Habilitar la autenticación de Cassandra

De forma predeterminada, Cassandra se instala sin la autenticación habilitada. Esto significa que cualquiera puede acceder a Cassandra. Puedes habilitar la autenticación después de instalar Edge o como parte del proceso de instalación process.

Puedes agregar, quitar y modificar roles con las instrucciones CREATE/ALTER/DROP ROLES de Cassandra. Para obtener más información, consulta lo siguiente:

Algunas consideraciones generales

  • En el momento en que habilitas la autenticación de Cassandra, Cassandra crea automáticamente un superusuario predeterminado cassandra (con la contraseña cassandra). Este es un superusuario muy conocido, y no debes usarlo para tus necesidades de producción. Además, la autenticación a través de este superusuario requiere coherencia del quórum. Por lo tanto, todas las conexiones a Cassandra que se autentiquen a través de este usuario requieren una coherencia más estricta, lo que genera un rendimiento más lento y menos tolerante a errores.
  • Un flujo de trabajo típico implicará habilitar la autenticación en Cassandra mientras se pasa un nombre de usuario y una contraseña personalizados a través del archivo de configuración. Esto creará el usuario y la contraseña personalizados que puedes usar de forma segura para tus necesidades, y la autenticación a través de esos usuarios no tiene restricciones de coherencia del quórum.
  • Recuerda que, aunque se haya creado un usuario personalizado, Cassandra aún crea el superusuario cassandra predeterminado, y se puede acceder a tu clúster de Cassandra a través del superusuario. Por lo general, debes usar el comando ALTER ROLE para cambiar la contraseña de este usuario cassandra a algo que no sea el cassandra predeterminado después de que la autenticación de Cassandra se haya habilitado correctamente en Apigee. Guarda un registro de esta contraseña para consultarla en el futuro.
  • NO debes cambiar la contraseña del rol que usan los componentes edge-* para la autenticación, ya que eso causará una interrupción inmediata del servicio. En su lugar, debes crear un usuario nuevo, modificar los componentes edge-* para que usen el usuario nuevo y, una vez que se complete, quitar el usuario anterior con el comando DROP ROLE.
  • Para cambiar el rol que usan los componentes edge-* para la autenticación de Cassandra, sigue estos pasos:
    1. Sigue los pasos de la sección titulada Habilita la autenticación para crear un usuario nuevo. Ten en cuenta que, si la autenticación ya está habilitada en tu clúster y cambiaste la contraseña del usuario cassandra, deberás pasar una combinación de nombre de usuario y contraseña de un usuario existente a través de CASS_EXISTING_USERNAME y CASS_EXISTING_PASSWORD.
    2. Una vez que se complete, valida a través de cqlsh que puedas conectarte a Cassandra a través del usuario anterior y el nuevo.
    3. Dirige todos los componentes edge-* para que usen el usuario recién creado para conectarse a Cassandra siguiendo las instrucciones que se indican en Actualiza los componentes de Edge que se conectan a Cassandra.
    4. Por último, cuando todos los componentes usen el usuario nuevo para comunicarse con Cassandra, puedes quitar el usuario anterior con el comando DROP ROLE. Ten en cuenta que no se debe quitar el rol cassandra predeterminado. Puedes quitar cualquier rol creado de forma personalizada que no usen los componentes edge-* para comunicarse con Cassandra.
  • Recuerda actualizar el nombre de usuario y la contraseña funcionales de Cassandra en el archivo de configuración que usas para instalar o actualizar los componentes de Edge. Esto eliminará o minimizará cualquier interrupción durante las operaciones de Edge.

Habilita la autenticación de Cassandra durante la instalación

Puedes habilitar la autenticación de Cassandra durante la instalación.

Para habilitar la autenticación de Cassandra durante la instalación, incluye la propiedad CASS_AUTH en el archivo de configuración para todos los nodos de Cassandra:

CASS_AUTH=y # The default value is n.

Los siguientes componentes de Edge acceden a Cassandra:

  • Servidor de administración
  • Message Processors
  • Routers
  • Servidores de Qpid
  • Servidores de Postgres

Cuando instales estos componentes, debes establecer un nombre de usuario y una contraseña en el archivo de configuración:

CASS_USERNAME=cassandra_username
CASS_PASSWORD=cassandra_password

Puedes cambiar las credenciales de Cassandra después de instalar Cassandra. Sin embargo, si ya instalaste el servidor de administración, los Message Processors, los Routers, los servidores de Qpid o los servidores de Postgres , también debes actualizar esos componentes para que usen las credenciales nuevas.

