Định cấu hình mTLS gốc của Cassandra

Giới thiệu

Theo mặc định, các thành phần khác nhau của Edge cho Đám mây riêng tư như bộ xử lý thông báo, máy chủ quản lý và bộ định tuyến kết nối qua một kênh văn bản thuần tuý đến các nút Cassandra. Trên các kênh như vậy, dữ liệu đến và đi từ Cassandra được truyền đạt rõ ràng. Apigee mTLS là một tính năng dựa trên lưới dịch vụ consul giúp tăng cường bảo mật cho hoạt động giao tiếp giữa các thành phần trong cụm Edge cho Đám mây riêng tư. Dịch vụ này của Apigee cũng tăng cường bảo mật TLS cho kênh giao tiếp giữa các thành phần máy khách và Cassandra.

Bài viết này đề cập đến một dịch vụ thay thế mới của Apigee, trong đó hoạt động giao tiếp giữa các thành phần máy khách và Cassandra trong Edge cho Đám mây riêng tư được bảo mật thông qua TLS hai chiều (còn gọi là TLS 2 chiều) bằng các tính năng có sẵn trong Cassandra mà không cần sử dụng lưới dịch vụ bên ngoài.

Tính năng mTLS gốc

Việc bật mTLS giữa Cassandra và các thành phần máy khách được mô tả trong bài viết này dựa vào các tính năng TLS do Apache Cassandra cung cấp. Khi được bật, các kết nối máy khách với Cassandra (trên cổng truyền tải gốc CQL 9042) sẽ thực hiện quá trình bắt tay TLS 2 chiều với máy khách trước khi cho phép thiết lập kết nối. Với mục đích kết nối TLS 2 chiều này, Cassandra đóng vai trò là máy chủ và nhiều máy khách kết nối với Cassandra (như edge-message-processor, công cụ cqlsh, v.v.) đóng vai trò là máy khách.

Đối với TLS 2 chiều (hoặc TLS hai chiều hoặc mTLS), cả Cassandra và máy khách đều cần được thiết lập bằng kho khoá riêng. Kho khoá của mỗi nút Cassandra phải chứa khoá và chứng chỉ riêng. Kho khoá của mỗi ứng dụng máy khách phải chứa khoá và chứng chỉ của máy khách cụ thể đó. Cả Cassandra và máy khách đều phải thêm một kho tin cậy chứa các chứng chỉ và chuỗi liên kết của đối tác. Kho tin cậy của mỗi nút Cassandra phải chứa chứng chỉ của máy khách và kho tin cậy của mỗi máy khách phải chứa chứng chỉ của tất cả các nút Cassandra. Bạn có thể tham khảo bài viết TLS/SSL hai chiều của Apigee để biết thêm thông tin về cách hoạt động chung của quá trình bắt tay TLS hai chiều.

Chuỗi chứng chỉ

Thông thường, trong TLS hai chiều, bạn có thể tạo chứng chỉ máy chủ, chứng chỉ máy khách, chuỗi chứng chỉ, kho khoá và kho tin cậy theo nhiều cách. Điều này cũng đúng với mTLS gốc của Cassandra và máy khách. Có tính đến cách các tổ chức thường vận hành cụm Edge cho Đám mây riêng tư và số lượng cặp kết nối máy khách với Cassandra duy nhất có thể thiết lập, Apigee khuyên bạn nên áp dụng phương pháp chung sau đây để định cấu hình khoá và chứng chỉ cho tính năng này. Có những phương pháp khác khả thi, nhưng phương pháp dưới đây có thể mang lại sự cân bằng tốt giữa bảo mật và chi phí bảo trì.

  1. Mua chứng chỉ gốc và cặp khoá/chứng chỉ trung gian được ký bởi gốc. Bạn có thể đã sở hữu các khoá và chứng chỉ như vậy. Nếu không, bạn có thể tạo khoá và chứng chỉ gốc và trung gian tự ký bằng các bước trong Phụ lục 1.

  2. Sử dụng khoá/chứng chỉ trung gian chung ở trên để ký tất cả các khoá và chứng chỉ dành riêng cho ứng dụng (leaf).

Việc có một khoá/chứng chỉ trung gian chung trên 1 cụm sẽ giúp bạn định cấu hình một kho tin cậy chung (chứa cùng một chuỗi chứng chỉ gốc và trung gian) trên mọi nút Cassandra và máy khách. Mỗi nút Cassandra và ứng dụng máy khách sẽ có khoá và chứng chỉ leaf riêng được ký bởi khoá/chứng chỉ trung gian chung.

