ApsaraMQ for Kafka:Update the SSL certificate algorithm

Requisitos previos

Antes de empezar, compruebe que cuenta con lo siguiente:

• Una instancia de ApsaraMQ for Kafka con acceso a Internet, adquirida y desplegada, en estado Running

• Acceso a la consola de ApsaraMQ for Kafka

Cómo funciona

Cuando habilita el acceso a Internet en una instancia de ApsaraMQ for Kafka, el sistema inicializa los puertos relacionados con SSL y asigna un certificado SSL. Consulte el tamaño de clave actual en la sección Configurations de la página Instance Details.

La actualización de 1,024 bits a 4,096 bits consta de dos fases:

1. En el lado del cliente: descargue un certificado de transición que contenga tanto el certificado de 1,024 bits como el de 4,096 bits. Despliéguelo en cada cliente y reinicie los clientes.

2. En el lado del servidor: cambie el parámetro SSL Certificate Key Size (Bits) en la consola a 4,096.

El certificado de transición (mix.4096.client.truststore.jks para Java, mix-4096-ca-cert para otros lenguajes) funciona con ambos tamaños de clave. Esto significa que los clientes mantienen la conexión sin importar si la consola aún muestra 1,024 o ya se cambió a 4,096.

Paso 1: Descargue el certificado SSL

Seleccione el archivo de certificado que corresponda al estado de su despliegue y a su lenguaje de programación.

Paso 2: Reemplace el certificado y reinicie los clientes

1. Copie el archivo de certificado descargado al directorio de certificados SSL de su cliente.

2. Actualice la configuración del cliente para que apunte al nuevo archivo de certificado. Clientes Java: establezca la propiedad ssl.truststore.location en la configuración de su cliente Kafka. Clientes que no son Java: apunte al nuevo archivo de certificado CA. Por ejemplo, para clientes Python que usan confluent-kafka:

      ssl.truststore.location=/path/to/mix.4096.client.truststore.jks

      conf = {
          'bootstrap.servers': '<your-endpoint>',
          'security.protocol': 'SSL',
          'ssl.ca.location': '/path/to/mix-4096-ca-cert',
      }

3. Reinicie el cliente para cargar el nuevo certificado.

4. Repita los pasos 1 a 3 en todos los clientes que se conecten a la instancia a través de Internet.

Paso 3: Cambie el tamaño de clave en la consola

Una vez que todos los clientes usen el nuevo certificado:

1. Inicie sesión en la consola de ApsaraMQ for Kafka.

2. Abra la página Instance Details de su instancia.

3. En la sección Configuration Information, cambie el valor de SSL Certificate Key Size (Bits) a 4096. Para obtener instrucciones detalladas, consulte Modify message configurations.

Paso 4: Compruebe la actualización

1. En la página Instance Details, confirme que el valor de SSL Certificate Key Size (Bits) sea 4096 dentro de la sección Configurations.

2. Compruebe que todos los clientes puedan producir y consumir mensajes sin errores.

3. (Opcional) Si utilizó el certificado de transición mix, reemplácelo por el certificado only.4096.client.truststore.jks (Java) o only-4096-ca-cert (no Java) para eliminar el certificado heredado de 1,024 bits de sus clientes.

Solución de problemas de conexión SSL con errores