Cloud için sanal ana makineleri yapılandırma

Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. info

Ücretli hesabı olan bir Cloud müşterisi, bir kuruluşta sanal ana makine oluşturabilir.

Daha fazla bilgi:

• Sanal ana makineler hakkında
• Sanal ana makineleri yapılandırma
• TLS'yi yapılandırma
• Anahtar Depoları ve Güven Depoları

Cloud'da sanal ana makine oluşturabilecek ve değiştirebilecek kullanıcılar

Sanal ana makine oluşturma ve değiştirme özelliği, yalnızca Edge Cloud'daki ücretli hesaplarda kullanılabilir. Sanal ana makineyi oluşturan kullanıcının kuruluş yöneticisi rolünde veya sanal ana makineyi değiştirme iznine sahip özel bir rolde olması gerekir. Diğer rollerdeki kullanıcıların sanal ana makine oluşturma yetkisi yoktur.

Örneğin, ücretli müşteriler:

• Tek yönlü ve iki yönlü TLS'yi etkinleştirme
• Sanal ana makine tarafından kullanılan anahtar deposunu/güven deposunu belirtin

Ücretsiz ve deneme hesapları sanal ana makine oluşturamaz veya mevcut sanal ana makinelerde değişiklik yapamaz. Bu hesaplar, Edge kayıt sırasında kendileri için oluşturulan sanal ana makinelerle sınırlıdır. Edge fiyatlandırma planları hakkında daha fazla bilgi için https://apigee.com/api-management/#/pricing adresini ziyaret edin.

Cloud için sanal ana makine yapılandırmayla ilgili şartlar

Aşağıdaki tabloda sanal ana makine oluşturma gereksinimleri özetlenmektedir:

Kategori	Koşul	Açıklama
Hesap türü	Ücretli	Ücretsiz hesaplar ve deneme hesapları, sanal ana makineleri oluşturamaz veya değiştiremez.
Kullanıcı rolü	kuruluş yöneticisi	Yalnızca bir kuruluş yöneticisi veya sanal ana makineyi değiştirme iznine sahip özel bir roldeki kullanıcı sanal ana makine oluşturabilir.
Sanal ana makine sayısı	En fazla 20	Cloud'da kuruluş/ortam başına en fazla 20 sanal ana makine kullanabilirsiniz. Not: Private Cloud'da sanal ana makine sayısı sınırsızdır. Çoğu kuruluş/ortam, biri HTTP ve diğeri HTTPS erişimi için olmak üzere iki sanal ana makine kullanır. Kuruluşunuz/ortamınız farklı alan adları kullanılarak erişime izin veriyorsa ek sanal ana makinelere ihtiyacınız olabilir.
Temel URL	Protokolü içerir	Kullanıcı arayüzünde veya API ile sanal ana makinenin temel URL'sini tanımlarken protokolü (ör. "http://" ya da "https://") URL'nin bir parçası olarak belirtmeniz gerekir.
Bağlantı noktası	443	Yalnızca 443 numaralı bağlantı noktasında sanal ana makine oluşturabilirsiniz. Benzersiz ana makine takma adlarına sahip oldukları ve tümü TLS'yi destekledikleri sürece 443 bağlantı noktasında birden fazla sanal ana makine oluşturabileceğinizi unutmayın.
TLS	Zorunlu	Yalnızca HTTPS üzerinden TLS'yi destekleyen bir sanal ana makine oluşturabilirsiniz. TLS sertifikanızı ve anahtarınızı içeren bir anahtar mağazası ve isteğe bağlı olarak bir güven mağazası oluşturmuş olmanız gerekir. Symantec veya VeriSign gibi güvenilir bir tüzel kişi tarafından imzalanmış bir sertifikanız olmalıdır. Kendinden imzalı sertifika kullanamazsınız. HTTP erişimine ihtiyacınız varsa Apigee Edge Destek Ekibi ile iletişime geçin.
TLS protokolü	TLS 1.2	Cloud Edge yalnızca TLS 1.2 sürümünü destekler.
Barındırıcı takma adı	Kuruluş ve ortamda benzersiz	Barındırıcı takma adı, başka bir kuruluş/ortam kombinasyonu için mevcut değildir.
Alan adı	Müşteriye ait	Sanal ana makinede belirtilen alan adının sahibi olmanız gerekir. Edge, ana makine rumuzuna göre tanımlanan alan adının TLS sertifikasındaki meta verileriyle eşleştiğinden emin olmak için kontrol yapar. Edge, özellikle sertifikadaki aşağıdaki bilgileri kontrol eder: CN - Ortak Ad SAN - Konu Alternatif Adı SAN veya CN'de joker karakterlere (ör. *.myco.net) izin verilir. Edge, sertifikanın süresinin dolmadığından da emin olur.
İstemci uygulaması SNI desteği	Sanal ana makineye erişen tüm istemci uygulamaları SNI'yi desteklemelidir.	SNI desteği tüm uygulamalar için gereklidir.

