Bạn đang xem tài liệu về Apigee Edge.
Chuyển đến tài liệu về
Apigee X. thông tin
Khách hàng Cloud có tài khoản trả phí có thể tạo máy chủ lưu trữ ảo trong một tổ chức.
Tìm hiểu thêm:
Người có thể tạo và sửa đổi máy chủ ảo trong đám mây
Chỉ những tài khoản trả phí mới có thể tạo và sửa đổi máy chủ ảo trong Edge Cloud. Người dùng tạo máy chủ lưu trữ ảo phải có vai trò là quản trị viên tổ chức hoặc có vai trò tuỳ chỉnh có quyền sửa đổi máy chủ lưu trữ ảo. Người dùng ở các vai trò khác không có quyền tạo máy chủ lưu trữ ảo.
Ví dụ: khách hàng trả phí có thể:
- Bật TLS một chiều và hai chiều
- Chỉ định kho khoá/kho tin cậy mà máy chủ ảo sử dụng
Tài khoản miễn phí và tài khoản dùng thử không thể tạo hoặc sửa đổi máy chủ ảo và chỉ được sử dụng các máy chủ ảo được tạo cho họ tại thời điểm đăng ký Edge. Để biết thêm thông tin về các gói giá của Edge, hãy xem https://apigee.com/api-management/#/pricing.
Yêu cầu để định cấu hình máy chủ ảo cho Cloud
Bảng sau đây tóm tắt các yêu cầu để tạo máy chủ lưu trữ ảo:
| Danh mục | Yêu cầu | Nội dung mô tả |
|---|---|---|
| Loại tài khoản | Đã thanh toán | Tài khoản dùng thử và tài khoản miễn phí không thể tạo hoặc sửa đổi máy chủ ảo. |
| Vai trò của người dùng | quản trị viên tổ chức | Chỉ quản trị viên tổ chức mới có thể tạo máy chủ ảo hoặc người dùng giữ vai trò tuỳ chỉnh có quyền sửa đổi máy chủ ảo. |
| Số lượng máy chủ ảo | Tối đa 20 |
Mỗi tổ chức/môi trường trên Đám mây chỉ được có tối đa 20 máy chủ ảo. Lưu ý: Không có giới hạn về số lượng máy chủ ảo trong Đám mây riêng tư. Hầu hết các tổ chức/môi trường đều sử dụng hai máy chủ lưu trữ ảo: một máy chủ cho quyền truy cập HTTP và một máy chủ cho quyền truy cập HTTPS. Bạn có thể cần thêm máy chủ lưu trữ ảo nếu tổ chức/môi trường của bạn cho phép truy cập bằng các tên miền khác nhau. |
| URL cơ sở | Bao gồm giao thức | Khi xác định URL cơ sở cho máy chủ ảo, trong giao diện người dùng hoặc bằng API, bạn phải chỉ định giao thức (tức là "http://" hoặc "https://") trong URL. |
| Cổng | 443 |
Bạn chỉ có thể tạo máy chủ ảo trên cổng 443. Xin lưu ý rằng bạn có thể tạo nhiều máy chủ lưu trữ ảo trên cổng 443, miễn là các máy chủ lưu trữ đó có tên đại diện riêng biệt và tất cả đều hỗ trợ TLS. |
| TLS | Bắt buộc |
Bạn chỉ có thể tạo một máy chủ lưu trữ ảo hỗ trợ TLS qua HTTPS. Bạn phải đã tạo một kho khoá và một kho tin cậy (không bắt buộc), chứa chứng chỉ và khoá TLS. Bạn phải có chứng chỉ có chữ ký của một pháp nhân đáng tin cậy, chẳng hạn như SCrypto và VeriSign. Bạn không thể sử dụng chứng chỉ tự ký. Nếu bạn cần quyền truy cập HTTP, hãy liên hệ với Nhóm hỗ trợ Apigee Edge. |
| Giao thức TLS | TLS 1.2 |
Edge trong đám mây chỉ hỗ trợ TLS phiên bản 1.2. |
| Bí danh máy chủ lưu trữ | Riêng biệt trong tổ chức và môi trường | Bí danh máy chủ lưu trữ không tồn tại cho tổ chức/môi trường kết hợp khác. |
| Tên miền | Do khách hàng sở hữu |
Bạn phải sở hữu tên miền được chỉ định trong máy chủ ảo. Edge kiểm tra để đảm bảo rằng tên miền, như được xác định bởi bí danh máy chủ lưu trữ, khớp với siêu dữ liệu trong chứng chỉ TLS. Cụ thể, Edge kiểm tra thông tin sau trong chứng chỉ:
Bạn có thể sử dụng ký tự đại diện trong SAN hoặc CN, ví dụ: Edge cũng xác thực rằng chứng chỉ chưa hết hạn. |
| Hỗ trợ SNI cho ứng dụng khách | Tất cả ứng dụng khách truy cập vào máy chủ ảo phải hỗ trợ SNI. |
Tất cả ứng dụng đều phải hỗ trợ SNI. |
Tạo máy chủ lưu trữ ảo bằng trình duyệt
Hầu hết các ví dụ trong phần này đều sử dụng Edge API để tạo hoặc sửa đổi máy chủ lưu trữ ảo, nhưng bạn có thể tạo máy chủ lưu trữ ảo trong giao diện người dùng Edge.