  1. Việc xoay vòng chứng chỉ leaf của nút Cassandra hoặc ứng dụng máy khách rất đơn giản.
  2. Việc xoay vòng chứng chỉ trung gian hoặc chứng chỉ gốc vẫn là một thao tác khá phức tạp, nhưng tần suất xoay vòng như vậy sẽ thấp hơn nhiều so với tần suất xoay vòng leaf certificate.

Sử dụng các biện pháp bảo mật của tổ chức để quyết định xem có nên sử dụng chứng chỉ gốc và chứng chỉ trung gian chung trên các cụm đám mây riêng tư khác nhau hay không. Bạn có thể tham khảo Phụ lục 2 để biết các cách thiết lập chứng chỉ thay thế.

Các bước còn lại trong bài viết này cung cấp thông tin chi tiết về phương pháp thiết kế khoá và chứng chỉ ở trên.

Giới hạn và cảnh báo

Tính năng này có các giới hạn sau.

  • Dịch vụ mTLS gốc này giữa các thành phần máy khách và Cassandra KHÔNG tương thích với apigee-mtls. Nếu đang sử dụng tính năng này, bạn không thể sử dụng apigee-mtls và ngược lại.
  • Việc bật mTLS giữa các thành phần máy khách và Cassandra sẽ ảnh hưởng đến hiệu suất của các kết nối được thiết lập giữa máy khách và Cassandra. Các thao tác như khởi động máy khách hoặc mở rộng quy mô kết nối Cassandra có thể chậm hơn vì Cassandra và máy khách phải thương lượng TLS trước khi bắt đầu giao tiếp. Tác động này sẽ nhỏ và thường không đáng chú ý.
  • Trên Cassandra, bạn có thể tuỳ ý thực thi mTLS trên các kết nối máy khách đến. Mặc dù bạn có thể bật tính năng thực thi, nhưng bạn phải tắt tính năng này trong các tác vụ vận hành như nâng cấp phần mềm Apigee, bật/tắt các tính năng TLS và một số loại xoay vòng chứng chỉ. Hãy xem phần Thao tác và cấu hình để biết thêm thông tin chi tiết.
  • Khách hàng chịu trách nhiệm quản lý và duy trì chứng chỉ.
  • Việc xoay vòng chứng chỉ có nhiều sắc thái. Vui lòng tham khảo phần Xoay vòng chứng chỉ để biết thêm thông tin chi tiết

Bật mTLS gốc

Ở cấp độ cao, việc bật mTLS gốc là một quy trình gồm 3 bước như mô tả dưới đây:

  1. Mua chứng chỉ gốc và cặp khoá/chứng chỉ trung gian.
  2. Tạo cặp khoá/chứng chỉ leaf của 1 nút Cassandra, ký cặp khoá/chứng chỉ đó, lưu trữ trong kho khoá và định cấu hình Cassandra cho mTLS không bắt buộc. Lặp lại các bước cho từng nút Cassandra một lần.
  3. Tạo cặp khoá/chứng chỉ leaf của 1 ứng dụng máy khách, ký cặp khoá/chứng chỉ đó, lưu trữ trong kho khoá và định cấu hình ứng dụng máy khách cho mTLS. Lặp lại các bước trên từng ứng dụng máy khách một lần. Ứng dụng máy khách:
    1. edge-management-server
    2. edge-message-processor
    3. edge-router

Các bước này được trình bày chi tiết dưới đây:

Mua chứng chỉ gốc và trung gian

Mua chứng chỉ gốc và cặp khoá/chứng chỉ trung gian được ký bởi gốc. Sử dụng chứng chỉ gốc và chứng chỉ trung gian được ký bởi CA của tổ chức hoặc tạo chứng chỉ tự ký. Lưu trữ chuỗi chứng chỉ gốc và trung gian trong kho tin cậy. Tham khảo Phụ lục 1 để biết các lệnh hữu ích. Các lệnh tiếp theo giả định rằng bạn có quyền truy cập vào các tệp sau:

  • intermediate.key – tệp khoá cho chứng chỉ trung gian để ký chứng chỉ leaf
  • intermediate-cert.pem – chứng chỉ trung gian

Định cấu hình các nút Cassandra

  1. Chọn một nút Cassandra
  2. Tạo cặp khoá và chứng chỉ leaf rồi ký cặp khoá và chứng chỉ đó bằng chứng chỉ trung gian. Lưu trữ khoá và chứng chỉ đã ký vào kho khoá. Ví dụ bên dưới: 
    
