Cloud için sanal ana makineleri yapılandırma

Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. info

Ücretli hesabı olan Cloud müşterileri, kuruluşlarda sanal ana makine oluşturabilir.

• Sanal ana makineler hakkında
• Sanal ana makineleri yapılandırma
• TLS'yi yapılandırma
• Anahtar Depoları ve Güven Depoları

Cloud'da sanal ana makine oluşturabilecek ve değiştirebilecek kullanıcılar

Sanal ana makine oluşturma ve değiştirme özelliği, yalnızca Edge Cloud'daki ücretli hesaplarda kullanılabilir. Sanal ana makineyi oluşturan kullanıcı, kuruluş yöneticisi rolünde veya sanal ana makineyi değiştirme izinlerine sahip özel bir rolde olmalıdır. Diğer rollerdeki kullanıcıların sanal ana makine oluşturma yetkisi yoktur.

Örneğin, ücretli müşteriler:

• Tek yönlü ve iki yönlü TLS'yi etkinleştirme
• Sanal ana makine tarafından kullanılan anahtar deposunu/güven deposunu belirtin

Ücretsiz ve deneme hesapları sanal ana makine oluşturamaz veya mevcut sanal ana makinelerde değişiklik yapamaz. Bu hesaplar, Edge kayıt sırasında kendileri için oluşturulan sanal ana makinelerle sınırlıdır. Edge fiyatlandırma planları hakkında daha fazla bilgi için https://apigee.com/api-management/#/pricing adresini ziyaret edin.

Cloud için sanal ana makine yapılandırmayla ilgili şartlar

Aşağıdaki tabloda, sanal ana makine oluşturmayla ilgili koşullar özetlenmiştir:

Tarayıcı kullanarak sanal ana makine oluşturma

Bu bölümdeki örneklerin çoğu, sanal ana makine oluşturmak veya değiştirmek için Edge API'yi kullanır ancak Edge kullanıcı arayüzünde de sanal ana makine oluşturabilirsiniz.

Edge kullanıcı arayüzünü kullanarak sanal ana makine oluşturmak için:

1. apigee.com/edge adresinde oturum açın.
2. Yönetici > Sanal Ana Makineler'i seçin.
3. prod veya test gibi bir ortam seçin.
4. Sanal ana makine oluşturmak için + Sanal Ana Makine'yi veya düzenlemek istediğiniz mevcut bir sanal ana makinenin adını seçin.
5. Sanal ana makine alanlarını doldurma hakkında ayrıntılı bilgi için yukarıdaki tabloya bakın.

Tek yönlü TLS için sanal ana makine tanımlama

Sanal ana makineyi tanımlayan bir XML nesnesi. Örneğin, aşağıdaki XML nesnesi tek yönlü TLS için bir sanal ana makine tanımlar:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>api.myCompany.com</HostAlias> 
    </HostAliases> 
    <Port>443</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>false</ClientAuthEnabled> 
        <KeyStore>ref://myTestKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
    </SSLInfo>
</VirtualHost>

Bu tanımda:

• Ad olarak myTLSVHost değerini girin. Bir API proxy'sinde veya API çağrısında sanal ana makineye referans vermek için adı kullanın.
• Ana makine takma adını api.myCompany.com olarak belirtin. Bu, DNS tanımı ve CNAME kaydı tarafından tanımlandığı şekilde API'lerinize erişmek için kullanılan herkese açık alan adıdır.
• Bağlantı noktası numarasını 443 olarak belirtin. Belirtilmezse bağlantı noktası varsayılan olarak 443'e ayarlanır.
• Gerektiği şekilde TLS'yi etkinleştirin.
  
  <Enable> öğesi, tek yönlü TLS'yi etkinleştirmek için doğru değerine ayarlanır ve <KeyStore> öğeleri, TLS bağlantısı tarafından kullanılan anahtar deposunu ve anahtar takma adını belirtir.
  
