Cassanda Internode एन्क्रिप्शन चालू करें

इंटरनोड (या नोड-टू-नोड) एन्क्रिप्शन, टीएलएस का इस्तेमाल करके क्लस्टर में नोड के बीच ट्रांसफ़र होने वाले डेटा को सुरक्षित रखता है. इस पेज पर, Private Cloud के लिए Edge पर टीएलएस का इस्तेमाल करके, Cassandra इंटरनोड एन्क्रिप्शन चालू करने का तरीका बताया गया है. इन चरणों को पूरा करने के लिए, आपको Cassandra रिंग की जानकारी होनी चाहिए.

Cassandra इंटरनोड एन्क्रिप्शन की सुविधा चालू करना

Cassandra इंटरनोड एन्क्रिप्शन चालू करने के लिए, यह तरीका अपनाएं:

1. खुद हस्ताक्षर किया हुआ कुंजी और सर्टिफ़िकेट बनाने के लिए, परिशिष्ट में दिया गया तरीका अपनाकर सर्वर सर्टिफ़िकेट जनरेट करें.

   यहां दिए गए चरणों को पूरा करने के लिए, यह ज़रूरी है कि आपने keystore.node0 और truststore.node0 के साथ-साथ, कीस्टोर और ट्रस्टस्टोर के पासवर्ड बनाए हों. इनके बारे में परिशिष्ट में बताया गया है. अगले चरणों पर जाने से पहले, हर नोड पर कीस्टोर और ट्रस्टस्टोर बनाए जाने चाहिए.

2. /opt/apigee/customer/application/cassandra.properties फ़ाइल में ये प्रॉपर्टी जोड़ें. अगर फ़ाइल मौजूद नहीं है, तो उसे बनाएं.

   conf_cassandra_server_encryption_internode_encryption=all
   conf_cassandra_server_encryption_keystore=/opt/apigee/data/apigee-cassandra/keystore.node0
   conf_cassandra_server_encryption_keystore_password=keypass
   conf_cassandra_server_encryption_truststore=/opt/apigee/data/apigee-cassandra/truststore.node0
   conf_cassandra_server_encryption_truststore_password=trustpass
       
   # Optionally set the following to enable 2-way TLS or mutual TLS
   conf_cassandra_server_encryption_require_client_auth=true
     

3. पक्का करें कि फ़ाइल cassandra.properties का मालिकाना हक apigee उपयोगकर्ता के पास हो:

   chown apigee:apigee \
   /opt/apigee/customer/application/cassandra.properties
   

हर Cassandra नोड पर एक-एक करके यह तरीका अपनाएं, ताकि बदलाव लागू होने के दौरान उपयोगकर्ताओं के लिए कोई डाउनटाइम न हो:

4. Cassandra सेवा बंद करें:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra stop
   

5. Cassandra सेवा को रीस्टार्ट करें:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra start
   

6. यह पता लगाने के लिए कि टीएलएस एन्क्रिप्शन सेवा शुरू हुई है या नहीं, सिस्टम लॉग में यह मैसेज देखें:

   Internode messaging enabled TLS protocols
   Internode messaging enabled cipher suites
   

सर्टिफ़िकेट रोटेशन की प्रोसेस पूरी करें

सर्टिफ़िकेट रोटेट करने के लिए, यह तरीका अपनाएं:

1. जनरेट किए गए हर यूनीक कुंजी के जोड़े (परिशिष्ट देखें) के सर्टिफ़िकेट को Cassandra नोड के मौजूदा ट्रस्टस्टोर में जोड़ें, ताकि पुराने और नए सर्टिफ़िकेट, दोनों एक ही ट्रस्टस्टोर में मौजूद हों:

   keytool -import -v -trustcacerts -alias NEW_ALIAS \
   -file CERT -keystore EXISTING_TRUSTSTORE
   

   जहां NEW_ALIAS एंट्री की पहचान करने वाली यूनीक स्ट्रिंग है, CERT जोड़ी जाने वाली सर्टिफ़िकेट फ़ाइल का नाम है, और EXISTING_TRUSTSTORE Cassandra नोड पर मौजूद ट्रस्टस्टोर का नाम है.

2. क्लस्टर में मौजूद सभी Cassandra नोड में ट्रस्टस्टोर को डिस्ट्रिब्यूट करने के लिए, scp जैसी कॉपी यूटिलिटी का इस्तेमाल करें. इससे हर नोड में इस्तेमाल किए जा रहे मौजूदा ट्रस्टस्टोर को बदला जा सकेगा.
3. नए ट्रस्टस्टोर को लोड करने के लिए, क्लस्टर को रोलिंग रीस्टार्ट करें. साथ ही, नई कुंजियों के लिए भरोसा बनाएं, ताकि वे लागू होने से पहले ही भरोसेमंद बन जाएं:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra restart
   

4. क्लस्टर में मौजूद हर Cassandra नोड पर, cassandra.properties फ़ाइल में नई कीस्टोर वैल्यू के लिए, नीचे दिखाई गई प्रॉपर्टी अपडेट करें:

   conf_cassandra_server_encryption_keystore=NEW_KEYSTORE_PATH
   conf_cassandra_server_encryption_keystore_password=NEW_KEYSTORE_PASSWORD
     

   जहां NEW_KEYSTORE_PATH उस डायरेक्ट्री का पाथ है जहां कीस्टोर फ़ाइल मौजूद है और NEW_KEYSTORE_PASSWORD वह कीस्टोर पासवर्ड है जो सर्टिफ़िकेट बनाते समय सेट किया गया था. इसके बारे में परिशिष्ट में बताया गया है.