Cách tạo máy chủ lưu trữ ảo bằng giao diện người dùng Edge:
- Đăng nhập vào apigee.com/edge.
- Chọn Admin > Virtual Hosts (Quản trị > Máy chủ ảo).
- Chọn môi trường, chẳng hạn như prod hoặc test.
- Chọn + Virtual Host (Máy chủ ảo) để tạo máy chủ ảo hoặc chọn tên của máy chủ ảo hiện có để chỉnh sửa.
- Hãy xem bảng ở trên để biết thông tin chi tiết về cách điền các trường máy chủ lưu trữ ảo.
Xác định máy chủ ảo cho TLS một chiều
Một đối tượng XML xác định máy chủ ảo. Ví dụ: đối tượng XML sau đây xác định một máy chủ ảo cho TLS một chiều:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>api.myCompany.com</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
</SSLInfo>
</VirtualHost>
Trong định nghĩa này, bạn:
- Chỉ định tên là myTLSVHost. Sử dụng tên này để tham chiếu máy chủ ảo trong proxy API hoặc trong lệnh gọi API.
- Chỉ định bí danh máy chủ lưu trữ là api.myCompany.com. Đây là miền công khai dùng để truy cập vào các API của bạn theo định nghĩa DNS và bản ghi CNAME.
- Chỉ định số cổng là 443. Nếu bạn bỏ qua, theo mặc định, cổng sẽ được đặt thành 443.
- Bật TLS nếu cần.
Phần tử<Enable>được đặt thành true để bật TLS một chiều. Các phần tử và phần tử<KeyStore>chỉ định kho khoá và bí danh khoá mà kết nối TLS sử dụng.
Để bật TLS hai chiều, hãy đặt<ClientAuthEnabled>thành true và chỉ định một kho lưu trữ đáng tin cậy bằng phần tử<TrustStore>. Kho tin cậy lưu giữ trình phát hành chứng chỉ của ứng dụng và chuỗi CA của chứng chỉ, bắt buộc.
Lưu ý: Vì ban đầu Edge hỗ trợ SSL, nên thẻ mà bạn dùng để định cấu hình TLS có tên là<SSLInfo>.
Lưu ý rằng bạn có thể đặt các thuộc tính khác trong máy chủ ảo. Để tham khảo tất cả các thuộc tính, hãy xem phần Tài liệu tham khảo về thuộc tính máy chủ ảo.
Quyết định cách chỉ định tên kho khoá và kho tin cậy trong máy chủ lưu trữ ảo
Khi định cấu hình máy chủ ảo để hỗ trợ TLS, bạn chỉ định một kho khoá bằng cách sử dụng tham chiếu. Tham chiếu là một biến chứa tên của kho khoá hoặc kho tin cậy, thay vì chỉ định trực tiếp tên của kho khoá hoặc kho tin cậy, như minh hoạ dưới đây:
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
</SSLInfo>
Ưu điểm của việc sử dụng tệp tham chiếu là bạn có thể thay đổi giá trị của tệp tham chiếu để thay đổi kho khoá mà máy chủ ảo sử dụng, thường là do chứng chỉ trong kho khoá hiện tại sắp hết hạn trong thời gian sắp tới. Bạn không cần phải khởi động lại Bộ định tuyến cạnh khi thay đổi giá trị của tệp tham chiếu. Hãy xem phần Xử lý tệp tham chiếu để biết thêm thông tin về cách tạo và sửa đổi tệp tham chiếu.