Tarayıcı kullanarak sanal ana makine oluşturma

Bu bölümdeki örneklerin çoğu, sanal ana makineleri oluşturmak veya değiştirmek için Edge API'yi kullanır ancak Edge kullanıcı arayüzünde sanal ana makine oluşturabilirsiniz.

Edge kullanıcı arayüzünü kullanarak sanal ana makine oluşturmak için:

1. Apigee.com/edge adresinde oturum açın.
2. Yönetici > Sanal Ana Makineler'i seçin.
3. prod veya test gibi bir ortam seçin.
4. Sanal ana makine oluşturmak için + Sanal Ana Makine'yi veya düzenlemek istediğiniz mevcut bir sanal ana makinenin adını seçin.
5. Sanal ana makine alanlarının doldurulması hakkında ayrıntılı bilgi için yukarıdaki tabloya bakın.

Tek yönlü TLS için sanal ana makine tanımlama

Sanal ana makineyi tanımlayan XML nesnesi. Örneğin, aşağıdaki XML nesnesi tek yönlü TLS için bir sanal ana makine tanımlar:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>api.myCompany.com</HostAlias> 
    </HostAliases> 
    <Port>443</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>false</ClientAuthEnabled> 
        <KeyStore>ref://myTestKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
    </SSLInfo>
</VirtualHost>

Bu tanımda:

• Ad olarak myTLSVHost değerini girin. Bir API proxy'sinde veya API çağrısında sanal ana makineye referans vermek için adı kullanın.
• Ana makine takma adını api.Sirketim.com olarak belirtin. Bu, bir DNS tanımı ve CNAME kaydı ile tanımlanan şekilde API'lerinize erişmek için kullanılan, herkese açık alandır.
• Bağlantı noktası numarasını 443 olarak belirtin. Belirtilmezse bağlantı noktası varsayılan olarak 443'e ayarlanır.
• Gerektiği şekilde TLS'yi etkinleştirin.
  
  <Enable> öğesi, tek yönlü TLS'yi etkinleştirmek için doğru değerine ayarlanır ve <KeyStore> öğeleri, TLS bağlantısı tarafından kullanılan anahtar deposunu ve anahtar takma adını belirtir.
  
  İki yönlü TLS'yi etkinleştirmek için <ClientAuthEnabled> öğesini doğru olarak ayarlayın ve <TrustStore> öğesini kullanarak bir güven deposu belirtin. Güvenli depo, istemcinin sertifika verenini ve sertifikanın CA zincirini (gerekli) barındırır.
  
  Not: Edge, başlangıçta SSL'yi desteklediğinden TLS'yi yapılandırmak için kullandığınız etiketin adı <SSLInfo> olur.

Sanal ana makinede ayarlayabileceğiniz ek özellikler olduğunu unutmayın. Tüm mülkler için referans almak isterseniz Sanal ana makine mülkü referansı başlıklı makaleyi inceleyin.

Sanal ana makinede anahtar deposu ve güven deposu adının nasıl belirtileceğine karar verme

Bir sanal ana makineyi TLS'yi destekleyecek şekilde yapılandırırken referans kullanarak bir anahtar mağazası belirtirsiniz. Referans, anahtar deposu veya güven deposu adını doğrudan belirtmek yerine, aşağıdaki gibi anahtar deposu veya güven deposu adını içeren bir değişkendir:

    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>false</ClientAuthEnabled> 
        <KeyStore>ref://myTestKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
    </SSLInfo>

Referans kullanmanın avantajı, genellikle geçerli anahtar deposundaki sertifikanın yakın gelecekte geçerlilik süresinin dolması nedeniyle sanal ana makine tarafından kullanılan anahtar deposunu değiştirmek için referansın değerini değiştirebilmenizdir. Referansın değerini değiştirmek, Uç Yönlendirici'yi yeniden başlatmanızı gerektirmez. Referanslar oluşturma ve değiştirme hakkında daha fazla bilgi için Referanslarla çalışma bölümüne bakın.

Yalnızca anahtar deposuna ve güven deposuna yönelik bir referans kullanabilirsiniz. Takma ad için referans kullanamazsınız. Anahtar deposuna yapılan referansı değiştirirken sertifikanın takma adının eski anahtar deposundakiyle aynı olduğundan emin olun.

