Bạn đang xem tài liệu về Apigee Edge.
Chuyển đến tài liệu về
Apigee X. thông tin
Khách hàng Cloud có tài khoản trả phí có thể tạo máy chủ ảo trong tổ chức.
Tìm hiểu thêm:
Những người có thể tạo và sửa đổi máy chủ ảo trên Đám mây
Tính năng tạo và sửa đổi máy chủ ảo chỉ dành cho các tài khoản trả phí trên Edge Cloud. Người dùng tạo máy chủ ảo phải đóng vai trò quản trị viên của tổ chức hoặc vai trò tuỳ chỉnh có quyền sửa đổi máy chủ ảo. Người dùng có các vai trò khác không có quyền tạo máy chủ ảo.
Ví dụ: khách hàng có trả phí có thể:
- Bật TLS một chiều và hai chiều
- Chỉ định kho khoá/truststore mà máy chủ ảo sử dụng
Tài khoản miễn phí và tài khoản dùng thử không thể tạo hoặc sửa đổi máy chủ ảo và chỉ dùng được các máy chủ ảo được tạo cho họ tại thời điểm đăng ký Edge. Để biết thêm thông tin về các gói giá của Edge, hãy truy cập vào https://apigee.com/api-management/#/pricing.
Yêu cầu đối với việc định cấu hình máy chủ ảo cho Đám mây
Bảng sau đây tóm tắt các yêu cầu để tạo máy chủ ảo:
| Danh mục | Yêu cầu | Mô tả |
|---|---|---|
| Loại tài khoản | Đã thanh toán | Tài khoản dùng thử và tài khoản miễn phí không thể tạo hoặc sửa đổi máy chủ ảo. |
| Vai trò của người dùng | quản trị viên tổ chức | Chỉ quản trị viên tổ chức mới có thể tạo máy chủ ảo hoặc người dùng có vai trò tuỳ chỉnh có quyền sửa đổi máy chủ ảo. |
| Số lượng máy chủ ảo | Tối đa 20 |
Bạn chỉ được phép có tối đa 20 máy chủ ảo cho mỗi tổ chức/môi trường trên Đám mây. Lưu ý: Không có giới hạn về số lượng máy chủ ảo trong Đám mây riêng tư. Hầu hết các tổ chức/môi trường đều sử dụng 2 máy chủ ảo: một máy chủ cho HTTP và một để truy cập qua HTTPS. Bạn có thể cần thêm máy chủ ảo nếu tổ chức/môi trường của bạn cho phép truy cập bằng nhiều tên miền. |
| URL cơ sở | Bao gồm giao thức | Khi xác định URL cơ sở cho máy chủ ảo, trong giao diện người dùng hoặc API, bạn phải chỉ định giao thức (ví dụ: "http://" hoặc "https://") trong URL. |
| Cổng | 443 |
Bạn chỉ có thể tạo máy chủ ảo trên cổng 443. Xin lưu ý rằng bạn có thể tạo nhiều máy chủ ảo trên cổng 443, miễn là các máy chủ đó có email đại diện riêng biệt của máy chủ và tất cả đều hỗ trợ TLS. |
| TLS | Bắt buộc |
Bạn chỉ có thể tạo máy chủ ảo hỗ trợ TLS qua HTTPS. Bạn phải tạo một kho khoá và một kho lưu trữ tin cậy có chứa chứng chỉ và khoá TLS (không bắt buộc). Bạn phải có chứng chỉ được ký bởi một tổ chức đáng tin cậy, như Symantec hoặc VeriSign. Bạn không thể sử dụng chứng chỉ tự ký. Nếu bạn yêu cầu quyền truy cập HTTP, hãy liên hệ với Nhóm hỗ trợ Apigee. |
| Giao thức TLS | TLS 1.2 |
Edge trong Đám mây chỉ hỗ trợ TLS phiên bản 1.2. |
| Email đại diện của máy chủ | Duy nhất trong tổ chức và môi trường | Tên đại diện của máy chủ không tồn tại cho một tổ hợp tổ chức/môi trường khác. |
| Tên miền | Do khách hàng sở hữu |
Bạn phải sở hữu tên miền được chỉ định trong máy chủ ảo. Edge kiểm tra để đảm bảo rằng tên miền (do bí danh của máy chủ lưu trữ xác định) khớp với siêu dữ liệu trong chứng chỉ TLS. Cụ thể, Edge kiểm tra các thông tin sau trong chứng chỉ:
Cho phép sử dụng ký tự đại diện trong SAN hoặc CN, ví dụ: Edge cũng xác thực rằng chứng chỉ chưa hết hạn. |
| Hỗ trợ NNAPI của ứng dụng khách | Tất cả ứng dụng khách truy cập vào máy chủ ảo đều phải hỗ trợ DEX. |
Tất cả các ứng dụng đều yêu cầu hỗ trợ DEX. |
Tạo máy chủ ảo bằng trình duyệt
Hầu hết các ví dụ trong phần này đều sử dụng API Edge để tạo hoặc sửa đổi máy chủ ảo. Tuy nhiên, bạn có thể tạo máy chủ ảo trong giao diện người dùng Edge.