  İki yönlü TLS'yi etkinleştirmek için <ClientAuthEnabled> değerini doğru olarak ayarlayın ve <TrustStore> öğesini kullanarak bir güvenilir sertifika deposu belirtin. Güvenli depo, istemcinin sertifika verenini ve sertifikanın CA zincirini (gerekli) barındırır.
  
  Not: Edge başlangıçta SSL'yi desteklediği için TLS'yi yapılandırmak için kullandığınız etiketin adı <SSLInfo>'tır.

Sanal ana makinede ayarlayabileceğiniz ek özellikler olduğunu unutmayın. Tüm mülkler için referans almak isterseniz Sanal ana makine mülkü referansı başlıklı makaleyi inceleyin.

Sanal ana makinede anahtar deposu ve güven deposu adının nasıl belirtileceğine karar verme

Bir sanal ana makineyi TLS'yi destekleyecek şekilde yapılandırırken referans kullanarak bir anahtar mağazası belirtirsiniz. Referans, anahtar deposu veya güven deposu adını doğrudan belirtmek yerine, aşağıdaki gibi anahtar deposu veya güven deposu adını içeren bir değişkendir:

    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>false</ClientAuthEnabled> 
        <KeyStore>ref://myTestKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
    </SSLInfo>

Referans kullanmanın avantajı, genellikle geçerli anahtar deposundaki sertifikanın yakın gelecekte geçerlilik süresinin dolması nedeniyle sanal ana makine tarafından kullanılan anahtar deposunu değiştirmek için referansın değerini değiştirebilmenizdir. Referansın değerini değiştirmek için Edge Router'ı yeniden başlatmanız gerekmez. Referans oluşturma ve değiştirme hakkında daha fazla bilgi için Referanslarla çalışma başlıklı makaleyi inceleyin.

Yalnızca anahtar deposu ve güven deposu referansı kullanabilirsiniz; takma ad referansı kullanamazsınız. Anahtar deposuna yapılan referansı değiştirirken sertifikanın takma adının eski anahtar deposundakiyle aynı olduğundan emin olun.

Anahtar depoları ve güven depolarına referans vermeyle ilgili kısıtlamalar

Anahtar depolarına ve güven depolarına referans verirken aşağıdaki kısıtlamayı göz önünde bulundurmanız gerekir:

• Anahtar deposu ve güven deposu referanslarını yalnızca SNI'yi destekliyorsanız ve Apigee yönlendiricilerinde SSL'yi sonlandırdığınızda sanal ana makinelerde kullanabilirsiniz.
• Apigee yönlendiricilerinin önünde bir yük dengeleyiciniz varsa ve TLS'yi yük dengeleyicide sonlandırırsanız sanal ana makinelerde anahtar deposu ve güvenilir sertifika deposu referanslarını kullanamazsınız.

İki yönlü TLS için sanal ana makine tanımlama

İki yönlü TLS'yi etkinleştirmek için <ClientAuthEnabled> öğesini true olarak ayarlayın ve <TrustStore> öğesiyle bir referans kullanarak bir güven mağazası belirtin. Güvenli depo, istemcinin sertifika verenini ve sertifikanın CA zincirini (gerekli) içerir. İstemci, iki yönlü TLS için de doğru şekilde yapılandırılmalıdır.

İki yönlü TLS için sanal ana makine oluşturmak üzere sanal ana makineyi tanımlayan bir XML nesnesi oluşturun:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>api.myCompany.com</HostAlias> 
    </HostAliases> 
    <Port>443</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myTestKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTestTruststoreRef</TrustStore> 
    </SSLInfo>
</VirtualHost>

Bu tanımda:

• <ClientAuthEnabled> değerini true olarak ayarlayarak iki yönlü TLS'yi etkinleştirin.
• <TrustStore> öğesini kullanarak güven deposuna referansı belirtin. Güvenli depo, istemcinin sertifika verenini ve sertifikanın CA zincirini (gerekli) barındırır.

