AWS ALB证书更换场景下后端NIFI用户身份认证方案咨询

你描述的场景NiFi已经有原生适配机制，不需要更换负载均衡类型，按以下步骤配置即可实现正常的用户身份认证：

1. ALB侧前置配置 #

首先需要在ALB侧完成mTLS和请求头注入的配置：

• 为ALB的HTTPS监听器启用mTLS模式，上传你信任的客户端CA证书链，确保ALB可以完成客户端证书的合法性校验
• 配置监听器规则，将ALB校验通过的客户端证书信息注入自定义请求头，核心需要注入客户端证书主体DN到类似X-Client-Cert-Dn的自定义头中，也可按需补充X-Client-Cert-Serial、X-Client-Cert-Issuer等字段用于额外校验
• 配置ALB转发规则：所有客户端传入的和上述自定义头同名的请求头直接覆盖/丢弃，避免恶意用户伪造身份头绕过认证
• 确保ALB转发到NiFi节点时使用的服务器证书被NiFi的信任库信任，可以是内部私有CA签发的证书，只要NiFi信任其根证书即可

2. NiFi侧核心配置 #

NiFi原生支持信任代理的身份透传机制，只需要修改配置文件开启对应能力：

1. 编辑nifi.properties文件，调整以下参数：

# 启用x509证书认证能力
nifi.security.user.authorizer=managed-authorizer
nifi.security.needClientAuth=true
# 配置ALB的域名白名单，避免主机头攻击
nifi.web.proxy.host=<你的ALB访问域名，多域名用逗号分隔>
nifi.web.proxy.context.path=/nifi
# 指定提取真实用户身份的请求头，和ALB注入的自定义头名称一致
nifi.security.user.proxy.header=X-Client-Cert-Dn
# 配置信任的代理DN，此处填写ALB用来和NiFi建连的证书的完整主体DN，多个代理用逗号分隔
nifi.security.trusted.proxy.dn=<ALB证书的完整DN>

2. 若提取到的客户端DN格式和NiFi内部存储的用户身份格式存在差异，可在authorizers.xml中添加身份映射规则做格式转换
3. 重启所有NiFi节点让配置生效

运行逻辑说明 #

整套配置的运行流程和你预期的校验逻辑完全一致：

1. ALB收到客户端请求后首先完成mTLS握手，验证客户端证书有效性后解密请求
2. ALB将校验通过的客户端证书DN注入指定自定义请求头，用自身证书和NiFi建立HTTPS连接后转发请求
3. NiFi首先校验当前请求的客户端证书（即ALB的证书）的DN是否在nifi.security.trusted.proxy.dn信任列表中
4. 代理身份校验通过后，NiFi不再校验原始客户端证书，直接从指定请求头中提取真实用户DN完成后续权限校验

注意事项 #

• 必须确保ALB侧覆盖用户传入的同名自定义请求头，否则存在身份伪造风险
• nifi.security.trusted.proxy.dn配置的内容必须和ALB证书的主体DN完全一致，字符、标点、顺序都不能有差异，否则代理校验会直接失败
• 如果NiFi和ALB之间还有其他七层代理，需要将所有中间代理的证书DN都添加到信任代理列表中

内容的提问来源于stack exchange，提问作者dsollen