Presto实战

安全

｜

191

生成的

keystore.jks

文件需要在服务器上使用，并在

http-server.https.keystore.path

属性中指定。类似的用法也适用于

http-server.https.keystore.keystore.key

属性中的

storepass

密码。

上述例子使用的是

通配符证书

，我们指定通用名（

CN

）为

*.example.com

。若

Presto

集群中的所有节点使用相同的域，则这个证书可以为它们所共享。这个证书还可以和

coordinator.example.com

、

worker1.example.com

、

worker2.example.com

等一起使用。这种

方法的缺点是

example.com

域下的任何节点都可以使用该证书。

你可以通过使用主题替代名（

SubjectAltName

）来限制子域，在这里你可以列出子域。这

允许你创建单个证书，它可以为一个有限的、特定的主机列表所共享。另一种方法是为每

个节点创建一个证书，这要求你为每个节点明确定义完整的域。这增加了管理负担，并且

在扩展

Presto

集群时具有挑战性，因为新节点需要绑定到完整域的证书。

当客户端连接到协调器时，协调器将其证书发送给客户端以验证其真实性：如果是自签名

的，则包含协调器的证书；如果是由

CA

签发的

，则包含一个证书链。稍后将讨论如何使

用

CA

的

证书链。因为

keystore

也包含了证书，所以你可以简单地将

keystore

复制到客户

端机器上，并将其作为

truststore

使用

。然而，这并不安全，因为

keystore ...