# Generate Leaf key and csr
openssl req -newkey rsa:2048 -keyout cass-node1.key -out cass-node1-req.pem -sha256 -days 365 -nodes -subj "/C=yourc/ST=yourst/L=yourl/O=youro/OU=yourou/CN=yourip/emailAddress=cassnode1@yourorg.com"

# leaf cert signed by intermediate
openssl x509 -req -in cass-node1-req.pem -CAkey intermediate.key -CA intermediate-cert.pem -days 365 -CAcreateserial -out cass-node1-cert.pem

# keystore packaging leaf key and cert
openssl pkcs12 -export -clcerts -in cass-node1-cert.pem -inkey cass-node1.key -out cass-node1-keystore.pfx -name nativemtls -password pass:keystorepass

    Đặt tệp kho khoá và kho tin cậy ở một vị trí cụ thể trên nút và đảm bảo người dùng apigee có thể truy cập vào các tệp đó 

    cp cass-node1-keystore.pfx /opt/apigee/customer/application/
cp truststore.pfx /opt/apigee/customer/application/

chown apigee:apigee /opt/apigee/customer/application/cass-node1-keystore.pfx
chown apigee:apigee /opt/apigee/customer/application/truststore.pfx

  3. Tạo hoặc chỉnh sửa tệp /opt/apigee/customer/application/cassandra.properties. Thêm nội dung sau vào tệp này: 
    ### Enable Cassandra TLS on CQL connections
conf_cassandra_client_encryption_enabled=true

### Optional TLS - true or false
conf_cassandra_client_encryption_optional=true

### Keystore details
conf_cassandra_client_encryption_keystore=/opt/apigee/customer/application/cass-node1-keystore.pfx
conf_cassandra_client_encryption_keystore_password=keystorepass
conf_cassandra_server_encryption_store_type=PKCS12

### Whether to enable 2-way TLS (or mTLS) - true or false
conf_cassandra_client_encryption_require_client_auth=true

### When 2-way TLS is enabled, client certificate details need to be provided via a truststore
conf_cassandra_client_encryption_truststore=/opt/apigee/customer/application/truststore.pfx
conf_cassandra_client_encryption_truststore_password=trustpass
conf_cassandra_client_encryption_store_type=PKCS12

    Đảm bảo người dùng apigee sở hữu và có thể đọc tệp này:

    chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
  4. Định cấu hình và khởi động lại nút Cassandra 
    apigee-service apigee-cassandra configure
apigee-service apigee-cassandra restart
  5. Lặp lại các bước ở trên trên từng nút Cassandra một lần

Định cấu hình ứng dụng máy khách

Phần này áp dụng cho các thành phần máy khách sau đây kết nối với Cassandra:

  • edge-management-server
  • edge-message-processor
  • edge-router

  1. Chọn một thành phần máy khách
  2. Tạo cặp khoá và chứng chỉ leaf rồi ký cặp khoá và chứng chỉ đó bằng chứng chỉ trung gian. Lưu trữ khoá và chứng chỉ đã ký vào kho khoá. Ví dụ bên dưới: 
    
# Generate Leaf key and csr
openssl req -newkey rsa:2048 -keyout mgmt-node1.key -out mgmt-node1-req.pem -sha256 -days 365 -nodes -subj "/C=yourc/ST=yourst/L=yourl/O=youro/OU=yourou/CN=yourip/emailAddress=mgmtnode1@yourorg.com"

# leaf cert signed by intermediate
openssl x509 -req -in mgmt-node1-req.pem -CAkey intermediate.key -CA intermediate-cert.pem -days 365 -CAcreateserial -out mgmt-node1-cert.pem

# keystore packaging leaf key and cert
openssl pkcs12 -export -clcerts -in mgmt-node1-cert.pem -inkey mgmt-node1.key -out mgmt-node1-keystore.pfx -name nativemtls -password pass:keystorepass

    Đặt tệp kho khoá và kho tin cậy ở một vị trí cụ thể trên nút và đảm bảo người dùng apigee có thể truy cập vào các tệp đó

    cp mgmt-node1-keystore.pfx /opt/apigee/customer/application/
cp truststore.pfx /opt/apigee/customer/application/

chown apigee:apigee /opt/apigee/customer/application/mgmt-node1-keystore.pfx
chown apigee:apigee /opt/apigee/customer/application/truststore.pfx