5. Cassandra सेवा बंद करें:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra stop
   

6. Cassandra सेवा को रीस्टार्ट करें:

   /opt/apigee/apigee-service/bin/apigee-service \
   apigee-cassandra start
   

7. सभी नोड के बीच कम्यूनिकेशन चालू होने के बाद, अगले Cassandra नोड पर जाएं. ध्यान दें: अगले नोड पर सिर्फ़ तब जाएं, जब सभी नोड के बीच कम्यूनिकेशन सही तरीके से हो गया हो.

अपेंडिक्स

यहां दिए गए उदाहरण में, इंटरनोड एन्क्रिप्शन के चरणों को पूरा करने के लिए ज़रूरी सर्वर सर्टिफ़िकेट तैयार करने का तरीका बताया गया है. उदाहरण में दिखाए गए निर्देशों में, इन पैरामीटर का इस्तेमाल किया जाता है:

पैरामीटर	ब्यौरा
node0	नोड की पहचान करने के लिए कोई भी यूनीक स्ट्रिंग.
keystore.node0	कीस्टोर का नाम. कमांड यह मानकर चलते हैं कि यह फ़ाइल मौजूदा डायरेक्ट्री में है.
keypass	कीस्टोर और कुंजी, दोनों के लिए keypass एक ही होना चाहिए.
dname	यह कुकी, node0 के आईपी पते की पहचान 10.128.0.39 के तौर पर करती है.
-validity	इस फ़्लैग पर सेट की गई वैल्यू, जनरेट किए गए कुंजी के जोड़े को 10 साल के लिए मान्य बनाती है.

1. इस डायरेक्ट्री पर जाएं:

   cd /opt/apigee/data/apigee-cassandra

2. मौजूदा डायरेक्ट्री में keystore.node0 नाम की फ़ाइल जनरेट करने के लिए, यह कमांड चलाएं:

   keytool -genkey -keyalg RSA -alias node0 -validity 3650 \
   -keystore keystore.node0 -storepass keypass \
   -keypass keypass -dname "CN=10.128.0.39, OU=None, \
   O=None, L=None, C=None"

   अहम जानकारी: पक्का करें कि कुंजी का पासवर्ड, कीस्टोर के पासवर्ड के जैसा ही हो.

3. सर्टिफ़िकेट को किसी अलग फ़ाइल में एक्सपोर्ट करें:

   keytool -export -alias node0 -file node0.cer \
   -keystore keystore.node0

4. पक्का करें कि फ़ाइल को सिर्फ़ Apigee उपयोगकर्ता ही पढ़ सके, कोई और नहीं:

   $ chown apigee:apigee \
   /opt/apigee/data/apigee-cassandra/keystore.node0
   $ chmod 400 /opt/apigee/data/apigee-cassandra/keystore.node0

5. जनरेट किए गए सर्टिफ़िकेट node0.cer को नोड के ट्रस्टस्टोर में इंपोर्ट करें:

   keytool -import -v -trustcacerts -alias node0 \
   -file node0.cer -keystore truststore.node0

   ऊपर दी गई कमांड में, आपको पासवर्ड सेट करने के लिए कहा गया है. यह ट्रस्टस्टोर का पासवर्ड है. यह आपके सेट किए गए कीस्टोर पासवर्ड से अलग हो सकता है. अगर आपसे सर्टिफ़िकेट पर भरोसा करने के लिए कहा जाए, तो yes डालें.

6. बिना पासकोड वाले सर्टिफ़िकेट की PEM फ़ाइल जनरेट करने के लिए, openssl का इस्तेमाल करें. ध्यान दें कि cqlsh जनरेट किए गए फ़ॉर्मैट में मौजूद सर्टिफ़िकेट के साथ काम नहीं करता.

   $ keytool -importkeystore -srckeystore keystore.node0 \
   -destkeystore node0.p12 -deststoretype PKCS12 -srcstorepass \
   keypass -deststorepass keypass
   $ openssl pkcs12 -in node0.p12 -nokeys -out node0.cer.pem \
   -passin pass:keypass
   $ openssl pkcs12 -in node0.p12 -nodes -nocerts -out node0.key.pem -passin pass:keypass

7. नोड-टू-नोड एन्क्रिप्शन के लिए, node0.cer फ़ाइल को हर नोड पर कॉपी करें और उसे हर नोड के ट्रस्टस्टोर में इंपोर्ट करें.

   keytool -import -v -trustcacerts -alias node0 \
   -file node0.cer -keystore truststore.node1

8. कीस्टोर और ट्रस्टस्टोर फ़ाइलों में सर्टिफ़िकेट देखने के लिए, keytool -list का इस्तेमाल करें:

   $ keytool -list -keystore keystore.node0
   $ keytool -list -keystore truststore.node0