Anahtar depolarına ve güven deposuna referansların kullanımıyla ilgili kısıtlamalar

Anahtar depolarına ve güven depolarına referanslar kullanırken aşağıdaki kısıtlamayı dikkate almanız gerekir:

• Anahtar deposu ve güven deposu referanslarını yalnızca SNI'yi destekliyorsanız ve Apigee yönlendiricilerinde SSL'yi sonlandırdığınızda sanal ana makinelerde kullanabilirsiniz.
• Apigee yönlendiricilerinin önünde bir yük dengeleyiciniz varsa ve TLS'yi yük dengeleyicide sonlandırırsanız sanal ana makinelerde anahtar deposu ve güvenilir sertifika deposu referanslarını kullanamazsınız.

İki yönlü TLS için sanal ana makine tanımlama

İki yönlü TLS'yi etkinleştirmek için <ClientAuthEnabled> öğesini true olarak ayarlayın ve <TrustStore> öğesiyle bir referans kullanarak bir güven mağazası belirtin. Truststore, istemcinin sertifikasını düzenleyeni ve sertifikanın gerekli olan CA zincirini barındırır. İstemci, iki yönlü TLS için de doğru şekilde yapılandırılmalıdır.

İki yönlü TLS için sanal ana makine oluşturmak üzere sanal ana makineyi tanımlayan bir XML nesnesi oluşturun:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>api.myCompany.com</HostAlias> 
    </HostAliases> 
    <Port>443</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myTestKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTestTruststoreRef</TrustStore> 
    </SSLInfo>
</VirtualHost>

Bu tanımda:

• <ClientAuthEnabled> öğesini doğru değerine ayarlayarak iki yönlü TLS'yi etkinleştirin.
• <TrustStore> öğesini kullanarak güven deposu referansını belirtin. Güvenli depo, istemcinin sertifika verenini ve sertifikanın CA zincirini (gerekli) barındırır.

Apigee ücretsiz deneme sertifikası ve anahtarını kullanan bir sanal ana makine tanımlama

Ücretli bir Edge for Cloud hesabınız varsa ve henüz TLS sertifikanız ve anahtarınız yoksa Apigee ücretsiz deneme sertifika ve anahtarını kullanan bir sanal ana makine oluşturabilirsiniz. Bu, sanal ana makineyi, önce bir anahtar deposu oluşturmadan oluşturabileceğiniz anlamına gelir.

Apigee ücretsiz deneme sertifikası, *.apigee.net alan adı için tanımlanmıştır. Bu nedenle, sanal ana makinenin <HostAlias> özelliği de *.apigee.net biçiminde olmalıdır.

İki yönlü TLS kullanıyorsanız <ClientAuthEnabled> öğesini true olarak ayarlamanız ve İki yönlü TLS için sanal ana makine tanımlama bölümünde yukarıda açıklandığı gibi <TrustStore> öğesiyle bir referans kullanarak bir güven mağazası belirtmeniz gerekir.

Apigee ücretsiz deneme sertifikası ve anahtarını kullanarak sanal ana makineyi tanımlayan bir XML nesnesi, <KeyStore> ve <KeyAlias> öğelerini atlar ve bunları aşağıdaki gibi <UseBuiltInFreeTrialCert> öğesiyle değiştirir:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

<UseBuiltInFreeTrialCert> öğesinin varsayılan değeri "false"tur.

İki yönlü TLS için sanal ana makineyi şu şekilde tanımlayın:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>true</ClientAuthEnabled>
        <TrustStore>ref://myTestTruststoreRef</TrustStore>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

Ücretsiz Apigee sertifikasını ve anahtarını kullanmak için Edge kullanıcı arayüzünde, sanal ana makineyi oluştururken Yerleşik ücretsiz deneme sertifikasını kullan seçeneğini belirleyin:

Sanal ana makine oluşturma

Sanal ana makineyi oluşturmak için aşağıdaki prosedürü uygulayın:

1. Herkese açık alanınız (bu örnekte api.myCompany.com) için [org]-[environment].apigee.net adresine yönlendiren bir DNS girişi ve CNAME kaydı oluşturun.
2. Burada açıklanan prosedürü kullanarak bu örnekte myTestKeystore adlı bir anahtar deposu oluşturup yapılandırın: Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güven deposu oluşturma. Bu örnekte, anahtar deposunda sertifika ve özel anahtar için myKeyAlias takma adının kullanıldığından emin olun.
3. Sertifikanızı ve anahtarınızı anahtar deposuna yükleyin. Sertifikanızın belirttiği alan adının, sanal ana makine için kullanmak istediğiniz ana makine takma adıyla eşleştiğinden emin olun.

