Cassanda Internode एन्क्रिप्शन चालू करें

इंटरनोड (या नोड-टू-नोड) एन्क्रिप्शन, क्लस्टर में नोड के बीच आने-जाने वाले डेटा की सुरक्षा करता है TLS का उपयोग करके. यह पेज बताता है कि प्राइवेट क्लाउड. इन चरणों को पूरा करने के लिए, आपको अपने Cassandra के विवरण से परिचित होना चाहिए घंटी बजाओ.

कैसेंड्रा इंटरनोड एन्क्रिप्शन चालू करें

कैसंड्रा इंटरनोड एन्क्रिप्शन चालू करने के लिए, यह तरीका अपनाएं:

1. अपेंडिक्स सेक्शन में दिया गया तरीका अपनाकर सर्वर सर्टिफ़िकेट जनरेट करें का इस्तेमाल करके, और प्रमाणपत्र.

   इन चरणों के मुताबिक, यह माना जाएगा कि आपने keystore.node0 बना लिया है और truststore.node0, साथ ही, कीस्टोर और ट्रस्टस्टोर पासवर्ड के बारे में भी बताएंगे. इसके बारे में अपेंडिक्स में बताया गया है. आगे बढ़ने से पहले हर नोड पर शुरुआती चरणों के रूप में कीस्टोर और ट्रस्टस्टोर बनाया जाना चाहिए देखें.

2. /opt/apigee/customer/application/cassandra.properties में ये प्रॉपर्टी जोड़ें फ़ाइल से लिए जाते हैं. अगर फ़ाइल मौजूद नहीं है, तो उसे बनाएं.

     conf_cassandra_server_encryption_internode_encryption=all
     conf_cassandra_server_encryption_keystore=/opt/apigee/data/apigee-cassandra/keystore.node0
     conf_cassandra_server_encryption_keystore_password=keypass
     conf_cassandra_server_encryption_truststore=/opt/apigee/data/apigee-cassandra/truststore.node0
     conf_cassandra_server_encryption_truststore_password=trustpass
     # Optionally set the following to enable 2-way TLS or mutual TLS
     conf_cassandra_server_encryption_require_client_auth=true

3. पक्का करें कि cassandra.properties फ़ाइल का मालिकाना हक apigee उपयोगकर्ता के पास है:

   chown apigee:apigee \
   /opt/apigee/customer/application/cassandra.properties

नीचे दिए गए चरणों को हर कैसंड्रा नोड पर एक-एक करके लागू करें, ताकि ये बदलाव लागू हो जाएं इस्तेमाल करने के लिए:

3. कैसेंड्रा सेवा बंद करें:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra stop

   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
4. कैसेंड्रा सेवा को फिर से शुरू करें:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra start

   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
5. यह पता लगाने के लिए कि TLS एन्क्रिप्शन सेवा शुरू हो गई है या नहीं, नीचे दिए गए मैसेज के सिस्टम लॉग देखें:

   Starting Encrypted Messaging Service on TLS port

   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है

सर्टिफ़िकेट को घुमाएं

सर्टिफ़िकेट को बदलने के लिए, यह तरीका अपनाएं:

1. जनरेट किए गए हर यूनीक कुंजी के जोड़े के लिए सर्टिफ़िकेट जोड़ें (ज़्यादा जानकारी देखें) की मदद से कैसे काम करते हैं? नोड का भरोसा स्टोर, जैसे पुराने प्रमाणपत्र और नए प्रमाणपत्र दोनों एक ही Truststore:

   keytool -import -v -trustcacerts -alias NEW_ALIAS \
   -file CERT -keystore EXISTING_TRUSTSTORE

   जहां NEW_ALIAS एंट्री की पहचान करने के लिए एक खास स्ट्रिंग है, CERT है सर्टिफ़िकेट का नाम जोड़ने के लिए फ़ाइल और EXISTING_TRUSTSTORE कैसेंड्रा नोड पर मौजूदा ट्रस्टस्टोर का नाम है.

2. क्लस्टर के सभी कैसंड्रा नोड में ट्रस्टस्टोर डिस्ट्रिब्यूट करने के लिए, एसपीपी जैसी कॉपी यूटिलिटी का इस्तेमाल करें हर नोड के लिए इस्तेमाल किए जा रहे मौजूदा Truststore को बदलना.
3. नया ट्रस्टस्टोर लोड करने और नई कुंजियों के स्थान से पहले:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra restart

   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
4. क्लस्टर में हर कैसंड्रा नोड पर, नीचे दिखाई गई प्रॉपर्टी को नए कीस्टोर में अपडेट करें cassandra.property फ़ाइल में मौजूद वैल्यू:

   conf_cassandra_server_encryption_keystore=NEW_KEYSTORE_PATH
   conf_cassandra_server_encryption_keystore_password=NEW_KEYSTORE_PASSWORD
   where NEW_KEYSTORE_PATH is the path to the directory where the keystore file is
   located and NEW_KEYSTORE_PASSWORD is the keystore password set when the certificates
   were created, as explained in the Appendix.