Bạn chỉ có thể sử dụng tham chiếu đến kho khoá và kho tin cậy; không thể sử dụng tham chiếu đến bí danh. Khi bạn thay đổi tệp tham chiếu đến kho khoá, hãy đảm bảo rằng tên bí danh của chứng chỉ giống với tên trong kho khoá cũ.
Các quy định hạn chế trong việc sử dụng tệp tham chiếu đến kho khoá và kho tin cậy
Bạn phải tính đến quy định hạn chế sau đây khi sử dụng các tệp tham chiếu đến kho khoá và kho tin cậy:
- Bạn chỉ có thể sử dụng các tệp tham chiếu kho khoá và kho tin cậy trong các máy chủ ảo nếu bạn hỗ trợ SNI và bạn chấm dứt SSL trên Bộ định tuyến Apigee.
- Nếu bạn có một trình cân bằng tải trước Bộ định tuyến Apigee và bạn chấm dứt TLS trên trình cân bằng tải, thì bạn không thể sử dụng các tệp tham chiếu kho khoá và kho tin cậy trong máy chủ ảo.
Xác định máy chủ lưu trữ ảo cho TLS hai chiều
Để bật TLS hai chiều, hãy đặt phần tử <ClientAuthEnabled> thành true và chỉ định kho lưu trữ đáng tin cậy bằng cách sử dụng tham chiếu với phần tử <TrustStore>. Kho tin cậy chứa nhà phát hành chứng chỉ của ứng dụng và chuỗi CA của chứng chỉ (bắt buộc). Máy khách cũng phải được định cấu hình chính xác cho TLS hai chiều.
Để tạo một máy chủ ảo cho TLS hai chiều, hãy tạo một đối tượng XML xác định máy chủ ảo:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>api.myCompany.com</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>true</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
<TrustStore>ref://myTestTruststoreRef</TrustStore>
</SSLInfo>
</VirtualHost>
Trong định nghĩa này, bạn:
- Bật TLS hai chiều bằng cách đặt
<ClientAuthEnabled>thành true. - Chỉ định tham chiếu đến kho lưu trữ tin cậy bằng phần tử
<TrustStore>. Kho tin cậy chứa nhà phát hành chứng chỉ của ứng dụng và chuỗi CA của chứng chỉ (bắt buộc).
Xác định một máy chủ lưu trữ ảo sử dụng chứng chỉ và khoá dùng thử miễn phí của Apigee
Nếu có tài khoản Edge for Cloud trả phí và chưa có chứng chỉ và khoá TLS, bạn có thể tạo một máy chủ lưu trữ ảo sử dụng chứng chỉ và khoá dùng thử miễn phí của Apigee. Điều đó có nghĩa là bạn có thể tạo máy chủ ảo mà không cần tạo kho khoá trước.
Chứng chỉ dùng thử miễn phí Apigee được xác định cho miền *.apigee.net. Do đó, <HostAlias> của máy chủ ảo cũng phải ở dạng *.apigee.net.
Nếu đang thực hiện TLS hai chiều, bạn vẫn phải đặt phần tử <ClientAuthEnabled> thành true và chỉ định kho lưu trữ đáng tin cậy bằng cách sử dụng tham chiếu với phần tử <TrustStore> như mô tả ở trên trong phần Xác định máy chủ ảo cho TLS hai chiều.
Đối tượng XML xác định máy chủ ảo bằng cách sử dụng chứng chỉ và khoá dùng thử miễn phí của Apigee sẽ bỏ qua các phần tử <KeyStore> và <KeyAlias>, đồng thời thay thế các phần tử đó bằng phần tử <UseBuiltInFreeTrialCert>, như minh hoạ dưới đây:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>myapi.apigee.net</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
</SSLInfo>
<UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>
Giá trị mặc định của phần tử <UseBuiltInFreeTrialCert> là false.
Đối với TLS hai chiều, hãy xác định máy chủ ảo là:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>myapi.apigee.net</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>true</ClientAuthEnabled>
<TrustStore>ref://myTestTruststoreRef</TrustStore>
</SSLInfo>
<UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>
Trong giao diện người dùng Edge, hãy chọn mục Sử dụng chứng chỉ dùng thử miễn phí tích hợp sẵn khi tạo máy chủ ảo để sử dụng khoá và chứng chỉ Apigee miễn phí:
Tạo máy chủ ảo
Hãy làm theo quy trình sau để tạo máy chủ ảo:
- Tạo một mục DNS và bản ghi CNAME cho miền công khai của bạn, trong ví dụ này là
api.myCompany.com, trỏ đến[org]-[environment].apigee.net. - Tạo và định cấu hình kho khoá có tên myTestKeystore trong ví dụ này bằng cách sử dụng quy trình được mô tả tại đây: Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge. Đối với ví dụ này, hãy đảm bảo rằng kho khoá sử dụng tên bí danh là myKeyAlias cho chứng chỉ và khoá riêng tư.
