TLS Amazon과의 Apache Ranger 통합을 위한 인증서 EMR

Amazon과의 Apache Ranger 통합을 EMR 위해서는 Amazon EMR 노드에서 Ranger Admin 서버로의 트래픽이 를 사용하여 암호화되고 TLS해당 Ranger 플러그인이 양방향 상호 인증을 사용하여 Apache Ranger 서버에 TLS 인증되어야 합니다. Amazon EMR 서비스에는 Ranger Admin 서버의 퍼블릭 인증서(이전 예제에서 지정됨)와 프라이빗 인증서가 필요합니다.

Apache Ranger 플러그인 인증서

Apache Ranger 플러그인 퍼블릭 TLS 인증서는 Apache Ranger Admin 서버에 액세스하여 플러그인이 연결될 때 검증해야 합니다. 이를 수행하는 세 가지 방법이 있습니다.

방법 1: Apache Ranger Admin 서버에서 트러스트 스토어 구성

ranger-admin-site.xml에 다음 구성을 입력하여 truststore를 구성합니다.

<property>
    <name>ranger.truststore.file</name>
    <value><LOCATION TO TRUSTSTORE></value>
</property>

<property>
    <name>ranger.truststore.password</name>
    <value><PASSWORD FOR TRUSTSTORE></value>
</property>

방법 2: Java cacerts 트러스트 스토어에 인증서 로드

Ranger Admin 서버가 JVM 옵션에 신뢰 저장소를 지정하지 않은 경우 플러그인 퍼블릭 인증서를 기본 cacerts 스토어에 넣을 수 있습니다.

방법 3: 신뢰 저장소를 생성하고 JVM 옵션의 일부로 지정

{RANGER_HOME_DIRECTORY}/ews/ranger-admin-services.sh 내에서 "-Djavax.net.ssl.trustStore=<TRUSTSTORE_LOCATION>" 및 "-Djavax.net.ssl.trustStorePassword=<TRUSTSTORE_PASSWORD>"를 포함하도록 JAVA_OPTS를 수정합니다. 예를 들어 기존 JAVA_ 뒤에 다음 줄을 추가합니다OPTS.

JAVA_OPTS=" ${JAVA_OPTS} -Djavax.net.ssl.trustStore=${RANGER_HOME}/truststore/truststore.jck -Djavax.net.ssl.trustStorePassword=changeit"

참고

사용자가 Apache Ranger Admin 서버에 로그인하여 실행 중인 프로세스를 확인할 수 있는 경우(예: ps 명령 사용) 이 사양은 트러스트 스토어 암호를 노출할 수 있습니다.

자체 서명된 인증서 사용

자체 서명 인증서는 인증서로 권장되지 않습니다. 자체 서명 인증서는 취소할 수 없으며 자체 서명 인증서는 내부 보안 요구 사항을 준수하지 않을 수 있습니다.