nifi -- ssl

今天药忘吃喽~ 2022-07-13 06:51 121阅读 0赞

1. 在集群配置的基础上。

2. 上传nifi-toolkit-1.1.0-bin.tar.gz到/usr/nifi目录下

3. 使用nifi的tls-toolkit.sh 为集群各节点生成keystore、trustore和配置文件nifi.properties，为浏览器访问生成客户端证书。

bin/tls-toolkit.sh standalone -n 'master,slave1,slave2' -C'CN=younge, OU=ApacheNiFi' -f /usr/nifi/nifi-1.1.0/conf/nifi.properties -o'./target'

生成的目录结构如下

target/

├──CN=younge\_OU=ApacheNifi.p12

├──CN=younge\_OU=ApacheNifi.password

├── master

│ ├── keystore.jks

│ ├── nifi.properties

│ └── truststore.jks

├── slave1

│ ├── keystore.jks

│ ├── nifi.properties

│ └── truststore.jks

├── slave2

│ ├── keystore.jks

│ ├── nifi.properties

│ └── truststore.jks

├── nifi-cert.pem

└── nifi-key.key

其中CN=younge\_OU=ApacheNifi.p12为浏览器客户端证书, 其对应的密码位于CN=younge\_OU=ApacheNifi.password文件中, 标黄的部分用不上。

再分别将master, slave1, slave2文件夹内文件拷贝到各节点/usr/nifi/nifi-1.1.0/conf文件夹中。

cp -r master/\* /usr/nifi/nifi-1.1.0/conf

scp -r slave1/\*root@slave1:/usr/nifi/nifi-1.1.0/conf

scp -r slave2/\* root@slave2:/usr/nifi/nifi-1.1.0/conf

4. master修改conf/authorizers.xml文件，配置初始管理员的标识和集群各节点标识，特别注意CN段逗号后的空格，必须加上。

<property name="Initial Admin Identity">CN=younge,OU=ApacheNifi</property>

<property name="Node Identity 1">CN=master,OU=NIFI</property>

<property name="Node Identity 2">CN=slave1,OU=NIFI</property>

<property name="Node Identity 3">CN=slave2,OU=NIFI</property>

5. 拷贝master节点上的conf/authorizers.xml文件到两个从节点上，覆盖原有文件。

6. 启动分布式zookeeper。

各节点执行zkServer.sh start。启动后使用zkServer.sh status查看各节点状态，正常情况下会有一个leader其他的全部是follower。

7. 启动各节点nifi。

nifi.sh start

8. 检查nifi启动情况

A. jps检查各节点是否启动了Nifi和RunNifi进程

B. netstat –apnt | grep java确认nifi相关端口启动：WEB UI端口9443，集群通信socket端口11443，Site2Site协议端口10443

9. 确认8无误后，往浏览器中导入CN=younge\_OU=ApacheNifi.p12, 输入CN=younge\_OU=ApacheNifi.password文件中的密码。

10. 进入WEB UI界面。

实机直接浏览器输入nifi分布式集群任节点的IP加WEB UI端口9443，[https://<host>:<port>/nifi][https_host_port_nifi]；

虚拟机如果使用NAT方式，需要映射端口，使用[https://127.0.0.1:<][https_127.0.0.1]映射端口>/nifi，使用桥接方式与实机描述一样。

11. 选择导入的证书后，可能提示证书不信任的不安全信息，选择继续前往。

12. 初次进入后，左上的所有(processor、input port、output port、process group、remote process group、funnel、template、label)均显示灰色，需要授权当前用户才能正常显示。

左下Operate中的钥匙图案，定位view the component, 左上角中文字中的Createa new policy，点击create文字创建新策略，并为新建策略添加新用户，输入Younge选择CN=younge, OU=ApacheNifi。定位modify thecomponent, 左上角中文字中的Createa new policy，点击create文字创建新策略，并为新建策略添加新用户，输入Younge选择CN=younge, OU=ApacheNifi。

13. 右上角图标点击，选择Users，创建Group，命名MyCluster, 选择三个节点标识。

14. 右上角图标点击，选择Policies, retrieve site-2-site details, 添加用户组MyCluster;

Proxyuser requests, 添加用户组MyCluster; 其他策略添加用户CN=younge, OU=ApacheNifi。

[https_host_port_nifi]: https://%3Chost%3E:%3cport%3e/nifi
[https_127.0.0.1]: https://127.0.0.1:%3c/