Apigee ücretsiz deneme sertifikası ve anahtarını kullanan bir sanal ana makine tanımlama

Ücretli bir Edge for Cloud hesabınız varsa ve henüz TLS sertifikanız ve anahtarınız yoksa Apigee ücretsiz deneme sertifika ve anahtarını kullanan bir sanal ana makine oluşturabilirsiniz. Yani, önce bir anahtar mağazası oluşturmadan sanal ana makineyi oluşturabilirsiniz.

Apigee ücretsiz deneme sertifikası, *.apigee.net alan adı için tanımlanmıştır. Bu nedenle, sanal ana makinenin <HostAlias> değeri de *.apigee.net biçiminde olmalıdır.

İki yönlü TLS kullanıyorsanız <ClientAuthEnabled> öğesini true olarak ayarlamanız ve İki yönlü TLS için sanal ana makine tanımlama bölümünde yukarıda açıklandığı gibi <TrustStore> öğesiyle bir referans kullanarak bir güven mağazası belirtmeniz gerekir.

Apigee ücretsiz deneme sertifikası ve anahtarını kullanarak sanal ana makineyi tanımlayan bir XML nesnesi, <KeyStore> ve <KeyAlias> öğelerini atlar ve bunları aşağıdaki gibi <UseBuiltInFreeTrialCert> öğesiyle değiştirir:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

<UseBuiltInFreeTrialCert> öğesinin varsayılan değeri false'dur.

İki yönlü TLS için sanal ana makineyi şu şekilde tanımlayın:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>true</ClientAuthEnabled>
        <TrustStore>ref://myTestTruststoreRef</TrustStore>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

Ücretsiz Apigee sertifikasını ve anahtarını kullanmak için Edge kullanıcı arayüzünde, sanal ana makineyi oluştururken Yerleşik ücretsiz deneme sertifikasını kullan seçeneğini belirleyin:

Sanal ana makine oluşturma

Sanal ana makineyi oluşturmak için aşağıdaki prosedürü uygulayın:

1. Herkese açık alanınız (bu örnekte api.myCompany.com) için [org]-[environment].apigee.net adresine yönlendiren bir DNS girişi ve CNAME kaydı oluşturun.
2. Burada açıklanan prosedürü kullanarak ( Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güven depoları oluşturma) bu örnekte myTestKeystore adlı bir anahtar deposu oluşturun ve yapılandırın. Bu örnekte, anahtar deposunda sertifika ve özel anahtar için myKeyAlias takma adının kullanılmasını sağlayın.
3. Sertifikanızı ve anahtarınızı anahtar deposuna yükleyin. Sertifikanızın belirttiği alan adının, sanal ana makine için kullanmak istediğiniz ana makine takma adıyla eşleştiğinden emin olun.

4. Edge kullanıcı arayüzünü veya API'yi kullanarak anahtar deposuna referans oluşturun. Referans, anahtar deposunun adını ve referans türünü KeyStore olarak belirtir. Referans oluşturma ve değiştirme hakkında daha fazla bilgi için Referanslarla çalışma başlıklı makaleyi inceleyin.

5. Sanal ana makine oluşturma API'sini kullanarak sanal ana makineyi oluşturun. Doğru anahtar kapsülü referansını ve anahtar takma adını belirttiğinizden emin olun. API'yi kullanmak için myTLSVHost adlı anahtar deposunu oluşturmak üzere aşağıdaki POST API çağrısını kullanın:

   curl -X POST -H "Content-Type:application/xml" \
     https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts \
     -d '<VirtualHost name="myTLSVHost">
       <HostAliases>
         <HostAlias>api.myCompany.com</HostAlias>
       </HostAliases>
       <Port>443</Port>
       <SSLInfo>
         <Enabled>true</Enabled>
         <ClientAuthEnabled>false</ClientAuthEnabled>
         <KeyStore>ref://myTestKeystoreRef</KeyStore>
         <KeyAlias>myKeyAlias</KeyAlias>
       </SSLInfo>
     </VirtualHost>' \
     -u orgAdminEmail:password