Cách tạo máy chủ ảo bằng giao diện người dùng Edge:
- Đăng nhập vào apigee.com/edge.
- Chọn Quản trị viên > Máy chủ ảo.
- Chọn môi trường, chẳng hạn như prod hoặc test (kiểm thử).
- Chọn + Virtual Host (+ Máy chủ ảo) để tạo máy chủ ảo hoặc chọn tên của một máy chủ ảo hiện có để chỉnh sửa.
- Xem bảng trên để biết thông tin chi tiết về cách điền các trường máy chủ ảo.
Xác định máy chủ ảo cho TLS một chiều
Đối tượng XML xác định máy chủ ảo. Ví dụ: đối tượng XML sau đây xác định một máy chủ ảo cho TLS một chiều:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>api.myCompany.com</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
</SSLInfo>
</VirtualHost>
Trong định nghĩa này, bạn:
- Chỉ định name là myTLSVHost. Sử dụng tên này để tham chiếu đến máy chủ ảo trong proxy API hoặc trong lệnh gọi API.
- Hãy chỉ định email đại diện của máy chủ lưu trữ là api.myCompany.com. Đây là miền mà bạn công khai dùng để truy cập vào các API của bạn, được xác định trong định nghĩa DNS và bản ghi CNAME.
- Chỉ định số cổng là 443. Nếu bạn bỏ qua thì theo mặc định, cổng sẽ được đặt thành 443.
- Bật TLS theo yêu cầu.
Phần tử<Enable>được đặt thành true để bật TLS một chiều, đồng thời các phần tử và<KeyStore>chỉ định kho khoá và bí danh khoá mà kết nối TLS sử dụng.
Để bật TLS hai chiều, hãy đặt<ClientAuthEnabled>thành true và chỉ định một kho lưu trữ tin cậy bằng cách sử dụng phần tử<TrustStore>. Kho lưu trữ tin cậy lưu giữ trình phát hành chứng chỉ của ứng dụng và chuỗi CA của chứng chỉ (bắt buộc).
Lưu ý: Vì ban đầu Edge hỗ trợ SSL, nên thẻ mà bạn sử dụng để định cấu hình TLS có tên là<SSLInfo>.
Lưu ý rằng bạn có thể đặt các thuộc tính bổ sung trong máy chủ ảo. Để tham khảo về tất cả tài sản, hãy xem bài viết Tài liệu tham khảo về tài sản lưu trữ ảo.
Quyết định cách chỉ định kho khoá và tên kho lưu trữ trong máy chủ ảo
Khi định cấu hình máy chủ ảo để hỗ trợ TLS, bạn sẽ chỉ định một kho khoá bằng cách sử dụng một tệp tham chiếu. Tệp đối chiếu là một biến chứa tên kho khoá hoặc kho lưu trữ tin cậy, thay vì chỉ định trực tiếp tên kho khoá hoặc kho lưu trữ tin cậy, như minh hoạ dưới đây:
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
</SSLInfo>
Ưu điểm của việc sử dụng tệp tham chiếu là bạn có thể thay đổi giá trị của tham chiếu để thay đổi kho khoá mà máy chủ ảo sử dụng, thường là vì chứng chỉ trong kho khoá hiện tại sẽ hết hạn trong một thời gian sắp tới. Bạn không cần phải khởi động lại Bộ định tuyến Edge để thay đổi giá trị của tham chiếu. Xem phần Làm việc với tệp đối chiếu để biết thêm thông tin về cách tạo và sửa đổi tệp đối chiếu.
Bạn chỉ có thể sử dụng tệp đối chiếu đến kho khoá và kho lưu trữ tin cậy; không thể sử dụng tệp tham chiếu đến bí danh. Khi bạn thay đổi tham chiếu đến một kho khoá, hãy đảm bảo rằng tên đại diện của chứng chỉ giống như trong kho khoá cũ.
Hạn chế trong việc sử dụng tham chiếu đến kho khoá và kho tin cậy
Bạn phải tính đến hạn chế sau đây khi sử dụng tệp tham chiếu đến kho khoá và kho lưu trữ tin cậy:
- Bạn chỉ có thể sử dụng các tham chiếu đến kho khoá và kho lưu trữ tin cậy trong máy chủ ảo nếu bạn hỗ trợ DEX và chấm dứt SSL trên Bộ định tuyến Apigee.
