguientes credenciales predeterminadas:

  • username = 'cassandra'
  • password = 'cassandra'

Puedes usar esta cuenta de usuario, establecer una contraseña diferente para ella o crear un usuario de Cassandra nuevo. Agrega, quita y modifica usuarios con las declaraciones CREATE/ALTER/DROP USER de Cassandra.

Para obtener más información, consulta Comandos de shell de Cassandra SQL.

Habilita la autenticación de Cassandra durante la instalación

Puedes habilitar la autenticación de Cassandra en el momento de la instalación. Sin embargo, si bien puedes habilitar la autenticación cuando instalas Cassandra, siempre debes usar el nombre de usuario y la contraseña predeterminados de Cassandra (‘cassandra’:’cassandra’) durante la instalación. Si deseas usar credenciales de Cassandra que no sean las predeterminadas, debes volver a habilitar la autenticación de Cassandra después de la instalación siguiendo los pasos que se indican aquí.

Si deseas habilitar la autenticación de Cassandra durante una instalación nueva de Cassandra, incluye las siguientes propiedades en el archivo de configuración para todos los nodos de Cassandra:

CASS_AUTH=y
CASS_USERNAME=cassandra
CASS_PASSWORD=cassandra

Luego, la instalación configurará Cassandra con la autenticación habilitada y con las credenciales predeterminadas de cassandra:cassandra.

Después de completar la instalación inicial, puedes seguir uno o más de los siguientes pasos:

  • Crea un usuario alternativo que se usará para la autenticación de Cassandra siguiendo el procedimiento aquí.
  • Cambia la contraseña del usuario predeterminado de Cassandra siguiendo los pasos que se indican aquí.
  • Instala componentes de Edge que usen Cassandra para usar las credenciales que configuraste anteriormente.

Componentes de Edge que se conectan a Cassandra

Los siguientes componentes de Edge acceden a Cassandra:

  • Servidor de administración
  • Message Processors
  • Routers
  • Servidores de Qpid
  • Servidores de Postgres

Instala componentes de Edge cuando la autenticación de Cassandra esté habilitada

Si tienes habilitada la autenticación de Cassandra cuando instalas estos componentes de Edge por primera vez, debes proporcionar los siguientes parámetros de configuración en el archivo de configuración silenciosa:

CASS_AUTH=Y
CASS_USERNAME=<valid username in Cassandra>
CASS_PASSWORD=<password for the above username>

Puedes cambiar las credenciales de Cassandra después de instalar Cassandra. Sin embargo, si ya instalaste el servidor de administración, los Message Processors, los routers, los servidores de Qpid o los servidores de Postgres, también debes actualizar esos componentes para usar las credenciales nuevas, como se describe en la siguiente sección.

Actualiza los componentes de Edge que se conectan a Cassandra

Usa el siguiente procedimiento para actualizar todos los componentes de Edge que se comunican con Cassandra con las credenciales nuevas. Ten en cuenta que debes realizar este paso antes de actualizar las credenciales de Cassandra:

  1. En el nodo del servidor de administración, ejecuta el siguiente comando: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u cassandra_username -p cassandra_password

    De manera opcional, puedes pasar un archivo que contenga el nombre de usuario y la contraseña nuevos al comando:

    apigee-service edge-management-server store_cassandra_credentials  -f configFile

    En el ejemplo anterior, configFile contiene lo siguiente:

    CASS_USERNAME=cassandra_username # Default is cassandra
CASS_PASSWORD='cassandra_password' # Default is cassandra; wrap in single quotes if it includes special characters.

    Este comando reinicia automáticamente el servidor de administración.

  2. Repite el paso 1 para cada uno de los siguientes servicios:
    • Todos los Message Processors
    • Todos los routers
    • Todos los servidores de Qpid (edge-qpid-server)
    • Servidores de Postgres (edge-postgres-server)

    Cuando repitas el paso 1 para cada servicio, reemplaza edge-management-server en el comando anterior por el nombre del servicio correspondiente. Por ejemplo, cuando ejecutes el paso para un servicio de Router, usa el siguiente comando:

    /opt/apigee/apigee-service/bin/apigee-service edge-router store_cassandra_credentials -u cassandra -p cassandra

    Habilita la autenticación de Cassandra después de la instalación

    En las siguientes secciones, se explica cómo habilitar la autenticación de Cassandra después de la instalación.

    Habilita la autenticación de Cassandra en una configuración de un solo centro de datos

    Para una configuración de Apigee basada en un solo centro de datos que ya tenga Cassandra instalado, puedes hacer lo siguiente:

    Nota: El usuario "Cassandra" es un usuario especial en Cassandra. La autenticación con este usuario requiere coherencia de QUORUM. Consulta Acerca de los niveles de coherencia de Cassandra.

    Habilita la autenticación de Cassandra cuando haya varios centros de datos

    Cuando expandas los centros de datos, sigue los pasos de una de las siguientes situaciones, según la que corresponda a tu configuración.

    Situación 1: El centro de datos existente tiene habilitada la autenticación de Cassandra

    Si la autenticación de Cassandra ya está habilitada en un centro de datos existente con credenciales cassandra:cassandra predeterminadas, sigue estos pasos:

    1. Configura un centro de datos nuevo con las credenciales predeterminadas de Cassandra:Cassandra y CASS_AUTH=y. Consulta Habilita la autenticación de Cassandra por primera vez.
    2. Instala los componentes de Edge en el centro de datos nuevo con las credenciales predeterminadas de Cassandra.

