ApsaraMQ for Kafka:Mettre à jour l'algorithme du certificat SSL

Prérequis

Avant de commencer, assurez-vous d'avoir :

• Une instance ApsaraMQ for Kafka avec accès Internet achetée et déployée, à l'état Running

• Un accès à la console ApsaraMQ for Kafka

Fonctionnement

Lorsque vous activez l'accès Internet sur une instance ApsaraMQ for Kafka, le système initialise les ports liés au SSL et attribue un certificat SSL. Vous pouvez consulter la taille de clé actuelle dans la section Configurations de la page Instance Details.

Le passage de 1 024 bits à 4 096 bits implique deux phases :

1. Côté client : téléchargez un certificat de transition contenant à la fois les certificats 1 024 bits et 4 096 bits, déployez-le sur chaque client et redémarrez les clients.

2. Côté serveur : définissez le paramètre SSL Certificate Key Size (Bits) sur 4 096 dans la console.

Le certificat de transition (mix.4096.client.truststore.jks pour Java, mix-4096-ca-cert pour les autres langages) fonctionne avec les deux tailles de clé. Ainsi, les clients restent connectés, que la console affiche encore 1 024 ou soit déjà passée à 4 096.

Étape 1 : Télécharger le certificat SSL

Sélectionnez le fichier de certificat correspondant à votre état de déploiement et à votre langage de programmation.

Étape 2 : Remplacer le certificat et redémarrer les clients

1. Copiez le fichier de certificat téléchargé dans le répertoire des certificats SSL de votre client.

2. Mettez à jour la configuration du client pour référencer le nouveau fichier de certificat. Clients Java : définissez la propriété ssl.truststore.location dans la configuration de votre client Kafka. Clients non Java : pointez vers le nouveau fichier de certificat CA. Par exemple, pour les clients Python utilisant confluent-kafka :

      ssl.truststore.location=/path/to/mix.4096.client.truststore.jks

      conf = {
          'bootstrap.servers': '<your-endpoint>',
          'security.protocol': 'SSL',
          'ssl.ca.location': '/path/to/mix-4096-ca-cert',
      }

3. Redémarrez le client pour charger le nouveau certificat.

4. Répétez les étapes 1 à 3 pour tous les clients qui se connectent à l'instance via Internet.

Étape 3 : Modifier la taille de clé dans la console

Une fois que tous les clients utilisent le nouveau certificat :

1. Connectez-vous à la console ApsaraMQ for Kafka.

2. Ouvrez la page Instance Details de votre instance.

3. Dans la section Configuration Information, définissez la valeur de SSL Certificate Key Size (Bits) sur 4096. Pour des instructions détaillées, consultez la rubrique Modify message configurations.

Étape 4 : Vérifier la mise à jour

1. Sur la page Instance Details, confirmez que la valeur de SSL Certificate Key Size (Bits) est 4096 dans la section Configurations.

2. Vérifiez que tous les clients peuvent produire et consommer des messages sans erreur.

3. (Facultatif) Si vous avez utilisé le certificat de transition mix, vous pouvez le remplacer par le certificat only.4096.client.truststore.jks (Java) ou only-4096-ca-cert (non Java) afin de supprimer l'ancien certificat 1 024 bits de vos clients.

Dépannage des échecs de connexion SSL