Sie sehen die Dokumentation zu Apigee Edge.
Zur Apigee X-Dokumentation weitere Informationen
Ein Cloud-Kunde mit einem kostenpflichtigen Konto kann einen virtuellen Host in einer Organisation erstellen.
Weitere Informationen:
Wer kann virtuelle Hosts in der Cloud erstellen und ändern?
Das Erstellen und Ändern virtueller Hosts ist für kostenpflichtige Konten nur in Edge Cloud verfügbar. Der Nutzer, der den virtuellen Host erstellt, muss die Rolle Organisationsadministrator oder eine benutzerdefinierte Rolle mit Berechtigungen zum Ändern eines virtuellen Hosts haben. Nutzer mit anderen Rollen sind nicht zum Erstellen virtueller Hosts autorisiert.
Zahlende Kunden haben beispielsweise folgende Möglichkeiten:
- One-Way- und Zwei-Wege-TLS aktivieren
- Geben Sie den vom virtuellen Host verwendeten Schlüsselspeicher/Truststore an
Mit kostenlosen und Testkonten können keine virtuellen Hosts erstellt oder geändert werden. Sie sind auf die virtuellen Hosts beschränkt, die bei der Edge-Registrierung für sie erstellt wurden. Weitere Informationen zu Edge-Preismodellen finden Sie unter https://apigee.com/api-management/#/pricing.
Voraussetzungen für die Konfiguration eines virtuellen Hosts für die Cloud
In der folgenden Tabelle sind die Anforderungen zum Erstellen eines virtuellen Hosts zusammengefasst:
| Kategorie | Anforderung | Beschreibung |
|---|---|---|
| Kontotyp | Kostenpflichtig | Mit kostenlosen und Testkonten können keine virtuellen Hosts erstellt oder geändert werden. |
| Nutzerrolle | Organisationsadministrator | Nur ein Organisationsadministrator kann einen virtuellen Host erstellen oder ein Nutzer in einer benutzerdefinierten Rolle, die Berechtigungen zum Ändern eines virtuellen Hosts hat. |
| Anzahl virtueller Hosts | Maximal 20 |
Pro Organisation/Umgebung in der Cloud gilt eine Beschränkung von maximal 20 virtuellen Hosts. Hinweis: Die Anzahl der virtuellen Hosts in der Private Cloud ist nicht begrenzt. Die meisten Organisationen/Umgebungen verwenden zwei virtuelle Hosts: einen für HTTP- und einen für HTTPS-Zugriff. Sie benötigen möglicherweise zusätzliche virtuelle Hosts, wenn Ihre Organisation/Umgebung den Zugriff mit anderen Domainnamen zulässt. |
| Basis-URL | Enthält das Protokoll | Wenn Sie die Basis-URL für den virtuellen Host entweder in der Benutzeroberfläche oder mit der API definieren, müssen Sie das Protokoll (d. h. „http://“ oder „https://“) als Teil der URL angeben. |
| Port | 443 |
Sie können einen virtuellen Host nur an Port 443 erstellen. Sie können mehrere virtuelle Hosts an Port 443 erstellen, solange diese eindeutige Hostaliasse haben und alle TLS unterstützen. |
| TLS | Erforderlich |
Sie können nur einen virtuellen Host erstellen, der TLS über HTTPS unterstützt. Sie müssen bereits einen Schlüsselspeicher und optional einen Truststore erstellt haben, der Ihr TLS-Zertifikat und den TLS-Schlüssel enthält. Sie müssen ein Zertifikat haben, das von einer vertrauenswürdigen Entität wie Symantec oder VeriSign signiert wurde. Sie können kein selbst signiertes Zertifikat verwenden. Wenn Sie HTTP-Zugriff benötigen, wenden Sie sich an den Apigee Edge-Support. |
| TLS-Protokoll | TLS 1.2 |
Edge in der Cloud unterstützt nur TLS Version 1.2. |
| Host alias | In der Organisation und Umgebung einzigartig | Der Hostalias ist für eine andere Kombination aus Organisation und Umgebung nicht vorhanden. |
| Domainname | Gehört dem Kunden |
Sie müssen Inhaber des im virtuellen Host angegebenen Domainnamens sein. Edge prüft, ob der im Hostalias definierte Domainname mit den Metadaten im TLS-Zertifikat übereinstimmt. Edge prüft insbesondere die folgenden Informationen im Zertifikat:
Platzhalter sind im SAN oder CN zulässig, z. B. Edge validiert auch, dass das Zertifikat nicht abgelaufen ist. |
| SNI-Unterstützung für Client-App | Alle Clientanwendungen, die auf den virtuellen Host zugreifen, müssen SNI unterstützen. |
SNI-Unterstützung ist für alle Apps erforderlich. |
Virtuellen Host mit einem Browser erstellen
In den meisten Beispielen in diesem Abschnitt wird die Edge API verwendet, um virtuelle Hosts zu erstellen oder zu ändern. Sie können jedoch einen virtuellen Host in der Edge-Benutzeroberfläche erstellen.