    Si la autenticación de Cassandra ya está habilitada en el centro de datos existente con credenciales no predeterminadas, sigue estos pasos:

    1. Configura un centro de datos nuevo con las credenciales predeterminadas de Cassandra:Cassandra y CASS_AUTH=y. Consulta Habilita la autenticación de Cassandra por primera vez.
    2. Sigue los pasos que se indican en Habilita la autenticación de Cassandra por primera vez para volver a usar la credencial de un centro de datos existente (si el existente usa una credencial no predeterminada).
    3. Instala los componentes de Edge en el centro de datos nuevo con la credencial de Cassandra no predeterminada.

    Situación 2: El centro de datos existente no tiene habilitada la autenticación de Cassandra

    Si la autenticación de Cassandra no está habilitada, sigue estos pasos:

    1. Configura un centro de datos nuevo sin autenticación de Cassandra.
    2. Sigue los pasos que se indican en Habilita la autenticación de Cassandra por primera vez para habilitar la autenticación de Cassandra en todo el clúster (después de la expansión).
    3. Actualiza los componentes de Edge que se conectan a Cassandra siguiendo los pasos que se indican aquí.

    Habilita la autenticación de Cassandra por primera vez

    Usa el siguiente procedimiento para habilitar la autenticación de Cassandra por primera vez o para crear un nombre de usuario y una contraseña nuevos de Cassandra:

    1. Crea un archivo de configuración silenciosa con el contenido que se muestra a continuación: 
      # Specify IP address or DNS name of cassandra node
IP1=192.168.1.1
IP2=192.168.1.2
IP3=192.168.1.3

# Must resolve to IP address or DNS name of host
HOSTIP=$(hostname -i)

# Set to ‘y’ to enable Cassandra authentication.
CASS_AUTH=y # Possible values are ‘y/n’

# Cassandra username. If it does not exist, this user would be created as a SUPERUSER
CASS_USERNAME=cassandra # Default value is cassandra
# Cassandra Password. If CASS_USERNAME does not exist, create SUPERUSER with this as password
CASS_PASSWORD=cassandra # Default value is cassandra

# Space-separated IP/DNS names of the Cassandra hosts
CASS_HOSTS="$IP1:1,1 $IP2:1,1 $IP3:1,1"

# Username of an existing C* user. Only needed if you have disabled or change details of the default cassandra user(‘cassandra’)
CASS_EXISTING_USERNAME=cassandra  # The default username is cassandra
# Password of an existing C* user. Only needed if you have disabled or change password of the default cassandra user(‘cassandra’)
CASS_EXISTING_PASSWORD=cassandra  # The default password is cassandra

# Cassandra port
CASS_PORT=9042 # The default port is 9042.
    2. Accede al primer nodo de Cassandra y ejecuta el siguiente comando: 
      apigee-service apigee-cassandra enable_cassandra_authentication -f CONFIG

      De manera opcional, puedes pasar las propiedades como argumentos de comando a la secuencia de comandos, como se muestra en el siguiente ejemplo:

      CASS_AUTH=y HOSTIP=$(hostname -i) CASS_PORT=9042 CASS_EXISTING_USERNAME=cassandra CASS_EXISTING_PASSWORD=cassandra CASS_USERNAME=cassandra CASS_PASSWORD=cassandra  CASS_HOSTS="192.168.1.1:1,1 192.168.1.2:1,1 192.168.1.3:1,1" apigee-service apigee-cassandra enable_cassandra_authentication

      Notas:

      • Para las credenciales predeterminadas de Cassandra, el comando anterior habilita la autenticación de Cassandra y reinicia Cassandra.
      • Para las credenciales no predeterminadas, el comando también altera el factor de replicación, crea un superusuario y ejecuta una reparación en el espacio de claves system_auth.
    3. Repite los pasos 1 y 2 en todos los nodos de Cassandra, uno por uno.

    Cambia las credenciales de Cassandra después de instalar Cassandra

    Para cambiar las credenciales de Cassandra después de instalar Cassandra, sigue estos pasos:

    1. Accede a cualquier nodo de Cassandra con la herramienta de cqlsh y las credenciales predeterminadas. Solo debes cambiar la contraseña en un nodo y se transmitirá a todos los nodos de Cassandra en el anillo: 
      /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p cassandra

      Donde:

      1. cassIP es la dirección IP del nodo de Cassandra.
      2. 9042 es el puerto predeterminado de Cassandra.
      3. El usuario predeterminado es cassandra.
      4. La contraseña predeterminada es cassandra. Si cambiaste la contraseña anteriormente, usa la contraseña actual. Si la contraseña contiene caracteres especiales, encierra la contraseña entre comillas simples.
    2. Ejecuta el siguiente comando en el mensaje de cqlsh> para actualizar la contraseña: 
      ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';
    3. Sal de la herramienta cqlsh, como se muestra en el siguiente ejemplo: 
      exit
    4. Si aún no instalaste el servidor de administración, los Message Processors, los routers, los servidores de Qpid o los servidores de Postgres, establece las siguientes propiedades en el archivo de configuración y, luego, instala esos componentes: 
      CASS_USERNAME=cassandra
CASS_PASSWORD=NEW_PASSWORD
    5. Si ya instalaste el servidor de administración, los Message Processors, los routers, los servidores de Qpid o los servidores de Postgres, consulta Restablece las contraseñas de Edge para conocer el procedimiento para actualizar esos componentes y usar la contraseña nueva.