  3. Tạo và chỉnh sửa tệp cấu hình dựa trên ứng dụng bạn đang định cấu hình
    Ứng dụng Tệp cấu hình
    Máy chủ quản lý /opt/apigee/customer/application/management-server.properties
    Bộ xử lý quản lý /opt/apigee/customer/application/message-processor.properties
    Bộ định tuyến /opt/apigee/customer/application/router.properties

    Thêm các cấu hình sau vào tệp: 

    ### Enable TLS on CQL connections
conf_cassandra_sslconfig.enable.tls=true
conf_cassandra_sslconfig.enable.mtls=true

### Keystore Details
conf_cassandra_sslconfig.keystore.path=/opt/apigee/customer/application/mgmt-node1-keystore.pfx
conf_cassandra_sslconfig.keystore.password=keystorepass
conf_cassandra_sslconfig.keystore.type=PKCS12

### Truststore Details
conf_cassandra_sslconfig.truststore.path=/opt/apigee/customer/application/truststore.pfx
conf_cassandra_sslconfig.truststore.password=trustpass
conf_cassandra_sslconfig.truststore.type=PKCS12

    Đảm bảo người dùng apigee sở hữu và có thể đọc tệp cấu hình 

    chown apigee:apigee configuration file

### Example:
chown apigee:apigee /opt/apigee/customer/application/management-server.properties

  4. Khởi động lại ứng dụng máy khách 
    # Configure and restart service:
apigee-service component configure
apigee-service component restart
# Example, to configure and restart message processor application
apigee-service edge-message-processor configure
apigee-service edge-message-processor restart
  5. Bạn có thể xác thực rằng SSL đã được định cấu hình chính xác trong ứng dụng máy khách bằng cách tìm nhật ký theo các dòng bên dưới trong nhật ký hệ thống của ứng dụng thích hợp:

    Các chế độ SSL được thêm vào kết nối Cassandra

  6. Lặp lại các bước ở trên trên từng ứng dụng máy khách một lần

Thao tác và cấu hình

Thực thi mTLS

Khi mTLS không được thực thi trong Cassandra, Cassandra sẽ chấp nhận các kết nối văn bản thuần tuý từ máy khách hoặc máy khách mà Cassandra có thể thực hiện thành công quá trình bắt tay TLS 2 chiều. Để tính năng thực thi mTLS hoạt động, trước tiên, bạn phải định cấu hình mTLS trong Cassandra. Bạn có thể thiết lập tính năng thực thi mTLS trong Cassandra bằng cách làm theo các bước dưới đây:

  1. Chọn một nút Cassandra
  2. Tạo hoặc chỉnh sửa tệp /opt/apigee/customer/application/cassandra.properties. Thêm hoặc chỉnh sửa thuộc tính sau trong tệp này: 
    ### Optional TLS - true or false
conf_cassandra_client_encryption_optional=false

    Đảm bảo người dùng apigee sở hữu và có thể đọc tệp này

    chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
  3. Định cấu hình và khởi động lại nút Cassandra 
    apigee-service apigee-cassandra configure
apigee-service apigee-cassandra restart
  4. Lặp lại các bước ở trên trên từng nút Cassandra một lần

Sau khi thực thi mTLS trong Cassandra, công cụ truy vấn Cassandra tiêu chuẩn cqlsh không thể kết nối trực tiếp với Cassandra. Để định cấu hình cqlsh cho SSL, hãy tạo khoá và chứng chỉ leaf mới (tương tự như khoá và chứng chỉ leaf cho ứng dụng máy khách) rồi làm như sau:

  1. Tạo hoặc chỉnh sửa tệp $HOME/.cassandra/cqlshrc
  2. Thêm nội dung sau vào tệp: 
    [ssl]
certfile = /home/admin-user/certs/inter-root.pem
validate = false
userkey = /home/admin-user/certs/cqlsh1.key
usercert = /home/admin-user/certs/cqlsh1-cert.pem
    • certfile – Tệp chứng chỉ chứa chuỗi chứng chỉ gốc và chứng chỉ trung gian
    • userkey – khoá máy khách mà cqlsh sẽ sử dụng. Đây phải là cặp khoá/chứng chỉ leaf mà bạn có thể tạo và ký bằng chứng chỉ trung gian.
    • usercert – chứng chỉ máy khách mà cqlsh sẽ sử dụng. Đây phải là khoá/chứng chỉ leaf mà bạn có thể tạo và ký bằng chứng chỉ trung gian.
  3. Chạy lệnh cqlsh như bình thường trong khi cung cấp đối số --ssl. Ví dụ: 
    $  /opt/apigee/apigee-cassandra/bin/cqlsh --ssl X.X.X.X
Connected to Apigee at X.X.X.X:9042
[cqlsh 6.0.0 | Cassandra 4.0.13 | CQL spec 3.4.5 | Native protocol v5]
Use HELP for help.
cqlsh>

