配置Grails以使用证书身份验证发布

Question

我对使用证书和安全性是一个新手，所以请原谅我，如果这对其他人来说是一个不需要考虑的问题。我遵循了本指南，将Grails应用程序设置为使用自签名证书在HTTPS上运行。

我试图与运行在同一台机器上的另一个HTTPS网络（一个Nifi独立实例）建立双向SSL。我可以让Nifi实例通过HTTPS与Grails对话，但Grails与Nifi对话（特别是与ListenHTTP处理器对话）时遇到了问题。

当我寻找替代方案时，HTTPBuilder经常出现，但是查看相关文档（第139行'certificate()')，它说明它需要一个完整的密钥存储库JKS和密码。我认为这是接近的，但不完全是我正在寻找的，考虑到我只有一个密钥库；我愿意在这里改正。

请注意，我将无法回应，至少在此问题发布后的第二天。

Answer 1

在建立传出HTTPS连接时，如果远程endpoint（在本例中为Apache NiFi）需要客户端证书身份验证，则始发endpoint（Grails）将尝试提供证书。Grails用来将自己标识为服务的证书很适合在此场景中使用,前提是：

1. 证书没有ExtendedKeyUsage扩展名设置，或者如果设置了该扩展名，则同时存在ServerAuth和ClientAuth值。如果缺少clientauth，系统将不允许将此证书用于客户端身份验证，而客户端身份验证是此交换中的必要角色。
2. 证书具有一个有效的subjectalternativeName值，该值与运行该证书的主机名相匹配。RFC 6125规定SAN值应用于证书标识，而不是可分辨名称(DN)和通用名称(CN)。因此，如果Grails应用程序运行在https://Grails.example.com上，则SAN必须包含Grails.example.com或*.example.com的值。
3. 必须将证书导入到NiFi的信任存储库中，以便允许NiFi对此证书的演示者进行身份验证。
4. nifi必须具有该“用户”的ACL权限。这可以通过UI或者在首次启动NiFi之前修改conf/authorizers.xml文件来完成。有关更多信息，请参阅NiFi管理指南-授权者配置。

您对将cert.pem和key.key文件保留在客户端计算机上的担忧是可以理解的，但是其中包含的敏感信息与密钥存储库中的数据相同。在某些情况下，Grails应用程序必须可以访问私钥，以便执行HTTPS进程，因此在密钥库中拥有私钥在功能上是等价的（您没有提到在*.key文件中拥有密码，但显然您应该在密钥库中拥有密码）。