So erstellen Sie einen virtuellen Host mithilfe der Edge-Benutzeroberfläche:
- Melden Sie sich unter apigee.com/edge an.
- Wählen Sie Admin > Virtuelle Hosts aus.
- Wählen Sie die Umgebung aus, z. B. prod oder test.
- Wählen Sie + Virtueller Host aus, um einen virtuellen Host zu erstellen, oder wählen Sie den Namen eines vorhandenen virtuellen Hosts aus, um ihn zu bearbeiten.
- Ausführliche Informationen zum Ausfüllen der Felder für den virtuellen Host finden Sie in der obigen Tabelle.
Virtuellen Host für One-Way-TLS definieren
Ein XML-Objekt, das den virtuellen Host definiert. Das folgende XML-Objekt definiert beispielsweise einen virtuellen Host für One-Way-TLS:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>api.myCompany.com</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
</SSLInfo>
</VirtualHost>
In dieser Definition tun Sie Folgendes:
- Geben Sie als Name myTLSVHost an. Verwenden Sie den Namen, um auf den virtuellen Host in einem API-Proxy oder in einem API-Aufruf zu verweisen.
- Geben Sie als Hostalias api.myCompany.com an. Dies ist die öffentlich zugängliche Domain, die gemäß der DNS-Definition und dem CNAME-Eintrag für den Zugriff auf Ihre APIs verwendet wird.
- Geben Sie die port-Nummer als 443 an. Wenn keine Angabe gemacht wird, wird der Port standardmäßig auf 443 festgelegt.
- Aktivieren Sie TLS nach Bedarf.
Das Element<Enable>wird auf „true“ gesetzt, um One-Way-TLS zu aktivieren. Die Elemente und<KeyStore>geben den Schlüsselspeicher und den Schlüsselalias an, der von der TLS-Verbindung verwendet wird.
Zum Aktivieren von Zwei-Wege-TLS setzen Sie<ClientAuthEnabled>auf „true“ und geben Sie mit dem Element<TrustStore>einen Truststore an. Der Truststore enthält den Zertifikatsaussteller des Clients und die erforderliche CA-Kette des Zertifikats.
Hinweis: Da Edge SSL ursprünglich unterstützt hat, heißt das Tag, mit dem Sie TLS konfigurieren,<SSLInfo>.
Beachten Sie, dass es zusätzliche Eigenschaften gibt, die Sie im virtuellen Host festlegen können. Eine Referenz für alle Attribute finden Sie unter Referenz zu virtuellen Hostattributen.
Festlegen, wie der Schlüsselspeicher- und Truststore-Name im virtuellen Host angegeben werden
Wenn Sie einen virtuellen Host für die Unterstützung von TLS konfigurieren, geben Sie mithilfe einer Referenz einen Schlüsselspeicher an. Ein Verweis ist eine Variable, die den Namen des Schlüsselspeichers oder Truststores enthält, anstatt den Namen des Schlüsselspeichers oder Truststores wie unten dargestellt direkt anzugeben:
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
</SSLInfo>
Der Vorteil eines Verweises besteht darin, dass Sie den Wert des Verweises ändern können, um den vom virtuellen Host verwendeten Schlüsselspeicher zu ändern. Dies liegt normalerweise daran, dass das Zertifikat im aktuellen Schlüsselspeicher in naher Zukunft abläuft. Zum Ändern des Referenzwerts müssen Sie den Edge Router nicht neu starten. Weitere Informationen zum Erstellen und Ändern von Referenzen finden Sie unter Mit Referenzen arbeiten.
Sie können nur einen Verweis auf den Schlüsselspeicher und Truststore verwenden. Sie können keinen Verweis auf den Alias verwenden. Wenn Sie den Verweis auf einen Schlüsselspeicher ändern, achten Sie darauf, dass der Aliasname des Zertifikats mit dem alten Schlüsselspeicher identisch ist.