4. Edge kullanıcı arayüzü veya API'yi kullanarak anahtar deposuna referans oluşturun. Referans, anahtar deposunun adını ve referans türünü KeyStore olarak belirtir. Referans oluşturma ve değiştirme hakkında daha fazla bilgi için Referanslarla çalışma başlıklı makaleyi inceleyin.

5. Sanal ana makine oluşturma API'sini kullanarak sanal ana makineyi oluşturun. Doğru anahtar kapsülü referansını ve anahtar takma adını belirttiğinizden emin olun. API'yi kullanmak için aşağıdaki POST API çağrısını kullanarak myTLSVHost adlı anahtar deposunu oluşturun:

   curl -X POST -H "Content-Type:application/xml" \
     https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts \
     -d '<VirtualHost name="myTLSVHost">
       <HostAliases>
         <HostAlias>api.myCompany.com</HostAlias>
       </HostAliases>
       <Port>443</Port>
       <SSLInfo>
         <Enabled>true</Enabled>
         <ClientAuthEnabled>false</ClientAuthEnabled>
         <KeyStore>ref://myTestKeystoreRef</KeyStore>
         <KeyAlias>myKeyAlias</KeyAlias>
       </SSLInfo>
     </VirtualHost>' \
     -u orgAdminEmail:password

   İstemciyle iki yönlü TLS gerçekleştiriyorsanız <ClientAuthEnabled> değerini true olarak ayarlayın ve <TrustStore> öğesini kullanarak güven mağazasını belirtin. İstemci, iki yönlü TLS için doğru şekilde yapılandırılmalıdır. Diğer bir deyişle, Edge'de istemcinin sertifikayı vereni ve sertifika zincirini içeren bir güven deposu bulunur. Burada açıklanan prosedürü kullanarak güven mağazasını oluşturun: Edge kullanıcı arayüzünü kullanarak anahtar mağazaları ve güven mağazaları oluşturma.

6. Mevcut API proxy'leriniz varsa ProxyEndpoint'teki <HTTPConnection> öğesine sanal ana makineyi ekleyin. Sanal ana makine, tüm yeni API proxy'lerine otomatik olarak eklenir. Bkz. Sanal ana makine kullanmak için API proxy'si yapılandırma.

Bir API proxy'sini sanal ana makineyi kullanacak şekilde güncelledikten ve ana makine takma adı için DNS girişini ve CNAME kaydını oluşturduktan sonra API proxy'sine aşağıdaki gibi erişebilirsiniz:

https://api.myCompany.com/v1/{project-base-path}/{resource-path}

Örneğin:

https://api.myCompany.com/v1/weather/forecastrss?w=12797282

Sanal ana makineyi değiştirme

Ücretli Cloud müşterileri, mevcut bir sanal ana makineyi değiştirmek için iki temel görevi gerçekleştirir:

1. Bir anahtar deposuna veya güven deposuna yapılan referansın değerini değiştirme.
   
   Not: Bir referans kullanmak için <KeyStore> veya <TrustStore> ayarladığınızda referansın değerini dilediğiniz zaman değiştirebilirsiniz. Ancak, <KeyStore> veya <TrustStore> değerini farklı bir referans kullanmak için değiştirmek ya da <KeyAlias> değerini farklı bir takma ad kullanmak için değiştirmek isterseniz Apigee Edge Destek Ekibi ile iletişime geçmeniz gerekir.
2. Sanal ana makinenin TLS özelliklerini değiştirme

Bir referansın değerini değiştirme

Bir sanal ana makine tarafından kullanılan anahtar deposunu veya güven deposunu değiştirmek için bir referansın değerini değiştirebilirsiniz.

Referansın değerini değiştirmeden önce:

1. Yeni bir anahtar deposu oluşturun ve Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güven deposu oluşturma başlıklı makalede açıklandığı şekilde bir sertifika ve anahtar yükleyin. Yeni anahtar deposunda, anahtar takma adı için mevcut anahtar deposunda kullanılan adı kullandığınızdan emin olun.
2. Gerekirse yeni bir güven mağazası oluşturun ve Edge kullanıcı arayüzünü kullanarak anahtar mağazası ve güven mağazası oluşturma bölümünde açıklandığı şekilde bir sertifika yükleyin.
3. Referansı, Referanslarla çalışma bölümünde açıklandığı şekilde değiştirin.

