设置SOLR SSL属性

Question

当我使用提供的Apache SOLR启动脚本（版本6.6.0）时，该脚本会创建并执行一个java命令行，该命令行具有两组SSL属性，它们的相关元素设置为相同的值。一组具有javax.net.ssl.*等名称，而另一组具有solr.jetty.*等名称。例如：

java -server ... 
    -Dsolr.jetty.keystore.password=secret ...
    -Djavax.net.ssl.keyStorePassword=secret ...
    ... -jar start.jar --module=https

我们的安全团队不允许在命令行或环境变量中传递密码，但允许将它们放置在文件中，前提是该文件具有受限访问权限。我注意到在solr/server/etc目录中有一个jetty-ssl.xml文件，可用于为所有solr.jetty.*属性提供默认值，包括solr.jetty.keystore.password。当我从java命令行中删除所有javax.net.ssl.keyStorePassword和solr.jetty.keystore.password属性并使用我的密钥库密码更新jetty-ssl.xml文件时，SOLR似乎以该文件中包含的默认密钥库密码开始。然后，我可以用浏览器连接到https://localhost:8983/solr/#并访问SOLR管理页面。

是javax。网ssl* SOLR standalone或SOLR cloud产品中使用的所有属性？它们是否在浏览器之外的后台用于解决服务器连接，以连接到zookeeper等其他进程？我在源代码中看到的对它们的唯一引用是solr客户端的solr嵌入式代码。

Answer 1

是的，都是solr。jetty服务器端和javax。网ssl。*SOLR使用客户端属性。对于某些操作，如集合创建，SOLR似乎连接到自身，当它这样做时，它会尝试通过SSL和javax连接。网ssl。*属性值。

为了避免在命令行或环境变量中传递属性，我提出的解决方案是创建一个只有premain方法的javaagent类。在此premain方法中，它在main In start之前运行。jar中，我读取了一个包含“secret”SSL属性的属性文件，如javax。网ssl。keyStorePassword。然后，代理将该键/值添加到Java系统属性中。

因此，当main启动时，所有SSL属性都是已知的，并且没有暴露于命令行或环境变量中。显然，为了维护安全，必须限制属性文件的所有权和权限。可以将以下内容添加到SOLR java命令行中，以确保代理运行并可以作为参数访问属性文件：

java -javaagent:ssl-agent.jar=/path/to/ssl/properties/file ... -jar start.jar ... 

有关编写java代理的信息，请参见此处。