Microservices Engine:MSE NacosインスタンスのTLS有効化

前提条件

• Microservices Engine (MSE) がアクティブ化されていること。 詳細については、「Activate MSE」をご参照ください。

• バージョン 2.1.2.1 以降のNacosエンジンが作成されていること。 詳細については、「Nacos エンジンを作成する」をご参照ください。 エンジンバージョンが 2.1.2.1 より前の場合は、エンジンバージョンを 2.1.2.1 以降にアップグレードしてください。 エンジンバージョンのアップグレード方法については、「Upgrade a Nacos version」をご参照ください。

• Java Development Kit (JDK) のバージョンが 8u252 以降であること。

  説明

  8u252 より前のバージョンのJDKはTLSと互換性がありません。 そのため、そのようなJDKを 8u252 以降にアップグレードする必要があります。 JDKバージョンをアップグレードできない場合は、JDKにバンドルされていないNacosクライアントを使用できます。 詳細については、このトピックの「JDKにバンドルされていないNacosクライアントを使用するにはどうすればよいですか？」をご参照ください。

  • NacosクライアントがJDKにバンドルされていない場合は、OpenSSLをSSLプロバイダーとして使用できます。 この場合、nacos.remote.client.rpc.tls.provider パラメーターを削除する必要があります。 // Remove the nacos.remote.client.rpc.tls.provider parameter.

  • JDKにバンドルされていないNacosクライアントの場合、必要なサードパーティ製パッケージはシェーディングされていません。 そのため、パッケージの競合を解決する必要がある場合があります。

手順 1：Nacosパラメーターを変更する

1. MSEコンソール にログインし、上部のナビゲーションバーでリージョンを選択します。

2. 左側のナビゲーションペインで、マイクロサービスの登録 > インスタンス を選択します。 インスタンスの名前をクリックします。

3. 左側のナビゲーションペインで、[パラメーター設定] をクリックします。 表示されるページで、[編集] をクリックし、[tlsenabled] パラメーターを [はい] に設定して、[保存してインスタンスを再起動] をクリックします。

   Nacosインスタンスを再起動すると、サーバーはTLS対応のNacosクライアントをサポートできるようになります。

手順 2：Nacosクライアントをアップグレードする

1. Nacosクライアントのバージョンを 2.2.3 にアップグレードします。 サンプルコード：

   <dependency>
       <groupId>com.alibaba.nacos</groupId>
       <artifactId>nacos-client</artifactId>
       <version>2.2.3</version>
   </dependency>

2. TLS関連パラメーターを設定してTLSを有効にします。 // Configure TLS-related parameters to enable TLS.

   以下の方法で、優先順位の高い順に TLS 関連パラメーターを設定できます。.propertiesファイル > JVMパラメーター > 環境変数。 ビジネス要件に基づいて方法を選択できます。

   • .propertiesファイルを使用します。 NacosConfigServiceまたはNacosNamingServiceを作成するときに、.propertiesファイルでTLS関連パラメーターを指定します。

     • properties.put("nacos.remote.client.rpc.tls.enable","true");

     • properties.put("nacos.remote.client.rpc.tls.trustAll","true");

     • properties.put("nacos.remote.client.rpc.tls.provider","JDK");

     この方法は、JVMパラメーターと環境変数を設定する方法よりも優先されます。 この方法を使用して、NacosConfigServiceとNacosNamingServiceのTLS関連パラメーターを設定できます。

   • JVMパラメーターを設定します。

     • -Dnacos.remote.client.rpc.tls.enable=true

     • -Dnacos.remote.client.rpc.tls.trustAll=true

     • -Dnacos.remote.client.rpc.tls.provider=JDK

     この方法は、Java仮想マシン (JVM) プロセスレベルで使用されます。 JVMプロセスでは、TLS 関連のJVMパラメーターは、.propertiesファイルでTLS関連パラメーターが指定されていないNacosConfigServiceとNacosNamingServiceに有効です。

   • 環境変数を設定します。

     • nacos_remote_client_rpc_tls_enable=true

     • nacos_remote_client_rpc_tls_trustAll=true

     • nacos_remote_client_rpc_tls_provider=JDK

     この方法はサーバーレベルで使用されます。 JVMパラメーターまたは .properties ファイルで指定されていない TLS 関連パラメーターが有効になります。

3. TLSが有効になっていることを確認します。

   1. Nacosクライアントの起動ログを表示します。

      Nacosクライアントが起動すると、{user.home}/logs/nacos/ ディレクトリの remote.log ファイルに設定パラメーターが一覧表示されます。 // Configuration parameters are listed in the remote.log file in the {user.home}/logs/nacos/ directory.

      2023-04-06 09:56:56.539 INFO [com.alibaba.nacos.client.Worker:c.a.n.c.r.c.g.GrpcClient] grpc client connection server:mse-xxx.nacos-ans.mse.aliyuncs.com ip,serverPort:9848,grpcTslConfig:{"sslProvider":"","enableTls":true,"mutualAuthEnable":false,"trustAll":true}

      "enableTls":true は、TLSが有効になっていることを示します。 クライアントが正常に起動し、NacosConfigServiceが想定どおりにデータの読み取りと書き込みを行う場合、データ通信でTLSが有効になっています。

   2. tcpdump コマンドを実行してパケットをキャプチャします。 // Run the tcpdump command to capture packets.

      tcpdump コマンドを実行してパケットをキャプチャし、コマンドで出力ファイルが格納されるディレクトリを指定できます。 たとえば、次の tcpdump コマンドを実行すると、キャプチャされたコンテンツは /tmp/ ディレクトリの tcptrace.cap ファイルに格納されます。 ファイル名とディレクトリはカスタマイズできます。 // For example, if you run the following tcpdump command, the captured content is stored in the tcptrace.cap file in the /tmp/ directory. You can customize the file name and directory.

      sudo tcpdump -i any -w /tmp/tcptrace.cap -p 9848

      Wiresharkなどのパケット分析ツールを使用して、上記のファイルを解析します。 キャプチャされたパケットがTCP/TLSパケットの場合、TLSは有効になっています。 // If captured packets are TCP/TLS packets, TLS is enabled.

FAQ

<dependency>
    <groupId>com.alibaba.nacos</groupId>
    <artifactId>nacos-client</artifactId>
    <version>2.2.3</version>
    <classifier>pure</classifier>
</dependency>
<dependency>
    <groupId>com.alibaba.nacos</groupId>
    <artifactId>nacos-common</artifactId>
    <version>2.2.3</version>
</dependency>
<dependency>
    <groupId>com.alibaba.nacos</groupId>
    <artifactId>nacos-api</artifactId>
    <version>2.2.3</version>
</dependency>