Sanal ana makinenin TLS özelliklerini değiştirme

Ücretli müşteriler, sanal ana makineyi güncellemek için Sanal Ana Makine Güncelleme API'sini kullanabilir. Bu API, Sanal ana makine özelliği referansı bölümünde açıklanan sanal ana makinenin tüm özelliklerini ayarlamanıza olanak tanır.

Sanal ana makineyi değiştirdiğinizde Edge, sanal ana makine oluşturduğunuzda benzer bir doğrulama gerçekleştirir. Yani Edge, bir değişiklikte şunları doğrular:

• Barındırma hizmeti takma adıyla belirtilen alan, başka bir kuruluşta ve ortamda kullanılmamalıdır.
• Alan adının sahibi sizsiniz. Daha açık belirtmek gerekirse Edge, sertifikadaki aşağıdaki bilgilerin ana makine takma adıyla eşleşip eşleşmediğini kontrol eder:
  • CN - Ortak Ad
  • SAN - Konu Alternatif Adı
  • Edge, sertifikanın süresinin dolmadığını doğrular.

Edge API'yi kullanarak sanal ana makinede değişiklik yapmak için aşağıdakileri yapın:

1. Bir Sanal Ana Makineyi Güncelleme API'sini kullanarak sanal ana makineyi güncelleyin. API'yi kullanırken, istek gövdesinde yalnızca değiştirmek istediğiniz öğeleri değil, sanal ana makinenin tam tanımını belirtmeniz gerekir. Bu örnekte, proxy_read_timeout özelliğinin değerini siz belirlersiniz:

   curl -X PUT -H "Content-Type:application/xml" \
     https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \
     -d '<VirtualHost name="myTLSVHost">
       <HostAliases>
         <HostAlias>api.myCompany.com</HostAlias>
       </HostAliases>
       <Port>443</Port>
       <SSLInfo>
         <Enabled>true</Enabled>
         <ClientAuthEnabled>false</ClientAuthEnabled>
         <KeyStore>ref://myTestKeystoreRef</KeyStore>
         <KeyAlias>myKeyAlias</KeyAlias>
       </SSLInfo>
       <Properties>
          <Property name="proxy_read_timeout">50</Property>
            </Properties>
     </VirtualHost>' \
     -u orgAdminEmail:password

Anahtar deposu ve güven deposu referanslarını kullanmak için bir sanal ana makineyi değiştirme

Cloud'da Edge için tüm yeni sanal ana makineler, anahtar deposu ve güven deposu referansı kullanır. Referanslar, Apigee Edge Destek Ekibi ile iletişime geçmeden anahtar deposunu ve güven deposunu değiştirmenize olanak tanır.

Apigee Edge'deki eski sanal ana makineler, anahtar depoları ve güven depoları referanslarını kullanacak şekilde yapılandırılmamış olabilir. Bu durumda, sanal ana makineyi referans kullanacak şekilde güncelleyebilirsiniz.

Referans kullanmak için sanal ana makineyi güncelleme

Sanal ana makineyi güncellemek için aşağıdaki prosedürü uygulayın:

1. Gerekirse yeni bir anahtar deposu oluşturun ve Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güven deposu oluşturma bölümünde açıklandığı şekilde sertifika yükleyin. Zaten bir anahtar
2. Anahtar deposu için yeni bir referans oluşturun.
3. Gerekirse yeni bir güven mağazası oluşturun ve sertifika yükleyin. Zaten bir güven mağazınız varsa bu mağazayı işaret edecek bir referans yapılandırabilirsiniz.
4. Güven mağazasına yeni bir referans oluşturun.
5. Anahtar deposu, takma ad, güven deposu ve diğer tüm TLS özelliklerini ayarlamak için sanal ana makineyi güncelleyin. Aramanın yükü:

   curl -X PUT -H "Content-Type:application/xml" \
     https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \
     -d '<VirtualHost  name="myTLSVHost">
           <HostAliases>
             <HostAlias>api.myCompany.com</HostAlias>
           </HostAliases>
           <Port>443</Port>
           <OCSPStapling>off</OCSPStapling>
           <SSLInfo>
             <Enabled>true</Enabled>
             <ClientAuthEnabled>true</ClientAuthEnabled>
             <KeyStore>ref://myKeyStore2Way</KeyStore>
             <KeyAlias>keyAlias</KeyAlias>
             <TrustStore>ref://myTrustStore2Way</TrustStore>
             <IgnoreValidationErrors>false</IgnoreValidationErrors>
           </SSLInfo>
         </VirtualHost>' \
       -u orgAdminEmail:pWord

6. İşlemi tamamlamak amacıyla Uç Yönlendiricileri yeniden başlatmak için Apigee Destek Ekibi ile iletişime geçin.