Защищённая передача данных по HTTP
В этой статье описано, как включить защищённую передачу данных по HTTPS (SSL) для интерфейса FE Doris. Настроив ключ и сертификат SSL, вы обеспечите конфиденциальность и целостность обмена данными между клиентами и FE.
Начиная с версии 2.0, Doris поддерживает настройку ключа и сертификата SSL.
Сценарии применения
| Сценарий | Применимость |
|---|---|
| Рабочая среда, в которой требуется шифрование HTTP-интерфейса FE | Применимо. Рекомендуется сертификат, выданный CA. |
| Внутренняя среда тестирования или разработки для проверки работы HTTPS | Применимо. Можно использовать самоподписанный сертификат. |
| Только обмен данными внутри кластера, внешний доступ не требуется | Необязательно |
Предварительные требования
- Версия Doris >= 2.0
- Наличие сертификата SSL (в формате хранилища ключей, например JKS) или среды, в которой можно создать самоподписанный сертификат
- Доступ к файловой системе узла FE для размещения сертификата и изменения
conf/fe.conf
Обзор процесса настройки
- Подготовьте сертификат SSL: приобретите его или создайте самоподписанный сертификат.
- Скопируйте сертификат по указанному пути на FE.
- Измените файл конфигурации FE
conf/fe.confи включите HTTPS. - Перезапустите FE, чтобы применить настройки.
Порядок действий
Шаг 1: подготовьте сертификат SSL
Приобретите сертификат SSL или создайте самоподписанный сертификат. Для рабочих сред рекомендуется использовать сертификат, выданный CA, чтобы избежать предупреждений о недоверенном сертификате на стороне клиента.
Шаг 2: разместите файл сертификата
Скопируйте сертификат SSL по указанному пути. Путь по умолчанию — ${DORIS_HOME}/conf/ssl/. Также можно указать собственный путь.
Шаг 3: измените конфигурацию FE
Измените файл конфигурации FE conf/fe.conf. Следующие параметры должны соответствовать приобретённому или созданному сертификату SSL:
- Установите
enable_https = true, чтобы включить HTTPS. Значение по умолчанию —false. - Укажите путь к сертификату в
key_store_path. Значение по умолчанию —${DORIS_HOME}/conf/ssl/doris_ssl_certificate.keystore. - Укажите пароль сертификата в
key_store_password. По умолчанию значение пустое. - Укажите тип сертификата в
key_store_type. Значение по умолчанию —JKS. - Укажите псевдоним сертификата в
key_store_alias. Значение по умолчанию —doris_ssl_certificate.
Шаг 4: перезапустите FE
После изменения конфигурации перезапустите узел FE, чтобы настройки вступили в силу.
Справочник параметров конфигурации
| Параметр | Значение по умолчанию | Описание |
|---|---|---|
enable_https | false | Включает HTTPS для FE. Для включения установите значение true. |
key_store_path | ${DORIS_HOME}/conf/ssl/doris_ssl_certificate.keystore | Путь к файлу сертификата SSL. Должен соответствовать фактическому расположению файла. |
key_store_password | Пустое значение | Пароль сертификата SSL. Должен совпадать с паролем, заданным при создании сертификата. |
key_store_type | JKS | Тип сертификата. Должен соответствовать фактическому типу сертификата. |
key_store_alias | doris_ssl_certificate | Псевдоним сертификата. Должен совпадать с псевдонимом, указанным в сертификате. |
Часто задаваемые вопросы
Вопрос: FE не запускается после включения HTTPS.
Файл, указанный в key_store_path, не существует или недоступен из-за недостаточных прав. Проверьте правильность пути к сертификату и убедитесь, что у процесса FE есть права на чтение по этому пути.
Вопрос: при запуске появляется ошибка загрузки сертификата.
key_store_password, key_store_type или key_store_alias не соответствует фактическим данным сертификата. Проверьте пароль, тип и псевдоним, использованные при создании сертификата, и убедитесь, что они совпадают с настройками в fe.conf.
Вопрос: браузер показывает предупреждение о недоверенном сертификате.
Используется самоподписанный сертификат. В рабочих средах замените его сертификатом, выданным CA, или вручную добавьте этот сертификат в доверенные на стороне клиента.
Вопрос: HTTPS по-прежнему не работает после изменения конфигурации.
FE не был перезапущен либо конфигурация была изменена только на части узлов FE. Убедитесь, что на всех узлах FE задана одинаковая конфигурация и все они перезапущены.