nifi -- ssl

1.      在集群配置的基础上。

2.      上传nifi-toolkit-1.1.0-bin.tar.gz到/usr/nifi目录下

3.      使用nifi的tls-toolkit.sh 为集群各节点生成keystore、trustore和配置文件nifi.properties，为浏览器访问生成客户端证书。

bin/tls-toolkit.sh standalone -n 'master,slave1,slave2' -C'CN=younge, OU=ApacheNiFi' -f /usr/nifi/nifi-1.1.0/conf/nifi.properties -o'./target'

生成的目录结构如下

target/

├──CN=younge_OU=ApacheNifi.p12

├──CN=younge_OU=ApacheNifi.password

├── master

│   ├── keystore.jks

│   ├── nifi.properties

│   └── truststore.jks

├── slave1

│   ├── keystore.jks

│   ├── nifi.properties

│   └── truststore.jks

├── slave2

│   ├── keystore.jks

│   ├── nifi.properties

│   └── truststore.jks

 

├── nifi-cert.pem

└── nifi-key.key

 

其中CN=younge_OU=ApacheNifi.p12为浏览器客户端证书, 其对应的密码位于CN=younge_OU=ApacheNifi.password文件中, 标黄的部分用不上。

再分别将master, slave1, slave2文件夹内文件拷贝到各节点/usr/nifi/nifi-1.1.0/conf文件夹中。

cp -r master/* /usr/nifi/nifi-1.1.0/conf 

scp -r slave1/*root@slave1:/usr/nifi/nifi-1.1.0/conf 

scp -r slave2/* root@slave2:/usr/nifi/nifi-1.1.0/conf 

 

4.      master修改conf/authorizers.xml文件，配置初始管理员的标识和集群各节点标识，特别注意CN段逗号后的空格，必须加上。

<property name="Initial Admin Identity">CN=younge,OU=ApacheNifi</property>

<property name="Node Identity 1">CN=master,OU=NIFI</property>

<property name="Node Identity 2">CN=slave1,OU=NIFI</property>

<property name="Node Identity 3">CN=slave2,OU=NIFI</property>

5.      拷贝master节点上的conf/authorizers.xml文件到两个从节点上，覆盖原有文件。

6.      启动分布式zookeeper。

各节点执行zkServer.sh start。启动后使用zkServer.sh status查看各节点状态，正常情况下会有一个leader其他的全部是follower。

7.      启动各节点nifi。

nifi.sh start

8.      检查nifi启动情况

A.     jps检查各节点是否启动了Nifi和RunNifi进程

B.     netstat –apnt | grep java确认nifi相关端口启动：WEB UI端口9443，集群通信socket端口11443，Site2Site协议端口10443

9.      确认8无误后，往浏览器中导入CN=younge_OU=ApacheNifi.p12, 输入CN=younge_OU=ApacheNifi.password文件中的密码。

10.  进入WEB UI界面。

实机直接浏览器输入nifi分布式集群任节点的IP加WEB UI端口9443，https://<host>:<port>/nifi；

虚拟机如果使用NAT方式，需要映射端口，使用https://127.0.0.1:<映射端口>/nifi，使用桥接方式与实机描述一样。

11.  选择导入的证书后，可能提示证书不信任的不安全信息，选择继续前往。

12.  初次进入后，左上的所有(processor、input port、output port、process group、remote process group、funnel、template、label)均显示灰色，需要授权当前用户才能正常显示。

左下Operate中的钥匙图案，定位view the component, 左上角中文字中的Create a new policy，点击create文字创建新策略，并为新建策略添加新用户，输入Younge选择CN=younge, OU=ApacheNifi。定位modify thecomponent, 左上角中文字中的Create a new policy，点击create文字创建新策略，并为新建策略添加新用户，输入Younge选择CN=younge, OU=ApacheNifi。

13.  右上角图标点击，选择Users，创建Group，命名MyCluster, 选择三个节点标识。

14.  右上角图标点击，选择Policies, retrieve site-2-site details, 添加用户组MyCluster;

Proxyuser requests, 添加用户组MyCluster; 其他策略添加用户CN=younge, OU=ApacheNifi。