- Tải chứng chỉ và khoá lên kho khoá. Đảm bảo rằng tên miền do chứng chỉ của bạn chỉ định khớp với bí danh máy chủ lưu trữ mà bạn muốn sử dụng cho máy chủ lưu trữ ảo.
-
Tạo tệp tham chiếu đến kho khoá bằng cách sử dụng giao diện người dùng hoặc API Edge. Tệp đối chiếu sẽ chỉ định tên của kho khoá và loại tệp tham chiếu là
KeyStore. Hãy xem phần Xử lý tệp tham chiếu để biết thêm thông tin về cách tạo và sửa đổi tệp tham chiếu. - Tạo máy chủ ảo bằng cách sử dụng API Tạo máy chủ ảo. Hãy nhớ chỉ định chính xác tham chiếu kho khoá và bí danh khoá.
Để sử dụng API, hãy sử dụng lệnh gọi API POST sau đây để tạo kho khoá có tên myTLSVHost:
curl -X POST -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>false</ClientAuthEnabled> <KeyStore>ref://myTestKeystoreRef</KeyStore> <KeyAlias>myKeyAlias</KeyAlias> </SSLInfo> </VirtualHost>' \ -u orgAdminEmail:passwordNếu bạn đang thực hiện TLS hai chiều với ứng dụng, hãy đặt
<ClientAuthEnabled>thành true và chỉ định kho lưu trữ tin cậy bằng phần tử<TrustStore>. Ứng dụng phải được định cấu hình chính xác cho TLS hai chiều, nghĩa là Edge có một kho lưu trữ tin cậy chứa nhà phát hành chứng chỉ và chuỗi chứng chỉ của ứng dụng. Tạo kho tin cậy bằng cách sử dụng quy trình được mô tả ở đây: Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge. Nếu bạn có sẵn proxy API, hãy thêm máy chủ lưu trữ ảo vào phần tử
<HTTPConnection>trong ProxyEndpoint. Máy chủ ảo được tự động thêm vào tất cả proxy API mới. Xem phần Định cấu hình proxy API để sử dụng máy chủ ảo.
Sau khi cập nhật proxy API để sử dụng máy chủ ảo và tạo mục nhập DNS và bản ghi CNAME cho bí danh máy chủ, bạn có thể truy cập vào proxy API như sau:
https://api.myCompany.com/v1/{project-base-path}/{resource-path}
Ví dụ:
https://api.myCompany.com/v1/weather/forecastrss?w=12797282
Sửa đổi máy chủ ảo
Có hai nhiệm vụ chính mà khách hàng trả phí của Cloud thực hiện để sửa đổi máy chủ ảo hiện có:
- Sửa đổi giá trị của tệp tham chiếu đến kho khoá hoặc kho tin cậy.
Lưu ý: Sau khi đặt<KeyStore>hoặc<TrustStore>để sử dụng một tệp tham chiếu, bạn có thể thay đổi giá trị của tệp tham chiếu đó bất cứ lúc nào. Tuy nhiên, nếu muốn thay đổi<KeyStore>hoặc<TrustStore>để sử dụng một tệp tham chiếu khác hoặc thay đổi<KeyAlias>để sử dụng một bí danh khác, bạn phải liên hệ với Nhóm hỗ trợ Apigee Edge. - Sửa đổi các thuộc tính TLS của máy chủ ảo.
Sửa đổi giá trị của tệp tham chiếu
Bạn có thể sửa đổi giá trị của tệp tham chiếu để thay đổi kho khoá hoặc kho tin cậy mà máy chủ ảo sử dụng.
Trước khi bạn sửa đổi giá trị của tệp đối chiếu:
- Tạo một kho khoá mới rồi tải chứng chỉ và khoá lên như mô tả trong phần Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge. Trong kho khoá mới, hãy đảm bảo bạn sử dụng cùng một tên cho bí danh khoá như đã sử dụng trong kho khoá hiện có.
