Sie lesen die Dokumentation zu Apigee Edge.
Sehen Sie sich die Apigee X-Dokumentation an. info
Ein Cloud-Kunde mit einem kostenpflichtigen Konto kann einen virtuellen Host in einer Organisation erstellen.
Weitere Informationen:
Wer kann virtuelle Hosts in der Cloud erstellen und ändern?
Das Erstellen und Ändern von virtuellen Hosts ist für kostenpflichtige Konten nur in Edge Cloud verfügbar. Der Nutzer, der den virtuellen Host erstellt, muss die Rolle Administrator der Organisation oder eine benutzerdefinierte Rolle mit Berechtigungen zum Ändern eines virtuellen Hosts haben. Nutzer mit anderen Rollen sind nicht berechtigt, virtuelle Hosts zu erstellen.
Zahlende Kunden haben beispielsweise folgende Möglichkeiten:
- Uni- und bidirektionale TLS-Verschlüsselung aktivieren
- Schlüsselspeicher/Truststore angeben, der vom virtuellen Host verwendet wird
Für kostenlose Konten und Testkonten können keine virtuellen Hosts erstellt oder geändert werden. Sie sind auf die virtuellen Hosts beschränkt, die bei der Edge-Registrierung für sie erstellt wurden. Weitere Informationen zu Edge-Preismodellen finden Sie unter https://apigee.com/api-management/#/pricing.
Voraussetzungen für die Konfiguration eines virtuellen Hosts für die Cloud
In der folgenden Tabelle sind die Anforderungen zum Erstellen eines virtuellen Hosts zusammengefasst:
| Kategorie | Anforderung | Beschreibung |
|---|---|---|
| Kontotyp | Kostenpflichtig | Für kostenlose Konten und Testkonten können keine virtuellen Hosts erstellt oder geändert werden. |
| Nutzerrolle | Organisationsadministrator | Nur ein Nutzer mit der Rolle „Organization Administrator“ oder ein Nutzer mit einer benutzerdefinierten Rolle, der zum Ändern eines virtuellen Hosts berechtigt ist, kann einen virtuellen Host erstellen. |
| Anzahl der virtuellen Hosts | Maximal 20 |
Sie sind auf maximal 20 virtuelle Hosts pro Organisation/Umgebung in der Cloud beschränkt. Hinweis: Die Anzahl der virtuellen Hosts in der Private Cloud ist nicht begrenzt. Die meisten Organisationen/Umgebungen verwenden zwei virtuelle Hosts: einen für den HTTP- und einen für den HTTPS-Zugriff. Möglicherweise benötigen Sie zusätzliche virtuelle Hosts, wenn Ihre Organisation oder Umgebung den Zugriff über verschiedene Domainnamen zulässt. |
| Basis-URL | Enthält das Protokoll | Wenn Sie die Basis-URL für den virtuellen Host entweder in der Benutzeroberfläche oder mit der API definieren, müssen Sie das Protokoll (z. B. „http://“ oder „https://“) als Teil der URL angeben. |
| Port | 443 |
Sie können einen virtuellen Host nur auf Port 443 erstellen. Sie können mehrere virtuelle Hosts auf Port 443 erstellen, solange sie eindeutige Hostaliasse haben und alle TLS unterstützen. |
| TLS | Erforderlich |
Sie können nur einen virtuellen Host erstellen, der TLS über HTTPS unterstützt. Sie müssen bereits einen Schlüsselspeicher und optional einen Truststore mit Ihrem TLS-Zertifikat und ‑Schlüssel erstellt haben. Sie benötigen ein Zertifikat, das von einer vertrauenswürdigen Zertifizierungsstelle wie Symantec oder VeriSign signiert wurde. Sie können kein selbst signiertes Zertifikat verwenden. Wenn Sie HTTP-Zugriff benötigen, wenden Sie sich an den Apigee Edge-Support. |
| TLS-Protokoll | TLS 1.2 |
Edge in the Cloud unterstützt nur die TLS-Version 1.2. |
| Host-Alias | Eindeutig in der Organisation und Umgebung | Der Hostalias existiert nicht für eine andere Kombination aus Organisation und Umgebung. |
| Domainname | Eigentümer ist der Kunde |
Sie müssen Inhaber des im virtuellen Host angegebenen Domainnamens sein. Edge prüft, ob der Domainname, wie vom Hostalias definiert, mit den Metadaten im TLS-Zertifikat übereinstimmt. Edge prüft insbesondere die folgenden Informationen im Zertifikat:
Platzhalter sind im SAN oder CN zulässig, z. B. Edge überprüft auch, ob das Zertifikat nicht abgelaufen ist. |
| SNI-Unterstützung für Clientanwendungen | Alle Client-Apps, die auf den virtuellen Host zugreifen, müssen SNI unterstützen. |
SNI-Unterstützung ist für alle Apps erforderlich. |
Virtuellen Host mit einem Browser erstellen
In den meisten Beispielen in diesem Abschnitt werden virtuelle Hosts mit der Edge API erstellt oder geändert. Sie können einen virtuellen Host aber auch in der Edge-Benutzeroberfläche erstellen.