   İstemciyle iki yönlü TLS gerçekleştiriyorsanız <ClientAuthEnabled> değerini true olarak ayarlayın ve <TrustStore> öğesini kullanarak güven mağazasını belirtin. İstemci, iki yönlü TLS için doğru şekilde yapılandırılmalıdır. Yani Edge'in, istemcinin sertifika verenini ve sertifika zincirini içeren bir güven mağazası olmalıdır. Burada açıklanan prosedürü kullanarak güven mağazasını oluşturun: Edge kullanıcı arayüzünü kullanarak anahtar mağazaları ve güven mağazaları oluşturma.

6. Mevcut API proxy'leriniz varsa ProxyEndpoint'teki <HTTPConnection> öğesine sanal ana makineyi ekleyin. Sanal ana makine, tüm yeni API proxy'lerine otomatik olarak eklenir. API proxy'sini sanal ana makine kullanacak şekilde yapılandırma başlıklı makaleyi inceleyin.

Bir API proxy'sini sanal ana makineyi kullanacak şekilde güncelledikten ve ana makine takma adı için DNS girişini ve CNAME kaydını oluşturduktan sonra API proxy'sine aşağıdaki gibi erişebilirsiniz:

https://api.myCompany.com/v1/{project-base-path}/{resource-path}

Örneğin:

https://api.myCompany.com/v1/weather/forecastrss?w=12797282

Sanal ana makineyi değiştirme

Ücretli Cloud müşterileri, mevcut bir sanal ana makineyi değiştirmek için iki temel görevi gerçekleştirir:

1. Anahtar deposu veya güven deposu referansının değerini değiştirme
   
   Not: Bir referans kullanmak için <KeyStore> veya <TrustStore> ayarladığınızda referansın değerini dilediğiniz zaman değiştirebilirsiniz. Ancak, <KeyStore> veya <TrustStore> değerini farklı bir referans kullanmak için değiştirmek ya da <KeyAlias> değerini farklı bir takma ad kullanmak için değiştirmek isterseniz Apigee Edge Destek Ekibi ile iletişime geçmeniz gerekir.
2. Sanal ana makinenin TLS özelliklerini değiştirme

Bir referansın değerini değiştirme

Bir sanal ana makine tarafından kullanılan anahtar deposunu veya güven deposunu değiştirmek için referansın değerini değiştirebilirsiniz.

Referansın değerini değiştirmeden önce:

1. Yeni bir anahtar deposu oluşturun ve Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güven deposu oluşturma başlıklı makalede açıklandığı şekilde bir sertifika ve anahtar yükleyin. Yeni anahtar deposunda, anahtar takma adı için mevcut anahtar deposunda kullanılan adın aynısını kullandığınızdan emin olun.
2. Gerekirse yeni bir güven mağazası oluşturun ve Edge kullanıcı arayüzünü kullanarak anahtar mağazası ve güven mağazası oluşturma bölümünde açıklandığı şekilde bir sertifika yükleyin.
3. Referansı, Referanslarla çalışma bölümünde açıklandığı şekilde değiştirin.

Sanal ana makinenin TLS özelliklerini değiştirme

Ücretli müşteriler, sanal ana makineyi güncellemek için Sanal Ana Makine Güncelleme API'sini kullanabilir. Bu API, Sanal ana makine özelliği referansı bölümünde açıklanan sanal ana makinenin tüm özelliklerini ayarlamanıza olanak tanır.

Sanal ana makineyi değiştirdiğinizde Edge, sanal ana makine oluşturduğunuzda benzer bir doğrulama gerçekleştirir. Yani Edge, bir değişiklikte şunları doğrular:

• Barındırıcı takma adıyla belirtilen alan, başka bir kuruluşta ve ortamda kullanılmamalıdır.
• Alan adının sahibi sizsiniz. Daha açık belirtmek gerekirse Edge, sertifikadaki aşağıdaki bilgilerin ana makine takma adıyla eşleşip eşleşmediğini kontrol eder:
  • CN - Ortak Ad
  • SAN - Konu Alternatif Adı
  • Edge, sertifikanın süresinin dolmadığını doğrular.

