Cassandra-Authentifizierung aktivieren

Standardmäßig wird Cassandra ohne aktivierte Authentifizierung installiert. Das bedeutet, dass jeder auf Cassandra zugreifen kann. Sie können die Authentifizierung nach der Installation von Edge oder im Rahmen des Installations prozesses aktivieren.

Sie können Rollen mit den Cassandra-Anweisungen CREATE/ALTER/DROP ROLES hinzufügen, entfernen und ändern. Weitere Informationen finden Sie unter:

Einige allgemeine Überlegungen

  • Sobald Sie die Cassandra-Authentifizierung aktivieren, wird von Cassandra automatisch ein Standard-Superuser cassandra (mit dem Passwort cassandra) erstellt. Dieser Superuser ist allgemein bekannt und sollte nicht für Ihre Produktionsanforderungen verwendet werden. Außerdem erfordert die Authentifizierung über diesen Superuser die Quorumkonsistenz. Daher erfordern alle Verbindungen zu Cassandra, die über diesen Nutzer authentifiziert werden, eine strengere Konsistenz, was zu einer langsameren und weniger fehlertoleranten Leistung führt.
  • Ein typischer Workflow umfasst das Aktivieren der Authentifizierung in Cassandra, während ein benutzerdefinierter Nutzername und ein benutzerdefiniertes Passwort über die Konfigurationsdatei übergeben werden. Dadurch werden der benutzerdefinierte Nutzer und das benutzerdefinierte Passwort erstellt, die Sie sicher verwenden können. Bei der Authentifizierung über solche Nutzer gibt es keine Einschränkungen hinsichtlich der Quorumkonsistenz.
  • Auch wenn ein benutzerdefinierter Nutzer erstellt wurde, erstellt Cassandra weiterhin den Standard-Superuser cassandra und Ihr Cassandra-Cluster ist über den Superuser zugänglich. Normalerweise sollten Sie den Befehl ALTER ROLE verwenden, um das Passwort dieses cassandra-Nutzers in etwas anderes als das Standardpasswort cassandra zu ändern, nachdem die Cassandra-Authentifizierung in Apigee allgemein erfolgreich aktiviert wurde. Notieren Sie sich dieses Passwort für die spätere Verwendung.
  • Sie sollten das Passwort der Rolle, die von edge-*-Komponenten für die Authentifizierung verwendet wird, NICHT ändern, da dies sofort zu einer Dienstunterbrechung führt. Stattdessen sollten Sie einen neuen Nutzer erstellen, die edge-*-Komponenten so ändern, dass sie den neuen Nutzer verwenden, und nach Abschluss den alten Nutzer mit dem Befehl DROP ROLE löschen.
  • So ändern Sie die Rolle, die von edge-*-Komponenten für die Cassandra-Authentifizierung verwendet wird:
    1. Folgen Sie der Anleitung im Abschnitt Authentifizierung aktivieren, um einen neuen Nutzer zu erstellen. Wenn die Authentifizierung in Ihrem Cluster bereits aktiviert ist und Sie das Passwort des cassandra-Nutzers geändert haben, müssen Sie eine Kombination aus Nutzername und Passwort eines vorhandenen Nutzers über CASS_EXISTING_USERNAME und CASS_EXISTING_PASSWORD übergeben.
    2. Prüfen Sie nach Abschluss mit cqlsh, ob Sie sowohl mit dem alten als auch mit dem neuen Nutzer eine Verbindung zu Cassandra herstellen können.
    3. Weisen Sie alle edge-*-Komponenten an, den neu erstellten Nutzer für die Verbindung zu Cassandra zu verwenden. Folgen Sie dazu der Anleitung unter Edge-Komponenten aktualisieren, die eine Verbindung zu Cassandra herstellen.
    4. Wenn alle Komponenten den neuen Nutzer für die Kommunikation mit Cassandra verwenden, können Sie den alten Nutzer mit dem Befehl DROP ROLE löschen. Die Standardrolle cassandra sollte nicht gelöscht werden. Sie können alle benutzerdefinierten Rollen löschen, die nicht von edge-*-Komponenten für die Kommunikation mit Cassandra verwendet werden.
  • Aktualisieren Sie den funktionalen Cassandra-Nutzernamen und das Passwort in der Konfigurationsdatei, die Sie für die Installation oder Aktualisierung von Edge-Komponenten verwenden. Dadurch werden Unterbrechungen während Edge-Vorgängen vermieden oder minimiert.

