Activer le TLS pour les connexions sécurisées¶

Lorsque vous opérez dans un environnement de production, il est fortement recommandé d’activer la sécurité de couche de transport (TLS) pour chaque composant de Flower afin d’assurer une communication sécurisée.

Note

Pour des fins de test, vous pouvez générer vos propres certificats auto-signés. La page Enable SSL connections contient une section qui vous guidera à travers le processus.

Note

Lorsque vous travaillez avec Docker sur Linux, il peut être nécessaire de changer la propriété du répertoire contenant les certificats pour s’assurer d’un accès et des permissions corrects.

Par défaut, les conteneurs Flower s’exécutent avec un utilisateur non-root app. Les fichiers et dossiers montés doivent avoir les permissions appropriées pour l’ID d’utilisateur 49999.

Par exemple, pour changer l’ID d’utilisateur de tous les fichiers dans le dossier certificates/, vous pouvez exécuter sudo chown -R 49999:49999 certificates/*.

Si vous souhaitez plus tard supprimer le répertoire, vous pouvez changer l’ID d’utilisateur en cours à l’aide de sudo chown -R $USER:$(id -gn) certificates.

Isolation Mode subprocess

Par défaut, l’application ServerApp est exécutée en tant que sous-processus dans le conteneur Docker SuperLink, et l’application ClientApp est lancée en tant que sous-processus dans le conteneur Docker SuperNode. Vous pouvez en savoir plus sur les différents modes de processus ici : Exécuter ServerApp ou ClientApp en tant que Sous-Processus.

Pour activer TLS entre SuperLink et SuperNode, ainsi que entre SuperLink et flwr CLI, vous aurez besoin d’un certificat racine PEM codé, clé privée et chaîne de certificats.

SuperLink

En supposant que tous les fichiers dont nous avons besoin se trouvent dans le dossier local superlink-certificates, nous pouvons utiliser la bannière --volume pour monter les dossiers locaux dans le conteneur SuperLink:

$ docker run --rm \
    --volume ./superlink-certificates/:/app/certificates/:ro \
    <superlink-image> \
    --ssl-ca-certfile certificates/ca.crt \
    --ssl-certfile certificates/server.pem \
    --ssl-keyfile certificates/server.key \
    <additional-args>

SuperNode

Note

Si vous génez des certificats auto-signés et que le fichier ca.crt n’existe pas sur le SuperNode, vous pouvez le copier après l’étape de génération.

$ docker run --rm \
    --volume ./superlink-certificates/ca.crt:/app/ca.crt/:ro \
    <supernode-image> \
    --root-certificates ca.crt \
    <additional-args>

Mode d’isolement process

En mode d’isolement process, l’application ServerApp et ClientApp s’exécutent dans leurs propres processus. Contrairement au mode d’isolement subprocess, le SuperLink ou SuperNode ne tente pas de créer les processus respectifs; au lieu de cela, ils doivent être créés à l’extérieur.

Il est possible de lancer uniquement le SuperLink en mode d’isolement subprocess et le SuperNode en mode d’isolement process, ou vice versa, ou même les deux avec un mode d’isolement process.

SuperLink et ServerApp

Pour activer TLS entre SuperLink et SuperNode, ainsi que entre SuperLink et flwr CLI, vous aurez besoin d’un certificat racine PEM codé, clé privée et chaîne de certificats.

En supposant que tous les fichiers dont nous avons besoin se trouvent dans le répertoire local superlink-certificates, nous pouvons utiliser la flague --volume pour monter le répertoire local dans le conteneur SuperLink:

$ docker run --rm \
    --volume ./superlink-certificates/:/app/certificates/:ro \
    flwr/superlink:1.31.0 \
    --ssl-ca-certfile certificates/ca.crt \
    --ssl-certfile certificates/server.pem \
    --ssl-keyfile certificates/server.key \
    --isolation process \
    <additional-args>

Lancer le conteneur ServerApp :

$ docker run --rm \
    <serverapp-image> \
    --insecure \
    <additional-args>

SuperNode et ClientApp

Note

Si vous génez des certificats auto-signés et que le fichier ca.crt n’existe pas sur le SuperNode, vous pouvez le copier après l’étape de génération.

Lancez le conteneur SuperNode :

$ docker run --rm \
    --volume ./superlink-certificates/ca.crt:/app/ca.crt/:ro \
    flwr/supernode:1.31.0 \
    --root-certificates ca.crt \
    --isolation process \
    <additional-args>

Lancez le conteneur ClientApp :

$ docker run --rm \
    <clientapp-image> \
    --insecure \
    <additional-args>

Localisez le fichier de configuration Flower TOML sur votre machine.

$ flwr config list

Flower Config file: /path/to/.flwr/config.toml
SuperLink connections:
  supergrid
  local (default)

Ajoutez les lignes suivantes à la fin du fichier config.toml pour ajouter une nouvelle connexion SuperLink et la sauvegarder:

config.toml¶

[superlink.local-deployment-tls]
address = "127.0.0.1:9093"
root-certificates = "/absolute/path/to/superlink-certificates/ca.crt"

Note

Vous pouvez personnaliser la chaîne qui suit superlink. pour répondre à vos besoins. Cependant, veuillez noter que la chaîne ne peut pas contenir un point (.).

Dans cet exemple, local-deployment a été utilisé. N’oubliez simplement de remplacer local-deployment par votre nom choisi dans les deux chaînes superlink. et le commande correspondant flwr run .. Référez-vous au Flower Configuration pour plus d’informations.