איך מגדירים TLS ל-Cassandra במישור זמן הריצה
Cassandra מספקת תקשורת מאובטחת בין מכונת לקוח לבין אשכול מסדי נתונים, ובין צמתים באשכול. הפעלת ההצפנה מבטיחה שהנתונים בזמן ההעברה לא ייפגעו ויועברו בצורה מאובטחת. ב-Apigee hybrid, TLS מופעל כברירת מחדל לכל תקשורת בין צמתי Cassandra ובין לקוחות לצמתי Cassandra.
מידע על אימות משתמשים ב-Cassandra
פלטפורמת הכלאיים משתמשת ב-Cassandra כמאגר הנתונים של העורף (backend) לנתוני מישור זמן הריצה. כברירת מחדל, כל התקשורת של הלקוח עם Cassandra דורשת אימות. יש שלושה משתמשים שמשמשים לקוחות שמתקשרים עם Cassandra. למשתמשים האלה מסופקות סיסמאות ברירת מחדל, ולא צריך לשנות אותן.
המשתמשים האלה, כולל משתמש ברירת מחדל, מתוארים בהמשך:
- משתמש DML: משמש את התקשורת של הלקוח לקריאה ולכתיבה של נתונים ב-Cassandra (KMS, KVM, Cache ו-Quota).
- משתמש DDL: משמש את MART לכל משימות הגדרת הנתונים, כמו יצירה, עדכון ומחיקה של מרחב מפתחות.
- משתמש אדמין: משמש לכל פעילות אדמיניסטרטיבית שמבוצעת באשכול cassandra.
- משתמש ברירת מחדל של Cassandra: Cassandra יוצרת משתמש ברירת מחדל כשהאימות מופעל ושם המשתמש הוא
cassandra
שינוי סיסמאות ברירת המחדל
Apigee hybrid מספק סיסמאות ברירת מחדל למשתמשי Cassandra. אם רוצים לשנות את סיסמאות ברירת המחדל של המשתמשים, אפשר לעשות זאת בקובץ overrides.yaml. מוסיפים את ההגדרה הבאה, משנים את סיסמאות ברירת המחדל (iloveapis123) לפי הצורך ומחילים את השינוי על האשכול.
כל שמות המשתמשים צריכים להיות באותיות קטנות.
cassandra:
auth:
default: ## the password for the new default user (static username: cassandra)
password: "iloveapis123"
admin: ## the password for the admin user (static username: admin_user)
password: "iloveapis123"
ddl: ## the password for the DDL User (static username: ddl_user)
password: "iloveapis123"
dml: ## the password for the DML User (static username: dml_user)
password: "iloveapis123"שימו לב לנקודות הבאות:
- אין תמיכה ברוטציה של רשות אישורים (CA).
- אין תמיכה באישור שרת שנוצר באמצעות ביטוי גישה.
בדיקת היומנים של Cassandra
בודקים את היומנים ברגע שמפעילים את Cassandra. בלוג שלמטה אפשר לראות שהחיבורים של לקוח Cassandra מוצפנים.
kubectl logs apigee-cassandra-2 -n apigee -f INFO 00:44:36 Starting listening for CQL clients on /10.0.2.12:9042 (encrypted)... INFO 00:44:36 Binding thrift service to /10.0.2.12:9160 INFO 00:44:36 enabling encrypted thrift connections between client and server INFO 00:44:36 Listening for thrift clients...