- Nếu cần, hãy tạo một kho tin cậy mới và tải chứng chỉ lên như mô tả trong phần Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge.
- Sửa đổi tệp đối chiếu như mô tả trong phần Làm việc với tệp đối chiếu.
Sửa đổi các thuộc tính TLS của máy chủ ảo
Khách hàng trả phí có thể sử dụng API Cập nhật máy chủ ảo để cập nhật máy chủ ảo. API này cho phép bạn đặt tất cả các thuộc tính cho máy chủ lưu trữ ảo được mô tả trong phần Tài liệu tham khảo về thuộc tính máy chủ lưu trữ ảo.
Khi bạn sửa đổi máy chủ ảo, Edge sẽ thực hiện quy trình xác thực tương tự như khi bạn tạo máy chủ ảo. Tức là khi sửa đổi, Edge sẽ xác thực rằng:
- Miền do bí danh máy chủ lưu trữ chỉ định không được sử dụng trong một tổ chức và môi trường khác.
- Bạn sở hữu tên miền. Cụ thể, Edge kiểm tra để đảm bảo rằng thông tin sau trong chứng chỉ khớp với bí danh máy chủ lưu trữ:
- CN – Tên chung
- SAN – Tên thay thế của chủ đề
- Edge xác thực rằng chứng chỉ chưa hết hạn.
Để sửa đổi máy chủ lưu trữ ảo bằng Edge API, hãy thực hiện như sau:
Cập nhật máy chủ ảo bằng cách sử dụng API Cập nhật máy chủ ảo. Khi sử dụng API, bạn phải chỉ định định nghĩa đầy đủ của máy chủ ảo trong phần nội dung yêu cầu, chứ không chỉ các phần tử mà bạn muốn thay đổi. Trong ví dụ này, bạn đặt giá trị của thuộc tính
proxy_read_timeout:curl -X PUT -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>false</ClientAuthEnabled> <KeyStore>ref://myTestKeystoreRef</KeyStore> <KeyAlias>myKeyAlias</KeyAlias> </SSLInfo> <Properties> <Property name="proxy_read_timeout">50</Property> </Properties> </VirtualHost>' \ -u orgAdminEmail:password
Sửa đổi máy chủ lưu trữ ảo để sử dụng thông tin tham chiếu đến kho khoá và kho tin cậy
Tất cả máy chủ ảo mới cho Edge trong đám mây đều sử dụng tham chiếu đến kho khoá và kho tin cậy. Thông tin tham chiếu cho phép bạn thay đổi kho khoá và kho tin cậy mà không cần liên hệ với Nhóm hỗ trợ Apigee Edge.
Các máy chủ ảo cũ trên Apigee Edge có thể không được định cấu hình để sử dụng tệp tham chiếu cho kho khoá và kho tin cậy. Trong trường hợp này, bạn có thể cập nhật máy chủ ảo để sử dụng tệp tham chiếu.
Cập nhật máy chủ ảo để sử dụng tham chiếu
Hãy làm theo quy trình sau để cập nhật máy chủ lưu trữ ảo:
- Nếu cần, hãy tạo một kho khoá mới và tải chứng chỉ lên như mô tả trong phần Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge. Nếu đã có kho khoá, bạn có thể định cấu hình tham chiếu để trỏ đến kho khoá đó.
- Tạo một tệp tham chiếu mới đến kho khoá.
- Nếu cần, hãy tạo một kho tin cậy mới và tải chứng chỉ lên. Nếu đã có kho tin cậy, bạn có thể định cấu hình một tệp đối chiếu để trỏ đến kho tin cậy đó.
- Tạo tệp tham chiếu mới đến kho tin cậy.
- Cập nhật máy chủ lưu trữ ảo để đặt kho khoá, bí danh, kho tin cậy và bất kỳ thuộc tính TLS nào khác. Trọng tải của lệnh gọi là:
curl -X PUT -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <OCSPStapling>off</OCSPStapling> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>true</ClientAuthEnabled> <KeyStore>ref://myKeyStore2Way</KeyStore> <KeyAlias>keyAlias</KeyAlias> <TrustStore>ref://myTrustStore2Way</TrustStore> <IgnoreValidationErrors>false</IgnoreValidationErrors> </SSLInfo> </VirtualHost>' \ -u orgAdminEmail:pWord - Hãy liên hệ với Bộ phận hỗ trợ Apigee để khởi động lại Bộ định tuyến Edge nhằm hoàn tất quá trình này.