NiFi Registry的encrypt-config.sh未加密providers.xml中Remote Access Password，如何解决？

以下是几种可行的加密方案：

1. 使用系统环境变量替代明文密码 #

• 在providers.xml中，将密码字段替换为环境变量引用，示例：

  <property name="Remote Access Password">${GIT_REMOTE_PASSWORD}</property>
  

• 在NiFi Registry启动前，通过加密方式注入环境变量：
  • Linux/Unix：在启动脚本中通过解密命令获取密码并设置，比如export GIT_REMOTE_PASSWORD=$(openssl enc -d -aes-256-cbc -in encrypted_pass.txt -pass pass:your_key)
  • Windows：在启动批处理中调用本地解密工具，将结果设置为环境变量后启动NiFi Registry。

2. 利用Git原生凭证存储（推荐） #

• 完全不在providers.xml中配置密码，改用Git自带的凭证管理机制：
  • Linux/Unix：执行git config --global credential.helper store，Git会将凭证明文存储到~/.git-credentials，可配合文件系统加密保护该文件；或用git config --global credential.helper cache将凭证缓存到内存，重启后失效。
  • Windows：执行git config --global credential.helper wincred，让Git使用Windows凭据管理器存储密码，系统会自动加密管理。
  • 配置完成后，NiFi Registry调用Git时会自动读取凭证，无需在配置文件中暴露密码。

3. 自定义FlowPersistenceProvider扩展 #

• 基于NiFi Registry的扩展机制，编写自定义GitFlowPersistenceProvider实现：
  1. 在自定义类中添加密码解密逻辑，读取providers.xml中加密后的密码并还原。
  2. 将加密后的密码写入providers.xml，配置文件中引用自定义Provider类。
  3. 编译打包自定义扩展，放入NiFi Registry的lib目录，重启服务生效。

注意事项 #

• 所有方案的核心是确保加密密钥的安全存储，避免密钥与加密密码同目录存放。
• 生产环境优先选择Git凭证存储或环境变量+系统级加密的组合，减少自定义扩展带来的维护成本。

内容的提问来源于stack exchange，提问作者Evgeniy Skopintsev