Ошибка конфигурации LDAPS Apache NiFi

Question

Я потратил целый день, пытаясь понять эту странную проблему. У меня есть экземпляр NiFi на сервере Linux. Я настроил Ldap-провайдер в логине-идентичности providers.xml ниже

<provider> 
<identifier>ldap-provider</identifier> 
<class>org.apache.nifi.ldap.LdapProvider</class> 
<property name="Authentication Strategy">SIMPLE</property> 

<property name="Manager DN"></property> 
<property name="Manager Password"></property> 

<property name="TLS - Keystore">/Data/ssl/server_keystore.jks</property> 
<property name="TLS - Keystore Password">changeit</property> 
<property name="TLS - Keystore Type">JKS</property> 
<property name="TLS - Truststore">/Data/ssl/server_truststore.jks</property> 
<property name="TLS - Truststore Password">changeit</property> 
<property name="TLS - Truststore Type">JKS</property> 
<property name="TLS - Client Auth"></property> 
<property name="TLS - Protocol">TLSv1.2</property> 
<property name="TLS - Shutdown Gracefully"></property> 

<property name="Referral Strategy">FOLLOW</property> 
<property name="Connect Timeout">10 secs</property> 
<property name="Read Timeout">10 secs</property> 

<property name="Url">ldaps://myserver.hostname:636</property> 
<property name="User Search Base">ou=people,dc=xxx,dc=net</property> 
<property name="User Search Filter">cn={0}</property> 

<property name="Authentication Expiration">12 hours</property> 

Когда я начиная Nifi, я получил страницу Логина запроса первого. Тем не менее, я продолжал получать

2016-07-28 00:17:43,527 ERROR [NiFi Web Server-64] org.apache.nifi.ldap.LdapProvider myserver.hostname:636; nested exceptin is javax.naming.CommunicationException: myserver.hostname:636; [Root exception is javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target] 

я пытался использовать Jvm аргумент в bootstrap.conf, как

java.arg.15=-Djavax.net.ssl.trustStore=/Data/ssl/server_truststore.jks 

Он работал прекрасно.

Я также пробовал SSLPoke.class с тем же аргументом доверия vm, он также отлично работал.

java -Djavax.net.ssl.trustStore=/Data/ssl/server_truststore.jks SSLPoke myserver.hostname 636 
"Successfully connected" 

Теперь мой вопрос в том, почему моя конфигурация в NiFi login-identity-providers.xml не работает?

Answer 1

К сожалению, NiFi в настоящее время не поддерживает LDAPS. Для создания этой возможности существует JIRA [1]. Разрешены только SIMPLE (открытый текст) или START_TLS. Кроме того, параметры конфигурации контекста SSL учитываются только тогда, когда стратегия аутентификации START_TLS.

[1] https://issues.apache.org/jira/browse/NIFI-2325

Answer 2

@davy_wei,

в то время как комментарий Matt является правильным, если вы по какой-то причине ограниченного с помощью LDAP для вас LDAP/AD-сервер (например, правила брандмауэра), один вариант использовать stunnel или socat для туннелирования между защищенным LDAP и LDAP-клиентом NiFi.

образец Stunnel конфигурация будет выглядеть следующим образом:

... 
[ldap2ldaps] 
accept = 127.0.0.1:whatever_port_you_want 
client = yes 
connect = your.real.ldaps.fqdn.or.ip:636 
... 

Помните, что это основная конфигурация. Возможно, вы захотите точно настроить свой stunnel в соответствии с вашими требованиями безопасности (например, ограничитесь конкретными шифрами, версией TLS и т. Д.).