Cassandra-Authentifizierung während der Installation aktivieren

Sie können die Cassandra-Authentifizierung während der Installation aktivieren.

Wenn Sie die Cassandra-Authentifizierung während der Installation aktivieren möchten, fügen Sie die CASS_AUTH Eigenschaft in die Konfigurationsdatei für alle Cassandra-Knoten ein:

CASS_AUTH=y # The default value is n.

Die folgenden Edge-Komponenten greifen auf Cassandra zu:

  • Verwaltungsserver
  • Message Processors
  • Router
  • Qpid-Server
  • Postgres-Server

Wenn Sie diese Komponenten installieren, müssen Sie in der Konfigurationsdatei einen Nutzernamen und ein Passwort festlegen:

CASS_USERNAME=cassandra_username
CASS_PASSWORD=cassandra_password

Sie können die Cassandra-Anmeldedaten nach der Installation von Cassandra ändern. Wenn Sie jedoch bereits den Verwaltungsserver, Message Processors, Router, Qpid-Server oder Postgres -Server installiert haben, müssen Sie diese Komponenten auch so aktualisieren, dass sie die neuen Anmeldedaten verwenden.

So ändern Sie die Cassandra-Anmeldedaten nach der Installation von Cassandra:

  1. Melden Sie sich mit dem cqlsh Tool und den Standard Anmeldedaten bei einem beliebigen Cassandra-Knoten an. Sie müssen das Passwort nur auf einem Knoten ändern. Es wird an alle Cassandra-Knoten im Ring übertragen: 
    /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra_username -p cassandra_password

    Wobei:

    1. cassIP ist die IP-Adresse des Cassandra-Knotens.
    2. 9042 ist der Standardport von Cassandra.
  2. Führen Sie an der Eingabeaufforderung „cqlsh>“ den folgenden Befehl aus, um das Passwort zu aktualisieren: 
    ALTER ROLE <username> WITH PASSWORD='';
  3. Beenden Sie das Tool cqlsh, wie im folgenden Beispiel gezeigt: 
    exit
  4. Wenn Sie den Verwaltungsserver, Message Processors, Router, Qpid-Server oder Postgres-Server noch nicht installiert haben, legen Sie die folgenden Eigenschaften in der Konfigurationsdatei fest und installieren Sie dann diese Komponenten: 
    CASS_USERNAME=cassandra_username
CASS_PASSWORD=new_cassandra_password
  5. Wenn Sie den Verwaltungsserver, Message Processors, Router, Qpid-Server oder Postgres-Server bereits installiert haben, finden Sie unter Edge-Passwörter zurücksetzen die Anleitung zum Aktualisieren dieser Komponenten, damit sie das neue Passwort verwenden.

Cassandra-Authentifizierung nach der Installation aktivieren

So aktivieren Sie die Authentifizierung nach der Installation:

Edge-Komponenten aktualisieren, die eine Verbindung zu Cassandra herstellen

Führen Sie die folgende Vorgehensweise aus, um alle Edge-Komponenten, die mit Cassandra kommunizieren, mit den neuen Anmeldedaten zu aktualisieren. Dieser Schritt muss ausgeführt werden, bevor Sie die Cassandra Anmeldedaten aktualisieren:

  1. Führen Sie auf dem Verwaltungsserverknoten den folgenden Befehl aus: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server
  store_cassandra_credentials -u cassandra_username -p cassandra_password

    Optional können Sie eine Datei mit dem neuen Nutzernamen und Passwort an den Befehl übergeben:

    apigee-service edge-management-server store_cassandra_credentials  -f configFile

    Dabei enthält die configFile Folgendes:

    CASS_USERNAME=cassandra_username # Default is cassandra
CASS_PASSWORD='cassandra_password' # Default is cassandra; wrap in single quotes if it includes special chars

    Mit diesem Befehl wird der Verwaltungsserver automatisch neu gestartet.