Einschränkungen bei der Verwendung von Verweisen auf Schlüsselspeicher und Truststore
Beachten Sie die folgende Einschränkung, wenn Sie Verweise auf Schlüsselspeicher und Truststores verwenden:
- Sie können Schlüsselspeicher- und Truststore-Referenzen nur in virtuellen Hosts verwenden, wenn Sie SNI unterstützen und SSL auf den Apigee-Routern beenden.
- Wenn sich vor den Apigee-Routern ein Load-Balancer befindet und Sie TLS auf dem Load-Balancer beenden, können Sie keine Keystore- und Truststore-Verweise in virtuellen Hosts verwenden.
Virtuellen Host für Zwei-Wege-TLS definieren
Legen Sie zum Aktivieren von Zwei-Wege-TLS das Element <ClientAuthEnabled> auf true fest und geben Sie einen Truststore an. Verwenden Sie dazu eine Referenz mit dem Element <TrustStore>. Der Truststore enthält den Zertifikatsaussteller des Clients und die erforderliche CA-Kette des Zertifikats. Außerdem muss der Client richtig für die Zwei-Wege-TLS-Konfiguration konfiguriert sein.
Um einen virtuellen Host für Zwei-Wege-TLS zu erstellen, erstellen Sie ein XML-Objekt, das den virtuellen Host definiert:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>api.myCompany.com</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>true</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
<TrustStore>ref://myTestTruststoreRef</TrustStore>
</SSLInfo>
</VirtualHost>
In dieser Definition tun Sie Folgendes:
- Aktivieren Sie die Zwei-Wege-TLS-Funktion, indem Sie
<ClientAuthEnabled>auf „true“ setzen. - Geben Sie den Verweis auf den Truststore mit dem Element
<TrustStore>an. Der Truststore enthält den Zertifikatsaussteller des Clients und die erforderliche CA-Kette des Zertifikats.
Virtuellen Host definieren, der das Zertifikat und den Schlüssel für die kostenlose Apigee-Testversion verwendet
Wenn Sie ein kostenpflichtiges Edge for Cloud-Konto und noch kein TLS-Zertifikat und keinen TLS-Schlüssel haben, können Sie einen virtuellen Host erstellen, der das Zertifikat und den Schlüssel für die kostenlose Apigee-Testversion verwendet. Das bedeutet, dass Sie den virtuellen Host erstellen können, ohne zuvor einen Schlüsselspeicher zu erstellen.
Das kostenlose Apigee-Testzertifikat ist für eine Domain von *.apigee.net definiert. Daher muss der <HostAlias> des virtuellen Hosts ebenfalls das Format *.apigee.net haben.
Wenn Sie Zwei-Wege-TLS verwenden, müssen Sie trotzdem das Element <ClientAuthEnabled> auf true setzen und einen Truststore angeben. Verwenden Sie dazu einen Verweis mit dem Element <TrustStore>, wie oben unter Virtuellen Host für Zwei-Wege-TLS beschrieben.
Ein XML-Objekt, das den virtuellen Host mithilfe des kostenlosen Testzertifikats und des Schlüssels von Apigee definiert, lässt die Elemente <KeyStore> und <KeyAlias> weg und ersetzt sie wie unten dargestellt durch das Element <UseBuiltInFreeTrialCert>:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>myapi.apigee.net</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
</SSLInfo>
<UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>
Der Standardwert des <UseBuiltInFreeTrialCert>-Elements ist „false“.
Definieren Sie für Zwei-Wege-TLS den virtuellen Host so:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>myapi.apigee.net</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>true</ClientAuthEnabled>
<TrustStore>ref://myTestTruststoreRef</TrustStore>
</SSLInfo>
<UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>
Wählen Sie in der Edge-Benutzeroberfläche die Option Integriertes kostenloses Testzertifikat verwenden aus, wenn Sie den virtuellen Host erstellen, um das kostenlose Apigee-Zertifikat und den kostenlosen Apigee-Schlüssel zu verwenden:
Virtuellen Host erstellen
So erstellen Sie den virtuellen Host:
- Erstellen Sie einen DNS-Eintrag und einen CNAME-Eintrag für die öffentlich zugängliche Domain (in diesem Beispiel
api.myCompany.com), die auf[org]-[environment].apigee.netverweisen. - Erstellen und konfigurieren Sie einen Schlüsselspeicher, in diesem Beispiel myTestKeystore, indem Sie das hier beschriebene Verfahren verwenden: Schlüsselspeicher und Truststore mithilfe der Edge-Benutzeroberfläche erstellen. Achten Sie in diesem Beispiel darauf, dass der Schlüsselspeicher für das Zertifikat und den privaten Schlüssel den Aliasnamen myKeyAlias verwendet.
