HTTP 通信の保護
この記事では、Doris FE インターフェースで HTTPS（SSL）による暗号化通信を有効にする方法を説明します。SSL キーと証明書を設定することで、クライアントと FE 間の通信の機密性と完全性を確保できます。
Doris はバージョン 2.0 以降、SSL キーと証明書の設定をサポートしています。
適用シナリオ
| シナリオ | 適用可否 |
|---|---|
| FE の HTTP インターフェースの暗号化が必要な本番環境 | 適用できます。CA が発行した証明書を推奨します。 |
| HTTPS の動作を確認する社内テスト環境や開発環境 | 適用できます。自己署名証明書を使用できます。 |
| 外部からのアクセスが不要で、クラスタ内部の通信のみを行う環境 | 任意です。 |
前提条件
- Doris バージョン >= 2.0
- 利用可能な SSL 証明書（JKS などのキーストア形式）、または自己署名証明書を生成できる環境
- 証明書の配置と
conf/fe.confの変更に必要な、FE ノードのファイルシステムへのアクセス権
設定手順の概要
- SSL 証明書を用意します（購入するか、自己署名証明書を生成します）。
- FE の指定したパスに証明書をコピーします。
- FE の設定ファイル
conf/fe.confを変更して HTTPS を有効にします。 - 設定を反映するために FE を再起動します。
手順
ステップ 1：SSL 証明書を用意する
SSL 証明書を購入するか、自己署名証明書を生成します。本番環境では、クライアント側で証明書が信頼されていないという警告を避けるため、CA が発行した証明書を推奨します。
ステップ 2：証明書ファイルを配置する
SSL 証明書を指定したパスにコピーします。デフォルトのパスは ${DORIS_HOME}/conf/ssl/ です。カスタムパスも指定できます。
ステップ 3：FE の設定を変更する
FE の設定ファイル conf/fe.conf を変更します。以下のパラメータは、購入または生成した SSL 証明書と一致させる必要があります。
- HTTPS を有効にするには
enable_https = trueを設定します。デフォルトはfalseです。 - 証明書のパスを
key_store_pathに設定します。デフォルトは${DORIS_HOME}/conf/ssl/doris_ssl_certificate.keystoreです。 - 証明書のパスワードを
key_store_passwordに設定します。デフォルトは空です。 - 証明書の種類を
key_store_typeに設定します。デフォルトはJKSです。 - 証明書のエイリアスを
key_store_aliasに設定します。デフォルトはdoris_ssl_certificateです。
ステップ 4：FE を再起動する
設定を変更したら、FE ノードを再起動して設定を反映します。
設定パラメータ一覧
| パラメータ | デフォルト | 説明 |
|---|---|---|
enable_https | false | FE で HTTPS を有効にするかどうかを指定します。有効にするには true に設定します。 |
key_store_path | ${DORIS_HOME}/conf/ssl/doris_ssl_certificate.keystore | SSL 証明書ファイルのパスです。実際の保存場所と一致させる必要があります。 |
key_store_password | 空 | SSL 証明書のパスワードです。証明書の生成時に設定したパスワードと一致させる必要があります。 |
key_store_type | JKS | 証明書の種類です。実際の証明書の種類と一致させる必要があります。 |
key_store_alias | doris_ssl_certificate | 証明書のエイリアスです。証明書に定義されたエイリアスと一致させる必要があります。 |
よくある質問
Q：HTTPS を有効にすると FE が起動しません。
key_store_path が指すファイルが存在しないか、そのパスへのアクセス権が不足しています。証明書のパスが正しいこと、および FE プロセスにそのパスへの読み取り権限があることを確認してください。
Q：起動時に証明書の読み込みに失敗したというエラーが表示されます。
key_store_password、key_store_type、または key_store_alias が証明書の実際の情報と一致していません。証明書の生成時に使用したパスワード、種類、エイリアスを確認し、fe.conf の設定と一致させてください。
Q：ブラウザに証明書が信頼されていないという警告が表示されます。
自己署名証明書を使用しています。本番環境では CA が発行した証明書に切り替えるか、クライアント側でこの証明書を手動で信頼してください。
Q：設定を変更しても HTTPS が有効になりません。
FE を再起動していないか、一部の FE ノードでしか設定を変更していない可能性があります。すべての FE ノードで設定が一致していることを確認し、各ノードを再起動してください。