Para cambiar las credenciales de Cassandra después de instalar Cassandra, haz lo siguiente:

  1. Accede a cualquier nodo de Cassandra con la cqlsh herramienta y las credenciales predeterminadas. Solo debes cambiar la contraseña en un nodo, y se transmitirá a todos los nodos de Cassandra en el anillo: 
    /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra_username -p cassandra_password

    Donde:

    1. cassIP es la dirección IP del nodo de Cassandra.
    2. 9042 es el puerto predeterminado de Cassandra.
  2. Ejecuta el siguiente comando en el símbolo del sistema cqlsh> para actualizar la contraseña: 
    ALTER ROLE <username> WITH PASSWORD='';
  3. Sal de la herramienta cqlsh, como se muestra en el siguiente ejemplo: 
    exit
  4. Si aún no instalaste el servidor de administración, los Message Processors, los Routers, los servidores de Qpid o los servidores de Postgres, establece las siguientes propiedades en el archivo de configuración y, luego, instala esos componentes: 
    CASS_USERNAME=cassandra_username
CASS_PASSWORD=new_cassandra_password
  5. Si ya instalaste el servidor de administración, los Message Processors, los Routers, los servidores de Qpid o los servidores de Postgres, consulta Restablece las contraseñas de Edge para ver el procedimiento para actualizar esos componentes para que usen la contraseña nueva.

Habilita la autenticación de Cassandra después de la instalación

Para habilitar la autenticación después de una instalación, haz lo siguiente:

Actualiza los componentes de Edge que se conectan a Cassandra

Usa el siguiente procedimiento para actualizar todos los componentes de Edge que se comunican con Cassandra con las credenciales nuevas. Ten en cuenta que debes realizar este paso antes de actualizar las credenciales de Cassandra:

  1. En el nodo del servidor de administración, ejecuta el siguiente comando: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server
  store_cassandra_credentials -u cassandra_username -p cassandra_password

    De manera opcional, puedes pasar un archivo al comando que contenga el nombre de usuario y la contraseña nuevos:

    apigee-service edge-management-server store_cassandra_credentials  -f configFile

    En el ejemplo anterior, configFile contiene lo siguiente:

    CASS_USERNAME=cassandra_username # Default is cassandra
CASS_PASSWORD='cassandra_password' # Default is cassandra; wrap in single quotes if it includes special chars

    Este comando reinicia automáticamente el servidor de administración.

  2. Para cada uno de los siguientes servicios, repite el paso 1:
    • Todos los Message Processors
    • Todos los Routers
    • Todos los servidores de Qpid (edge-qpid-server)
    • Servidores de Postgres (edge-postgres-server)

    Cuando repitas el paso 1 para cada servicio, reemplaza edge-management-server en el comando anterior por el nombre de servicio adecuado. Por ejemplo, cuando ejecutes el paso para un servicio de Router, usa el siguiente comando:

    /opt/apigee/apigee-service/bin/apigee-service edge-router
  store_cassandra_credentials -u cassandra -p cassandra

Habilitar autenticación

Usa el siguiente procedimiento para habilitar la autenticación de Cassandra y establecer el nombre de usuario y la contraseña:

  1. Crea un archivo de configuración silenciosa con el contenido que se muestra a continuación: 
    # Specify IP address or DNS name of cassandra node
IP1=192.168.1.1
IP2=192.168.1.2
IP3=192.168.1.3
# Must resolve to IP address or DNS name of host
HOSTIP=$(hostname -i)
# Set to ‘y’ to enable Cassandra authentication.
CASS_AUTH=y # Possible values are ‘y/n’
# Cassandra username. If it does not exist, this user would be created as a SUPERUSER
CASS_USERNAME=cassandra_username # Default value is cassandra - don't use for production
# Cassandra Password. If CASS_USERNAME does not exist, create SUPERUSER with this as password
CASS_PASSWORD=cassandra_password # Default value is cassandra - don't use for production
# Space-separated IP/DNS names of the Cassandra hosts
CASS_HOSTS="$IP1:1,1 $IP2:1,1 $IP3:1,1"

# Username of an existing C* user. Only needed if you have disabled or changed details of the default cassandra user(‘cassandra’)
CASS_EXISTING_USERNAME=existing_cassandra_username
# Password of an existing C* user. Only needed if you have disabled or change password of the default cassandra user(‘cassandra’)
CASS_EXISTING_PASSWORD=existing_cassandra_password
# Cassandra port
CASS_PORT=9042 # The default port is 9042.

  2. Accede al primer nodo de Cassandra y ejecuta el siguiente comando:

    apigee-service apigee-cassandra enable_cassandra_authentication -f CONFIG

    De manera opcional, puedes pasar las propiedades como argumentos de comando a la secuencia de comandos, como se muestra en el siguiente ejemplo: 

    CASS_AUTH=y HOSTIP=$(hostname -i) CASS_PORT=9042 CASS_EXISTING_USERNAME=existing_cassandra_username CASS_EXISTING_PASSWORD=existing_cassandra_password CASS_USERNAME=cassandra_username CASS_PASSWORD=cassandra_password  CASS_HOSTS="192.168.1.1:1,1 192.168.1.2:1,1 192.168.1.3:1,1" apigee-service apigee-cassandra enable_cassandra_authentication

    Notas:

    • Para las credenciales predeterminadas de Cassandra, el comando anterior habilita la autenticación de Cassandra y reinicia Cassandra.
    • Para las credenciales no predeterminadas, el comando también modifica el factor de replicación, crea un superusuario y ejecuta una reparación en system_auth keyspace.
  3. Repite los pasos 1 y 2 en todos los nodos de Cassandra.