So erstellen Sie einen virtuellen Host über die Edge-Benutzeroberfläche:
- Melden Sie sich unter apigee.com/edge an.
- Wählen Sie Verwaltung > Virtuelle Hosts aus.
- Wählen Sie die Umgebung aus, z. B. prod oder test.
- Wählen Sie + Virtueller Host aus, um einen virtuellen Host zu erstellen, oder den Namen eines vorhandenen virtuellen Hosts, um ihn zu bearbeiten.
- Ausführliche Informationen zum Ausfüllen der Felder für virtuelle Hosts finden Sie in der Tabelle oben.
Virtuellen Host für One-Way-TLS definieren
Ein XML-Objekt, das den virtuellen Host definiert. Im folgenden XML-Objekt wird beispielsweise ein virtueller Host für einseitige TLS-Verschlüsselung definiert:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>api.myCompany.com</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
</SSLInfo>
</VirtualHost>
In dieser Definition:
- Geben Sie als Name myTLSVHost an. Verwenden Sie den Namen, um in einem API-Proxy oder in einem API-Aufruf auf den virtuellen Host zu verweisen.
- Geben Sie den Hostalias als api.myCompany.com an. Dies ist die öffentlich zugängliche Domain, die gemäß einer DNS-Definition und einem CNAME-Eintrag für den Zugriff auf Ihre APIs verwendet wird.
- Geben Sie die Portnummer als 443 an. Wenn keine Angabe gemacht wird, wird der Port standardmäßig auf 443 gesetzt.
- Aktivieren Sie nach Bedarf TLS.
Das Element<Enable>ist auf „true“ gesetzt, um One-Way-TLS zu aktivieren. Die Elemente und<KeyStore>geben den Schlüsselspeicher und den Schlüsselalias an, der von der TLS-Verbindung verwendet wird.
Zum Aktivieren von Zwei-Wege-TLS setzen Sie<ClientAuthEnabled>auf „true“ und geben mit dem Element<TrustStore>einen Truststore an. Der Truststore enthält den Aussteller des Clientzertifikats und die Zertifizierungsstellenkette des Zertifikats, die erforderlich ist.
Hinweis:Da Edge ursprünglich SSL unterstützte, heißt das Tag, mit dem Sie TLS konfigurieren,<SSLInfo>.
Beachten Sie, dass es zusätzliche Eigenschaften gibt, die Sie im virtuellen Host festlegen können. Eine Referenz zu allen Properties finden Sie in der Referenz zu Properties für virtuelle Hosts.
Festlegen, wie der Name des Schlüsselspeichers und des Truststores im virtuellen Host angegeben werden soll
Wenn Sie einen virtuellen Host für die Unterstützung von TLS konfigurieren, geben Sie einen Schlüsselspeicher mit einer Referenz an. Ein Verweis ist eine Variable, die den Namen des Schlüsselspeichers oder Truststore enthält, statt den jeweiligen Namen direkt anzugeben, wie unten dargestellt:
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
</SSLInfo>
Der Vorteil der Verwendung einer Referenz besteht darin, dass Sie den Wert der Referenz ändern können, um den vom virtuellen Host verwendeten Schlüsselspeicher zu ändern. Dies ist in der Regel darauf zurückzuführen, dass das Zertifikat im aktuellen Schlüsselspeicher in naher Zukunft abläuft. Sie müssen den Edge-Router nicht neu starten, um den Wert der Referenz zu ändern. Weitere Informationen zum Erstellen und Ändern von Referenzen finden Sie unter Mit Referenzen arbeiten.
Sie können nur einen Verweis auf den Schlüsselspeicher und Truststore verwenden. Sie können keinen Verweis auf den Alias verwenden. Wenn Sie den Verweis auf einen Schlüsselspeicher ändern, achten Sie darauf, dass der Aliasname des Zertifikats mit dem alten Schlüsselspeicher identisch ist.