5. Stop the Cassandra service:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra stop

   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
6. कैसेंड्रा सेवा को फिर से शुरू करें:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra start

   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
7. सभी नोड के बीच कम्यूनिकेशन सही तरीके से पहुंचने के बाद, अगले सेक्शन पर जाएं कैसंड्रा नोड. ध्यान दें: अगले नोड पर सिर्फ़ तब जाएं, जब कम्यूनिकेशन सही तरीके से पूरा हो गया हो सभी नोड के बीच मौजूद होता है.

अन्य जानकारी

यहां दिए गए उदाहरण में, उन सर्वर सर्टिफ़िकेट को तैयार करने का तरीका बताया गया है जो Search Ads 360 के नए वर्शन पर काम करने के लिए ज़रूरी हैं इंटरनोड एन्क्रिप्शन के चरण. उदाहरण में दिखाए गए निर्देशों में इन पैरामीटर का इस्तेमाल किया गया है:

1. इस डायरेक्ट्री पर जाएं:

   cd /opt/apigee/data/apigee-cassandra

   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
2. मौजूदा डायरेक्ट्री में keystore.node0 नाम की फ़ाइल जनरेट करने के लिए, नीचे दिया गया कमांड चलाएं:

   keytool -genkey -keyalg RSA -alias node0 -validity 3650 \
   -keystore keystore.node0 -storepass keypass \
   -keypass keypass -dname "CN=10.128.0.39, OU=None, \
   O=None, L=None, C=None"

   अहम जानकारी: पक्का करें कि कुंजी का पासवर्ड और कीस्टोर पासवर्ड एक ही हों.

3. सर्टिफ़िकेट को किसी दूसरी फ़ाइल में एक्सपोर्ट करें:

   keytool -export -alias node0 -file node0.cer \
   -keystore keystore.node0

   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
4. पक्का करें कि फ़ाइल को सिर्फ़ apigee उपयोगकर्ता पढ़ सकता हो, न कि कोई दूसरा:

   $ chown apigee:apigee \
   /opt/apigee/data/apigee-cassandra/keystore.node0
   $ chmod 400 /opt/apigee/data/apigee-cassandra/keystore.node0

   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
5. जनरेट किए गए सर्टिफ़िकेट node0.cer को नोड के ट्रस्टस्टोर में इंपोर्ट करें:

   keytool -import -v -trustcacerts -alias node0 \
   -file node0.cer -keystore truststore.node0

   ऊपर दिया गया आदेश आपको पासवर्ड सेट करने के लिए कहता है. यह Truststore का पासवर्ड है और यह कर सकता है: आपके द्वारा पहले सेट किए गए कीस्टोर पासवर्ड से अलग होगा. अगर सर्टिफ़िकेट पर भरोसा करने के लिए कहा जाए, तो yes डालें.

6. बिना किसी कुंजी के सर्टिफ़िकेट की PEM फ़ाइल जनरेट करने के लिए, OpenSSL का इस्तेमाल करें. ध्यान दें कि cqlsh जनरेट किए गए फ़ॉर्मेट में प्रमाणपत्र के साथ काम नहीं करता है.

   $ keytool -importkeystore -srckeystore keystore.node0 \
   -destkeystore node0.p12 -deststoretype PKCS12 -srcstorepass \
   keypass -deststorepass keypass
   $ openssl pkcs12 -in node0.p12 -nokeys -out node0.cer.pem \
   -passin pass:keypass
   $ openssl pkcs12 -in node0.p12 -nodes -nocerts -out node0.key.pem -passin pass:keypass

7. नोड-टू-नोड एन्क्रिप्शन के लिए, हर नोड में node0.cer फ़ाइल को कॉपी करें और उसे इंपोर्ट करें को भरोसेमंद सोर्स बना सकता है.

   keytool -import -v -trustcacerts -alias node0 \
   -file node0.cer -keystore truststore.node1

8. कीस्टोर और ट्रस्टस्टोर फ़ाइलों में सर्टिफ़िकेट देखने के लिए, keytool -list का इस्तेमाल करें:

   $ keytool -list -keystore keystore.node0
   $ keytool -list -keystore truststore.node0