Tắt tính năng thực thi mTLS trên Cassandra

Để tắt tính năng thực thi mTLS trong Cassandra, hãy làm theo các bước dưới đây:

  1. Chọn một nút Cassandra
  2. Tạo hoặc chỉnh sửa tệp /opt/apigee/customer/application/cassandra.properties. Thêm hoặc chỉnh sửa thuộc tính sau trong tệp này: 
    ### Optional TLS - true or false
conf_cassandra_client_encryption_optional=true

    Đảm bảo người dùng apigee sở hữu và có thể đọc tệp này

    chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
  3. Định cấu hình và khởi động lại nút Cassandra 
    apigee-service apigee-cassandra configure
apigee-service apigee-cassandra restart
  4. Lặp lại các bước ở trên trên từng nút Cassandra một lần

Tắt mTLS gốc

Việc tắt mTLS gốc là một quy trình nhiều bước, tương tự như việc bật mTLS gốc. Các bước tổng quát là:

  1. Tắt tính năng thực thi mTLS trong Cassandra (nếu được thực thi)
  2. Tắt mTLS trong tất cả các nút của các ứng dụng máy khách sau đây từng nút một:
    • edge-management-server
    • edge-message-processor
    • edge-router
    1. Tạo và chỉnh sửa tệp cấu hình dựa trên ứng dụng bạn đang định cấu hình:
      Ứng dụng Tệp cấu hình
      Máy chủ quản lý /opt/apigee/customer/application/management-server.properties
      Bộ xử lý quản lý /opt/apigee/customer/application/message-processor.properties
      Bộ định tuyến /opt/apigee/customer/application/router.properties
    2. Thêm hoặc chỉnh sửa các thuộc tính sau trong tệp cấu hình: 
      ### TLS on CQL connections
conf_cassandra_sslconfig.enable.tls=false
conf_cassandra_sslconfig.enable.mtls=false
    3. Đảm bảo người dùng apigee sở hữu và có thể đọc tệp cấu hình: 
      chown apigee:apigee configuration file

### Example:
chown apigee:apigee /opt/apigee/customer/application/management-server.properties
    4. Khởi động lại ứng dụng máy khách: 
      
# Configure and restart service:
apigee-service component configure
apigee-service component restart

# Example, to configure and restart message processor application
apigee-service edge-message-processor configure
apigee-service edge-message-processor restart
    5. Lặp lại các bước từ #a đến #d trên từng ứng dụng máy khách một lần.
  3. Tắt mTLS trên tất cả các nút Cassandra từng nút một:
    1. Chọn một nút Cassandra.
    2. Tạo hoặc chỉnh sửa tệp /opt/apigee/customer/application/cassandra.properties. Thêm hoặc chỉnh sửa thuộc tính sau trong tệp này: 
      ### Cassandra TLS on CQL connections
conf_cassandra_client_encryption_enabled=false

      Đảm bảo người dùng apigee sở hữu và có thể đọc tệp này

      chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
    3. Định cấu hình và khởi động lại nút Cassandra
      4. apigee-service apigee-cassandra configure
apigee-service apigee-cassandra restart
    4. Lặp lại các bước từ #a đến #c trên từng nút Cassandra một lần.

Xoay vòng chứng chỉ

Chỉ xoay vòng chứng chỉ Leaf (giữ nguyên chứng chỉ Trung gian và Gốc)

Bạn có thể làm theo các bước tương tự như Định cấu hình ứng dụng máy khách:

  1. Tạo khoá/chứng chỉ leaf mới cho một ứng dụng bằng cùng một khoá/chứng chỉ trung gian
  2. Định cấu hình đường dẫn đến khoá/chứng chỉ leaf mới trong ứng dụng cùng với mật khẩu và loại kho khoá
  3. Khởi động lại ứng dụng
Xoay vòng chứng chỉ Gốc hoặc Trung gian

Nếu bạn dự định xoay vòng chứng chỉ trung gian hoặc chứng chỉ gốc, bạn nên thực hiện việc này theo quy trình nhiều bước:

  1. Tắt mTLS gốc của Cassandra trên cụm.
  2. Sử dụng chứng chỉ gốc và trung gian mới để tạo chứng chỉ leaf hoặc chứng chỉ ứng dụng mới.
  3. Làm theo các bước để bật mTLS gốc của Cassandra bằng bộ khoá và chứng chỉ mới.