Einschränkungen bei der Verwendung von Verweisen auf Schlüsselspeicher und Truststore
Beachten Sie bei der Verwendung von Verweisen auf Schlüsselspeicher und Truststores die folgende Einschränkung:
- Sie können Schlüsselspeicher- und Truststore-Verweise nur auf virtuellen Hosts verwenden, wenn Sie SNI unterstützen und SSL auf den Apigee-Routern beenden.
- Wenn Sie einen Load Balancer vor den Apigee-Routern haben und die TLS auf dem Load Balancer beenden, können Sie keine Schlüsselspeicher- und Truststore-Verweise in virtuellen Hosts verwenden.
Virtuellen Host für bidirektionale TLS-Verschlüsselung definieren
Wenn Sie die bidirektionale TLS nutzen möchten, müssen Sie das Element <ClientAuthEnabled> dennoch auf true festlegen und einen Truststore angeben. Nutzen Sie dazu einen Verweis mit dem Element <TrustStore>. Der Truststore enthält den Zertifikatsaussteller des Clients und die erforderliche CA-Kette des Zertifikats. Außerdem muss der Client für die bidirektionale TLS-Kommunikation richtig konfiguriert sein.
Wenn Sie einen virtuellen Host für die beidseitige TLS-Verschlüsselung erstellen möchten, erstellen Sie ein XML-Objekt, das den virtuellen Host definiert:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>api.myCompany.com</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>true</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
<TrustStore>ref://myTestTruststoreRef</TrustStore>
</SSLInfo>
</VirtualHost>
In dieser Definition:
- Aktivieren Sie bidirektionale TLS, indem Sie
<ClientAuthEnabled>auf „true“ setzen. - Geben Sie den Verweis auf den Truststore mit dem Element
<TrustStore>an. Der Truststore enthält den Aussteller des Clientzertifikats und die Zertifizierungsstellenkette des Zertifikats, die erforderlich ist.
Virtuellen Host definieren, der das Zertifikat und den Schlüssel der kostenlosen Apigee-Testversion verwendet
Wenn Sie ein kostenpflichtiges Edge for Cloud-Konto haben und noch kein TLS-Zertifikat und -Schlüssel haben, können Sie einen virtuellen Host erstellen, der das Apigee-Nutzungszertifikat und den Schlüssel verwendet. Das bedeutet, dass Sie den virtuellen Host erstellen können, ohne zuvor einen Schlüsselspeicher zu erstellen.
Das kostenlose Apigee-Testzertifikat ist für eine Domain von *.apigee.net definiert. Daher muss auch die <HostAlias> des virtuellen Hosts das Format *.apigee.net haben.
Wenn Sie Zwei-Wege-TLS verwenden, müssen Sie das Element <ClientAuthEnabled> trotzdem auf true setzen und einen Truststore mithilfe einer Referenz mit dem Element <TrustStore> angeben, wie oben unter Virtuellen Host für Zwei-Wege-TLS definieren beschrieben.
Ein XML-Objekt, das den virtuellen Host mit dem Apigee Freetrial-Zertifikat und dem entsprechenden Schlüssel definiert, übergeht die Elemente <KeyStore> und <KeyAlias> und ersetzt sie durch das Element <UseBuiltInFreeTrialCert>, wie unten dargestellt:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>myapi.apigee.net</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
</SSLInfo>
<UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>
Der Standardwert des Elements <UseBuiltInFreeTrialCert> ist „false“.
Definieren Sie für Zwei-Wege-TLS den virtuellen Host so:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>myapi.apigee.net</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>true</ClientAuthEnabled>
<TrustStore>ref://myTestTruststoreRef</TrustStore>
</SSLInfo>
<UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>
Wählen Sie in der Edge-Benutzeroberfläche beim Erstellen des virtuellen Hosts die Option Integriertes Zertifikat für kostenlosen Testzeitraum verwenden aus, um das kostenlose Apigee-Zertifikat und den Schlüssel zu verwenden:
Virtuellen Host erstellen
Gehen Sie wie folgt vor, um den virtuellen Host zu erstellen:
- Erstellen Sie einen DNS-Eintrag und einen CNAME-Eintrag für Ihre öffentlich zugängliche Domain, in diesem Beispiel
api.myCompany.com, der auf[org]-[environment].apigee.netverweist. - Erstellen und konfigurieren Sie einen Schlüsselspeicher mit dem Namen myTestKeystore. Gehen Sie dazu so vor: Schlüsselspeicher und Truststore mit der Edge-Benutzeroberfläche erstellen. Achten Sie in diesem Beispiel darauf, dass der Schlüsselspeicher für das Zertifikat und den privaten Schlüssel den Aliasnamen myKeyAlias verwendet.
