Microservices Engine:MSE Nacos インスタンスの TLS 有効化

前提条件

• 、または MSE を有効化する。

• バージョン 2.1.2.1 以降の Nacos エンジンが作成済みであること。Nacos エンジンを作成する。以前のバージョンをアップグレードする場合は、「Nacos エンジンのバージョンをアップグレードする」をご参照ください。

• Java Development Kit (JDK) のバージョンが 8u252 以降であること。

  説明

  8u252 より前の JDK バージョンには TLS の互換性の問題があります。8u252 以降にアップグレードするか、代わりに pure nacos-client を使用してください。詳細については、「pure nacos-client をインポートするにはどうすればよいですか？」をご参照ください。

  • pure nacos-client は SSL プロバイダーとして OpenSSL を使用できますが、nacos.remote.client.rpc.tls.provider パラメーターを削除する必要があります。

  • Pure Nacos のバージョンは依存するセカンドパーティパッケージをシェードしません。パッケージの競合を解決する必要がある場合があります。

ステップ 1：Nacos パラメータ設定の変更

1. [MSE コンソール] にログインし、上部のナビゲーションバーでリージョンを選択します。

2. 左側のナビゲーションウィンドウで、マイクロサービスの登録 > インスタンス を選択します。インスタンスの名前をクリックします。

3. 左側のナビゲーションペインで、[パラメーター設定] をクリックします。[編集] をクリックし、[TLSEnabled] パラメーターを [はい] に設定してから、[保存してインスタンスを再起動] をクリックします。

   再起動後、サーバーは Nacos クライアントからの TLS 接続を受け付けます。

ステップ 2：nacos-client のアップグレード

1. nacos-client をバージョン 2.2.1 以降にアップグレードします。

   <dependency>
       <groupId>com.alibaba.nacos</groupId>
       <artifactId>nacos-client</artifactId>
       <version>2.2.1</version>
   </dependency>

2. TLS 機能を有効にするために、tls パラメーターを設定します。

   次のいずれかの方法で tls パラメーターを設定します。優先順位：プロパティファイル > JVM パラメーター > 環境変数。

   • プロパティファイルでパラメーターを設定します。NacosConfigService または NacosNamingService インスタンスの構築時に渡します。

     • properties.put("nacos.remote.client.rpc.tls.enable","true");

     • properties.put("nacos.remote.client.rpc.tls.trustAll","true");

     • properties.put("nacos.remote.client.rpc.tls.provider","JDK");

     この方法は、JVM パラメーターと環境変数よりも優先されます。NacosConfigService および NacosNamingService のインスタンスレベルで適用されます。

   • JVM パラメーターを設定します。

     • -Dnacos.remote.client.rpc.tls.enable=true

     • -Dnacos.remote.client.rpc.tls.trustAll=true

     • -Dnacos.remote.client.rpc.tls.provider=JDK

     この方法は JVM プロセスレベルで適用され、プロパティファイルでの上書きがないすべての NacosConfigService および NacosNamingService インスタンスに適用されます。

   • 環境変数を設定します。

     • nacos_remote_client_rpc_tls_enable=true

     • nacos_remote_client_rpc_tls_trustAll=true

     • nacos_remote_client_rpc_tls_provider=JDK

     この方法はサーバーレベルで適用され、JVM またはプロパティファイルでの上書きがないすべてのインスタンスに適用されます。

3. TLS 暗号化が有効になっていることを確認します。

   1. 起動ログを確認します。

      nacos-client は起動時に TLS 設定を {user.home}/logs/nacos/remote.log に記録します。

      2023-04-06 09:56:56.539 INFO [com.alibaba.nacos.client.Worker:c.a.n.c.r.c.g.GrpcClient] grpc client connection server:mse-xxx.nacos-ans.mse.aliyuncs.com ip,serverPort:9848,grpcTslConfig:{"sslProvider":"","enableTls":true,"mutualAuthEnable":false,"trustAll":true}

      "enableTls":true フィールドにより、TLS が有効であることを確認できます。クライアントが起動し、設定の読み書きが通常どおり行える場合、暗号化は機能しています。

   2. tcpdump コマンドでデータパケットをキャプチャします。

      tcpdump を実行してパケットをキャプチャします。次の例では、出力を /tmp/tcptrace.cap に保存します。必要に応じてパスを調整してください。

      sudo tcpdump -i any -w /tmp/tcptrace.cap port 9848

      Wireshark などのツールでファイルを開きます。プロトコルに TCP & TLS と表示される場合、暗号化は有効です。

よくある質問

<dependency>
    <groupId>com.alibaba.nacos</groupId>
    <artifactId>nacos-client</artifactId>
    <version>2.2.1</version>
    <classifier>pure</classifier>
</dependency>
<dependency>
    <groupId>com.alibaba.nacos</groupId>
    <artifactId>nacos-common</artifactId>
    <version>2.2.1</version>
</dependency>
<dependency>
    <groupId>com.alibaba.nacos</groupId>
    <artifactId>nacos-api</artifactId>
    <version>2.2.1</version>
</dependency>