- Laden Sie Ihr Zertifikat und Ihren Schlüssel in den Schlüsselspeicher hoch. Achten Sie darauf, dass der in Ihrem Zertifikat angegebene Domainname mit dem Hostalias übereinstimmt, den Sie für den virtuellen Host verwenden möchten.
-
Erstellen Sie mithilfe der Edge-Benutzeroberfläche oder der API einen Verweis auf den Schlüsselspeicher. Der Verweis gibt den Namen des Schlüsselspeichers und den Referenztyp als
KeyStorean. Weitere Informationen zum Erstellen und Ändern von Referenzen finden Sie unter Mit Referenzen arbeiten. - Erstellen Sie den virtuellen Host mit der Create a Virtual Host API. Achten Sie darauf, die richtige Schlüsselspeicherreferenz und Schlüsselalias anzugeben.
Erstellen Sie mit dem folgenden POST API-Aufruf den Schlüsselspeicher myTLSVHost, um die API zu verwenden:
curl -X POST -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>false</ClientAuthEnabled> <KeyStore>ref://myTestKeystoreRef</KeyStore> <KeyAlias>myKeyAlias</KeyAlias> </SSLInfo> </VirtualHost>' \ -u orgAdminEmail:passwordWenn Sie Zwei-Wege-TLS mit dem Client ausführen, setzen Sie
<ClientAuthEnabled>auf „true“ und geben Sie den Truststore mit dem Element<TrustStore>an. Der Client muss für Zwei-Wege-TLS korrekt konfiguriert sein. Das bedeutet, dass Edge einen Truststore hat, der den Zertifikataussteller und die Zertifikatskette des Clients enthält. Erstellen Sie den Truststore anhand des hier beschriebenen Verfahrens: Schlüsselspeicher und Truststore mithilfe der Edge-Benutzeroberfläche erstellen. Wenn Sie bereits API-Proxys haben, fügen Sie den virtuellen Host dem
<HTTPConnection>-Element im ProxyEndpoint hinzu. Der virtuelle Host wird automatisch allen neuen API-Proxys hinzugefügt. Weitere Informationen finden Sie unter API-Proxy für die Verwendung eines virtuellen Hosts konfigurieren.
Nachdem Sie einen API-Proxy aktualisiert, um den virtuellen Host zu verwenden, und den DNS-Eintrag und den CNAME-Eintrag für den Host-Alias erstellt haben, können Sie wie unten dargestellt auf den API-Proxy zugreifen:
https://api.myCompany.com/v1/{project-base-path}/{resource-path}
Beispiel:
https://api.myCompany.com/v1/weather/forecastrss?w=12797282
Virtuellen Host ändern
Es gibt zwei Hauptaufgaben, die bezahlte Cloud-Kunden ausführen, um einen vorhandenen virtuellen Host zu ändern:
- Wert eines Verweises auf einen Schlüsselspeicher oder Truststore ändern
Hinweis: Nachdem du<KeyStore>oder<TrustStore>für die Verwendung eines Bezugs festgelegt hast, kannst du den Wert des Bezugs jederzeit ändern. Wenn Sie jedoch<KeyStore>oder<TrustStore>ändern möchten, um einen anderen Verweis zu verwenden, oder<KeyAlias>ändern, um einen anderen Alias zu verwenden, müssen Sie sich an den Apigee Edge-Support wenden. - Ändern der TLS-Attribute des virtuellen Hosts.
Referenzwert ändern
Sie können den Wert eines Verweises ändern, um den von einem virtuellen Host verwendeten Schlüsselspeicher oder Truststore zu ändern.
Bevor Sie den Wert des Verweises ändern:
- Erstellen Sie einen neuen Schlüsselspeicher und laden Sie ein Zertifikat und einen Schlüssel hoch, wie unter Schlüsselspeicher und Truststore mithilfe der Edge-Benutzeroberfläche erstellen beschrieben. Achten Sie darauf, dass Sie im neuen Schlüsselspeicher denselben Namen für den Schlüsselalias verwenden wie im vorhandenen Schlüsselspeicher.