- Laden Sie Ihr Zertifikat und Ihren Schlüssel in den Schlüsselspeicher hoch. Achten Sie darauf, dass der in Ihrem Zertifikat angegebene Domainname mit dem Host-Alias übereinstimmt, den Sie für den virtuellen Host verwenden möchten.
-
Erstellen Sie mit der Edge-Benutzeroberfläche oder API einen Verweis auf den Schlüsselspeicher. Die Referenz gibt den Namen des Schlüsselspeichers und den Referenztyp
KeyStorean. Weitere Informationen zum Erstellen und Ändern von Referenzen finden Sie unter Mit Referenzen arbeiten. - Erstellen Sie den virtuellen Host mit der API Virtuellen Host erstellen. Geben Sie die richtige Schlüsselspeicherreferenz und den richtigen Schlüsselalias an.
Verwenden Sie den folgenden POST API-Aufruf, um den Schlüsselspeicher mit dem Namen myTLSVHost zu erstellen:
curl -X POST -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>false</ClientAuthEnabled> <KeyStore>ref://myTestKeystoreRef</KeyStore> <KeyAlias>myKeyAlias</KeyAlias> </SSLInfo> </VirtualHost>' \ -u orgAdminEmail:passwordWenn Sie die bidirektionale TLS mit dem Client nutzen, setzen Sie
<ClientAuthEnabled>auf „wahr“ und geben Sie den Truststore mit dem Element<TrustStore>an. Der Client muss für die bidirektionale TLS-Verschlüsselung richtig konfiguriert sein. Das bedeutet, dass Edge einen Truststore mit dem Zertifikataussteller und der Zertifikatskette des Clients hat. Erstellen Sie den Truststore mithilfe der hier beschriebenen Methode: Keystore und Truststore mit der Edge-Benutzeroberfläche erstellen. Wenn Sie bereits API-Proxys haben, fügen Sie den virtuellen Host dem
<HTTPConnection>-Element im ProxyEndpoint hinzu. Der virtuelle Host wird allen neuen API-Proxys automatisch hinzugefügt. Weitere Informationen finden Sie unter API-Proxy für die Verwendung eines virtuellen Hosts konfigurieren.
Nachdem Sie einen API-Proxy so aktualisiert haben, dass er den virtuellen Host verwendet, und den DNS-Eintrag und den CNAME-Eintrag für den Hostalias erstellt haben, können Sie wie unten gezeigt auf den API-Proxy zugreifen:
https://api.myCompany.com/v1/{project-base-path}/{resource-path}
Beispiel:
https://api.myCompany.com/v1/weather/forecastrss?w=12797282
Virtuellen Host ändern
Es gibt zwei Hauptaufgaben, die kostenpflichtige Cloud-Kunden ausführen müssen, um einen vorhandenen virtuellen Host zu ändern:
- Ändern des Werts eines Verweises auf einen Schlüsselspeicher oder Truststore
Hinweis: Nachdem Sie eine<KeyStore>oder<TrustStore>so festgelegt haben, dass eine Referenz verwendet wird, können Sie den Wert der Referenz jederzeit ändern. Wenn Sie jedoch<KeyStore>oder<TrustStore>in eine andere Referenz ändern oder<KeyAlias>in einen anderen Alias ändern möchten, müssen Sie sich an den Apigee Edge-Support wenden. - TLS-Eigenschaften des virtuellen Hosts ändern
Wert eines Verweises ändern
Sie können den Wert eines Verweises ändern, um den Schlüsselspeicher oder Truststore zu ändern, der von einem virtuellen Host verwendet wird.
Bevor Sie den Wert der Referenz ändern, sollten Sie Folgendes beachten:
- Erstellen Sie einen neuen Schlüsselspeicher und laden Sie ein Zertifikat und einen Schlüssel hoch, wie unter Schlüsselspeicher und Truststore über die Edge-Benutzeroberfläche erstellen beschrieben. Achten Sie darauf, im neuen Schlüsselspeicher für den Schlüsselalias denselben Namen zu verwenden wie im vorhandenen Schlüsselspeicher.