  2. Wiederholen Sie Schritt 1 für jeden der folgenden Dienste:
    • Alle Message Processors
    • Alle Router
    • Alle Qpid-Server (edge-qpid-server)
    • Postgres-Server (edge-postgres-server)

    Wenn Sie Schritt 1 für jeden Dienst wiederholen, ersetzen Sie edge-management-server in dem Befehl oben durch den entsprechenden Dienstnamen. Wenn Sie den Schritt beispielsweise für einen Routerdienst ausführen, verwenden Sie den folgenden Befehl:

    /opt/apigee/apigee-service/bin/apigee-service edge-router
  store_cassandra_credentials -u cassandra -p cassandra

Authentifizierung aktivieren

Führen Sie die folgende Vorgehensweise aus, um die Cassandra-Authentifizierung zu aktivieren und den Nutzernamen und das Passwort festzulegen:

  1. Erstellen Sie eine Konfigurationsdatei für die unbeaufsichtigte Installation mit dem unten gezeigten Inhalt: 
    # Specify IP address or DNS name of cassandra node
IP1=192.168.1.1
IP2=192.168.1.2
IP3=192.168.1.3
# Must resolve to IP address or DNS name of host
HOSTIP=$(hostname -i)
# Set to ‘y’ to enable Cassandra authentication.
CASS_AUTH=y # Possible values are ‘y/n’
# Cassandra username. If it does not exist, this user would be created as a SUPERUSER
CASS_USERNAME=cassandra_username # Default value is cassandra - don't use for production
# Cassandra Password. If CASS_USERNAME does not exist, create SUPERUSER with this as password
CASS_PASSWORD=cassandra_password # Default value is cassandra - don't use for production
# Space-separated IP/DNS names of the Cassandra hosts
CASS_HOSTS="$IP1:1,1 $IP2:1,1 $IP3:1,1"

# Username of an existing C* user. Only needed if you have disabled or changed details of the default cassandra user(‘cassandra’)
CASS_EXISTING_USERNAME=existing_cassandra_username
# Password of an existing C* user. Only needed if you have disabled or change password of the default cassandra user(‘cassandra’)
CASS_EXISTING_PASSWORD=existing_cassandra_password
# Cassandra port
CASS_PORT=9042 # The default port is 9042.

  2. Melden Sie sich beim ersten Cassandra-Knoten an und führen Sie den folgenden Befehl aus:

    apigee-service apigee-cassandra enable_cassandra_authentication -f CONFIG

    Optional können Sie die Eigenschaften wie im folgenden Beispiel gezeigt als Befehlsargumente an das Skript übergeben: 

    CASS_AUTH=y HOSTIP=$(hostname -i) CASS_PORT=9042 CASS_EXISTING_USERNAME=existing_cassandra_username CASS_EXISTING_PASSWORD=existing_cassandra_password CASS_USERNAME=cassandra_username CASS_PASSWORD=cassandra_password  CASS_HOSTS="192.168.1.1:1,1 192.168.1.2:1,1 192.168.1.3:1,1" apigee-service apigee-cassandra enable_cassandra_authentication

    Hinweise :

    • Bei Standard- Cassandra-Anmeldedaten aktiviert der obige Befehl die Cassandra-Authentifizierung und startet Cassandra neu.
    • Bei nicht standardmäßigen Anmeldedaten ändert der Befehl auch den Replikationsfaktor, erstellt einen Superuser und führt eine Reparatur für system_auth keyspace aus.
  3. Wiederholen Sie die Schritte 1 und 2 auf allen Cassandra-Knoten.