logstash http_poller ssl认证问题

Question

我试图使用logstash http_poller查询服务器RESTAPI。我通过浏览下载服务器pem，并使用keytool生成jks文件。但是我们仍然得到了错误"PKIX路径构建失败: sun.security.provider.certpath.SunCertPathBuilderException:无法找到有效的认证路径到请求的目标“。不知道出了什么问题。

配置如下：

http_poller {
    urls => {  
      restapi => {
         method => get
        url => "https://path_to_resources
        headers => {
          Accept => "application/json"
        }
        truststore => "/path/generated.truststore.jks"
        truststore_password => "xxx"
        ssl_certificate_validation => false
        auth => {
          user => "xxx"
          password => "xxx"
        }
      }
    }
    request_timeout => 60
    interval => 60000
    codec => "json"
    metadata_target => "http_poller_metadata"
  }
}      

顺便问一下，如果ssl_certificate_validation设置为false，会产生什么影响？

Answer 1

我解释操作意图，希望能够禁用TLS验证，但我们仍然不能(logstash-7.11.1)，我继续研究如何为这些情况获得一个信任存储。这是我在追求同样的问题上的一次成功尝试。

有些设备将运行自签名证书(另一种讨论ppl.)-因此，设置这样一个信任存储的小脚本可能会有帮助，特别是当您要在内部设置一些自动化的时候。

另一个警告是，自签名证书仍然必须有一个匹配的主机名。

基于poller.html的实例

NB！进一步的错误检查等将由您自行决定。

#!/bin/bash
# Fetch an http server's TLS certificate and
# create or update a JAVA keystore / truststore

usage () {
    echo "usage: get-cert.sh <hostname>:<port>"
    exit 1
}

TRUSTSTORE=cacert/trust.jks

PARAM=$1
HOSTNAME=$(echo "$PARAM" | cut -d: -f 1)
PORT=$(echo "$PARAM" | cut -d: -f 2)
REST=$(echo "$PARAM" | cut -d: -f 3-)

[ -z "$HOSTNAME" ] && usage
[ -z "$PORT" ] && usage
[ -n "$REST" ] && usage

OUTPUT=$(
openssl \
    s_client \
    -showcerts \
    -connect "${HOSTNAME}":"${PORT}" </dev/null 2>/dev/null | \
    openssl \
        x509 \
        -outform PEM)
EC=$?
[ $EC -ne 0 ] && { echo "ERROR EC=$EC - $OUTPUT" ; exit $EC ; }

keytool \
    -import \
    -storepass changeit \
    -alias ${HOSTNAME} \
    -noprompt \
    -file <(echo "$OUTPUT") \
    -keystore ${TRUSTSTORE}

在这里使用一些bash特定的可能性。另一种方法是查看临时文件，作为官方示例(参见上面的链接)。

Answer 2

显然你的证明是无效的。关于

ssl_certificate_validation 

它没有真正的影响，http-puller是基于manticore的，它是一种在Apache HC上转发的红宝石。

which does not support this hook see