Edge API'yi kullanarak sanal ana makinede değişiklik yapmak için aşağıdakileri yapın:

1. Bir Sanal Ana Makineyi Güncelleme API'sini kullanarak sanal ana makineyi güncelleyin. API'yi kullanırken, istek gövdesinde yalnızca değiştirmek istediğiniz öğeleri değil, sanal ana makinenin tam tanımını belirtmeniz gerekir. Bu örnekte, proxy_read_timeout özelliğinin değerini siz belirlersiniz:

   curl -X PUT -H "Content-Type:application/xml" \
     https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \
     -d '<VirtualHost name="myTLSVHost">
       <HostAliases>
         <HostAlias>api.myCompany.com</HostAlias>
       </HostAliases>
       <Port>443</Port>
       <SSLInfo>
         <Enabled>true</Enabled>
         <ClientAuthEnabled>false</ClientAuthEnabled>
         <KeyStore>ref://myTestKeystoreRef</KeyStore>
         <KeyAlias>myKeyAlias</KeyAlias>
       </SSLInfo>
       <Properties>
          <Property name="proxy_read_timeout">50</Property>
            </Properties>
     </VirtualHost>' \
     -u orgAdminEmail:password

Bir sanal ana makineyi, anahtar deposu ve güven deposu referanslarını kullanacak şekilde değiştirme

Cloud'daki Edge için tüm yeni sanal ana makineler, anahtar deposu ve güven deposu referansı kullanır. Referanslar, Apigee Edge Destek Ekibi ile iletişime geçmeden anahtar deposunu ve güven deposunu değiştirmenize olanak tanır.

Apigee Edge'deki eski sanal ana makineler, anahtar depoları ve güven depoları referanslarını kullanacak şekilde yapılandırılmamış olabilir. Bu durumda, sanal ana makineyi referans kullanacak şekilde güncelleyebilirsiniz.

Bir sanal ana makineyi referans kullanacak şekilde güncelleme

Sanal ana makineyi güncellemek için aşağıdaki prosedürü uygulayın:

1. Gerekirse yeni bir anahtar deposu oluşturun ve Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güven deposu oluşturma bölümünde açıklandığı şekilde sertifika yükleyin. Zaten bir anahtar
2. Anahtar deposuna yeni bir referans oluşturun.
3. Gerekirse yeni bir güven mağazası oluşturun ve sertifika yükleyin. Zaten bir güven mağazasına sahipseniz bu mağazayı işaret edecek bir referans yapılandırabilirsiniz.
4. Güven mağazasına yeni bir referans oluşturun.
5. Anahtar deposunu, takma adı, güven deposunu ve diğer TLS özelliklerini ayarlamak için sanal ana makineyi güncelleyin. Aramanın yükü:

   curl -X PUT -H "Content-Type:application/xml" \
     https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \
     -d '<VirtualHost  name="myTLSVHost">
           <HostAliases>
             <HostAlias>api.myCompany.com</HostAlias>
           </HostAliases>
           <Port>443</Port>
           <OCSPStapling>off</OCSPStapling>
           <SSLInfo>
             <Enabled>true</Enabled>
             <ClientAuthEnabled>true</ClientAuthEnabled>
             <KeyStore>ref://myKeyStore2Way</KeyStore>
             <KeyAlias>keyAlias</KeyAlias>
             <TrustStore>ref://myTrustStore2Way</TrustStore>
             <IgnoreValidationErrors>false</IgnoreValidationErrors>
           </SSLInfo>
         </VirtualHost>' \
       -u orgAdminEmail:pWord

6. İşlemi tamamlamak için uç yönlendiricileri yeniden başlatmak üzere Apigee Destek Ekibi ile iletişime geçin.