Các thao tác chung của Apigee

Để thực hiện các thao tác chung của Apigee như nâng cấp phần mềm Apigee, thêm hoặc xoá các nút Cassandra, thêm hoặc xoá trung tâm dữ liệu, bật hoặc tắt tính năng xác thực Cassandra, v.v., hãy đảm bảo rằng mTLS không được thực thi trong Cassandra. Nếu bạn đã thực thi mTLS, hãy tắt tính năng thực thi trước khi tiếp tục các thao tác này.

Phụ lục 1

Bạn có thể làm theo các bước trong phụ lục này để tạo cặp khoá/chứng chỉ gốc và trung gian tự ký, đồng thời thêm chuỗi chứng chỉ này vào kho tin cậy.

Tạo chứng chỉ gốc và chứng chỉ trung gian tự ký

# Create self-signed root key and cert
openssl req -x509 -newkey rsa:2048 -keyout root.key -out root-cert.pem -sha256 -days 3650 -nodes -subj "/C=yourc/ST=yourst/L=yourl/O=youro/OU=yourou/CN=root.yourorg.com/emailAddress=apigeeroot@yourorg.com"

# Create intermediate key and cert (signed by root)
openssl req -newkey rsa:2048 -keyout intermediate.key -out intermediate-req.pem -sha256 -days 3650 -nodes -subj "/C=yourc/ST=yourst/L=yourl/O=youro/OU=yourou/CN=inter.yourorg.com/emailAddress=apigeeinter@yourorg.com"

openssl x509 -req -in intermediate-req.pem -CAkey root.key -CA root-cert.pem -days 3650 -CAcreateserial -out intermediate-cert.pem

Tạo kho tin cậy

# Merge root and intermediate cert into 1 file
cat intermediate-cert.pem > inter-root.pem
cat root-cert.pem >> inter-root.pem

# Create truststore to be used everywhere
keytool -keystore truststore.pfx -storetype PKCS12 -importcert -file inter-root.pem -keypass trustpass -storepass trustpass -alias nativemtls -noprompt

Phụ lục 2: Các cách thiết lập chuỗi chứng chỉ thay thế

Mặc dù bài viết này đề xuất một cách thiết lập chuỗi chứng chỉ cụ thể giúp cân bằng giữa bảo mật và tính dễ dàng của các thao tác, nhưng vẫn có các cách thay thế và được mô tả dưới đây. Hầu hết các nguyên tắc chung cũng áp dụng cho các phương pháp khác như:

  1. Có các khoá và chứng chỉ leaf trực tiếp cho mọi nút Cassandra hoặc ứng dụng máy khách (không có chứng chỉ gốc hoặc trung gian nào). Điều này có thể khiến việc xoay vòng chứng chỉ trở nên phức tạp.
  2. Có nhiều bộ gốc và trung gian cho các trường hợp sử dụng khác nhau. Ví dụ: các nút Cassandra có 1 bộ chứng chỉ gốc/chứng chỉ trung gian dùng để ký tất cả các leaf certificate của Cassandra. Tương tự, tất cả các ứng dụng máy khách có thể có một bộ gốc/trung gian riêng để ký chứng chỉ leaf của ứng dụng. Các cách thiết lập như vậy là khả thi nhưng cần thêm chuỗi chứng chỉ gốc/chứng chỉ trung gian vào kho tin cậy thích hợp. Trong ví dụ này, kho tin cậy của Cassandra phải chứa chứng chỉ gốc/chứng chỉ trung gian của ứng dụng và các ứng dụng phải có chuỗi gốc/chứng chỉ trung gian của các nút Cassandra trong kho tin cậy.
  3. Tương tự như trên, bạn có thể có nhiều bộ chứng chỉ gốc và chứng chỉ trung gian cho các vùng khác nhau, nhưng tất cả ứng dụng ở tất cả vùng và tất cả máy chủ ở tất cả vùng cần được thông báo về tất cả các chuỗi gốc và trung gian bằng cách thêm tất cả các chuỗi đó vào kho tin cậy đã định cấu hình.