- Erstellen Sie bei Bedarf einen neuen Truststore und laden Sie ein Zertifikat hoch, wie unter Schlüsselspeicher und Truststore mit der Edge-Benutzeroberfläche erstellen beschrieben.
- Ändern Sie den Verweis wie unter Mit Verweisen arbeiten beschrieben.
TLS-Eigenschaften des virtuellen Hosts ändern
Kostenpflichtige Kunden können die API Virtuellen Host aktualisieren verwenden, um einen virtuellen Host zu aktualisieren. Mit dieser API können Sie alle Attribute für den virtuellen Host festlegen, der unter Referenz zu Attributen für virtuelle Hosts beschrieben wird.
Wenn Sie den virtuellen Host ändern, führt Edge eine Validierung durch, die dem Erstellen eines virtuellen Hosts ähnelt. Das bedeutet, dass Edge bei einer Änderung Folgendes prüft:
- Die vom Host-Alias angegebene Domain wird nicht in einer anderen Organisation und Umgebung verwendet.
- Sie sind Inhaber des Domainnamens. Edge prüft insbesondere, ob die folgenden Informationen im Zertifikat mit dem Alias des Hosts übereinstimmen:
- CN – Common Name
- SAN – Subject Alternative Name
- Edge prüft, ob das Zertifikat nicht abgelaufen ist.
Führen Sie die folgenden Schritte aus, um einen virtuellen Host mithilfe der Edge API zu ändern:
Aktualisieren Sie den virtuellen Host mithilfe der API Virtuellen Host aktualisieren. Wenn Sie die API verwenden, müssen Sie im Anfragetext die vollständige Definition des virtuellen Hosts angeben und nicht nur die Elemente, die Sie ändern möchten. In diesem Beispiel legen Sie den Wert der Property
proxy_read_timeoutfest:curl -X PUT -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>false</ClientAuthEnabled> <KeyStore>ref://myTestKeystoreRef</KeyStore> <KeyAlias>myKeyAlias</KeyAlias> </SSLInfo> <Properties> <Property name="proxy_read_timeout">50</Property> </Properties> </VirtualHost>' \ -u orgAdminEmail:password
Virtuellen Host so ändern, dass Verweise auf den Schlüsselspeicher und den Truststore verwendet werden
Alle neuen virtuellen Hosts für Edge in der Cloud verwenden einen Verweis auf den Schlüsselspeicher und den Truststore. Mithilfe von Verweisen können Sie den Schlüsselspeicher und den Truststore ändern, ohne sich an den Apigee Edge-Support wenden zu müssen.
Ältere virtuelle Hosts in Apigee Edge sind möglicherweise nicht für die Verwendung von Verweisen auf Schlüsselspeicher und Truststores konfiguriert. In diesem Fall können Sie den virtuellen Host so aktualisieren, dass er Verweise verwendet.
Virtuellen Host so aktualisieren, dass er Verweise verwendet
Führen Sie die folgenden Schritte aus, um den virtuellen Host zu aktualisieren:
- Erstellen Sie bei Bedarf einen neuen Schlüsselspeicher und laden Sie ein Zertifikat hoch, wie unter Schlüsselspeicher und Truststore über die Edge-Benutzeroberfläche erstellen beschrieben. Wenn du bereits einen Schlüsselspeicher hast, kannst du einen Verweis konfigurieren, der darauf verweist.
- Erstellen Sie eine neue Referenz zum Schlüsselspeicher.
- Erstellen Sie bei Bedarf einen neuen Truststore und laden Sie ein Zertifikat hoch. Wenn Sie bereits einen Truststore haben, können Sie eine Referenz darauf konfigurieren.
- Erstellen Sie einen neuen Verweis auf den Truststore.
- Aktualisieren Sie den virtuellen Host, um den Keystore, Alias, Truststore und andere TLS-Attribute festzulegen. Die Nutzlast für den Aufruf lautet:
curl -X PUT -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <OCSPStapling>off</OCSPStapling> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>true</ClientAuthEnabled> <KeyStore>ref://myKeyStore2Way</KeyStore> <KeyAlias>keyAlias</KeyAlias> <TrustStore>ref://myTrustStore2Way</TrustStore> <IgnoreValidationErrors>false</IgnoreValidationErrors> </SSLInfo> </VirtualHost>' \ -u orgAdminEmail:pWord - Wenden Sie sich an den Apigee-Support, um die Edge Router neu zu starten und den Prozess abzuschließen.