- Erstellen Sie bei Bedarf einen neuen Truststore und laden Sie ein Zertifikat hoch, wie unter Schlüsselspeicher und Truststore mithilfe der Edge-Benutzeroberfläche erstellen beschrieben.
- Ändern Sie die Referenz wie unter Mit Referenzen arbeiten beschrieben.
TLS-Attribute des virtuellen Hosts ändern
Kostenpflichtige Kunden können die Update a Virtual Host API verwenden, um einen virtuellen Host zu aktualisieren. Mit dieser API können Sie alle Attribute für den virtuellen Host festlegen, der unter Referenz zu virtuellen Hosts beschrieben wird.
Wenn Sie den virtuellen Host ändern, führt Edge eine Validierung ähnlich wie beim Erstellen eines virtuellen Hosts durch. Dies bedeutet, dass Edge bei einer Änderung Folgendes überprüft:
- Die vom Hostalias angegebene Domain wird nicht in einer anderen Organisation und Umgebung verwendet.
- Sie sind Inhaber des Domainnamens. Edge prüft insbesondere, ob die folgenden Informationen im Zertifikat mit dem Hostalias übereinstimmen:
- CN - Allgemeiner Name
- SAN – Alternativer Antragstellername
- Edge validiert, dass das Zertifikat nicht abgelaufen ist.
Führen Sie die folgenden Schritte aus, um einen virtuellen Host mithilfe der Edge API zu ändern:
Aktualisieren Sie den virtuellen Host mithilfe der API zum Aktualisieren eines virtuellen Hosts. Wenn Sie die API verwenden, müssen Sie die vollständige Definition des virtuellen Hosts im Anfragetext angeben, nicht nur die Elemente, die Sie ändern möchten. In diesem Beispiel legen Sie den Wert des Attributs
proxy_read_timeoutfest:curl -X PUT -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>false</ClientAuthEnabled> <KeyStore>ref://myTestKeystoreRef</KeyStore> <KeyAlias>myKeyAlias</KeyAlias> </SSLInfo> <Properties> <Property name="proxy_read_timeout">50</Property> </Properties> </VirtualHost>' \ -u orgAdminEmail:password
Virtuellen Host so ändern, dass Verweise auf den Schlüsselspeicher und den Truststore verwendet werden
Alle neuen virtuellen Hosts für Edge in der Cloud verwenden einen Verweis auf den Schlüsselspeicher und den Truststore. Mit Referenzen können Sie den Schlüsselspeicher und den Truststore ändern, ohne sich an den Apigee Edge-Support zu wenden.
Ältere virtuelle Hosts in Apigee Edge sind möglicherweise nicht für die Verwendung von Referenzen für Schlüsselspeicher und Truststores konfiguriert. In diesem Fall können Sie den virtuellen Host so aktualisieren, dass er Verweise verwendet.
Virtuellen Host zur Verwendung einer Referenz aktualisieren
So aktualisieren Sie den virtuellen Host:
- Erstellen Sie bei Bedarf einen neuen Schlüsselspeicher und laden Sie ein Zertifikat hoch, wie unter Schlüsselspeicher und Truststore mithilfe der Edge-Benutzeroberfläche erstellen beschrieben. Wenn Sie bereits einen Schlüsselspeicher haben, können Sie einen Verweis konfigurieren, der auf diesen verweist.
- Erstellen Sie einen neuen Verweis auf den Schlüsselspeicher.
- Erstellen Sie bei Bedarf einen neuen Truststore und laden Sie ein Zertifikat hoch. Wenn Sie bereits einen Truststore haben, können Sie einen Verweis konfigurieren, der auf diesen verweist.
- Erstellen Sie einen neuen Verweis auf den Truststore.
- Aktualisieren Sie den virtuellen Host, um den Schlüsselspeicher, den Alias, den Truststore und alle anderen TLS-Attribute festzulegen. Die Nutzlast für den Aufruf ist:
curl -X PUT -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <OCSPStapling>off</OCSPStapling> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>true</ClientAuthEnabled> <KeyStore>ref://myKeyStore2Way</KeyStore> <KeyAlias>keyAlias</KeyAlias> <TrustStore>ref://myTrustStore2Way</TrustStore> <IgnoreValidationErrors>false</IgnoreValidationErrors> </SSLInfo> </VirtualHost>' \ -u orgAdminEmail:pWord - Wenden Sie sich an den Apigee-Support, um die Edge Router neu zu starten und den Vorgang abzuschließen.