- Nếu có trình cân bằng tải trước Bộ định tuyến Apigee và chấm dứt TLS trên trình cân bằng tải, thì bạn không thể sử dụng các tệp tham chiếu kho khoá và kho lưu trữ tin cậy trong các máy chủ ảo.
Xác định máy chủ ảo cho TLS hai chiều
Để bật TLS hai chiều, hãy đặt phần tử <ClientAuthEnabled> thành true và chỉ định một kho lưu trữ tin cậy bằng cách sử dụng một tệp tham chiếu với phần tử <TrustStore>. Kho lưu trữ tin cậy lưu giữ trình phát hành chứng chỉ của ứng dụng và chuỗi CA của chứng chỉ (bắt buộc). Ứng dụng cũng phải được
định cấu hình chính xác cho TLS hai chiều.
Để tạo máy chủ ảo cho TLS hai chiều, hãy tạo một đối tượng XML xác định máy chủ ảo:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>api.myCompany.com</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>true</ClientAuthEnabled>
<KeyStore>ref://myTestKeystoreRef</KeyStore>
<KeyAlias>myKeyAlias</KeyAlias>
<TrustStore>ref://myTestTruststoreRef</TrustStore>
</SSLInfo>
</VirtualHost>
Trong định nghĩa này, bạn:
- Bật TLS hai chiều bằng cách đặt
<ClientAuthEnabled>thành true. - Chỉ định tham chiếu đến Truststore bằng phần tử
<TrustStore>. Kho lưu trữ tin cậy lưu giữ trình phát hành chứng chỉ của ứng dụng và chuỗi CA của chứng chỉ (bắt buộc).
Xác định một máy chủ ảo sử dụng khoá và chứng chỉ dùng thử miễn phí Apigee
Nếu có tài khoản Edge có tính phí cho tài khoản Cloud và chưa có chứng chỉ và khoá TLS, bạn có thể tạo một máy chủ ảo sử dụng khoá và chứng chỉ dùng thử miễn phí Apigee. Điều đó có nghĩa là bạn có thể tạo máy chủ ảo mà không cần tạo kho khoá trước.
Chứng chỉ dùng thử miễn phí Apigee được xác định cho một miền của *.apigee.net. Do đó, <HostAlias> của máy chủ ảo cũng phải ở dạng *.apigee.net.
Nếu đang thực hiện TLS hai chiều, bạn vẫn phải đặt phần tử <ClientAuthEnabled> thành true và chỉ định một kho tin cậy bằng cách sử dụng tệp tham chiếu với phần tử <TrustStore> như mô tả ở trên trong phần Xác định máy chủ ảo cho TLS hai chiều.
Đối tượng XML xác định máy chủ ảo bằng khoá và chứng chỉ dùng thử miễn phí Apigee sẽ bỏ qua các phần tử <KeyStore> và <KeyAlias> và thay thế các phần tử này bằng phần tử <UseBuiltInFreeTrialCert>, như minh hoạ dưới đây:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>myapi.apigee.net</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>false</ClientAuthEnabled>
</SSLInfo>
<UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>
Giá trị mặc định của phần tử <UseBuiltInFreeTrialCert> là false.
Đối với TLS hai chiều, hãy xác định máy chủ ảo là:
<VirtualHost name="myTLSVHost">
<HostAliases>
<HostAlias>myapi.apigee.net</HostAlias>
</HostAliases>
<Port>443</Port>
<SSLInfo>
<Enabled>true</Enabled>
<ClientAuthEnabled>true</ClientAuthEnabled>
<TrustStore>ref://myTestTruststoreRef</TrustStore>
</SSLInfo>
<UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>
Trong giao diện người dùng Edge, hãy chọn phương án Dùng chứng chỉ dùng thử miễn phí tích hợp sẵn khi tạo máy chủ ảo để sử dụng chứng chỉ và khoá Apigee miễn phí:
Tạo máy chủ ảo
Sử dụng quy trình sau để tạo máy chủ ảo:
- Trong ví dụ này, hãy tạo một mục DNS và bản ghi CNAME cho miền công khai của bạn,
api.myCompany.comvà bản ghi này trỏ đến[org]-[environment].apigee.net. - Tạo và định cấu hình một kho khoá có tên là myTestKeystore trong ví dụ này bằng quy trình được mô tả dưới đây: Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge. Đối với ví dụ này, hãy đảm bảo rằng kho khoá sử dụng tên đại diện là myKeyAlias cho chứng chỉ và khoá riêng tư.
- Tải chứng chỉ và khoá của bạn lên kho khoá. Đảm bảo rằng tên miền trong chứng chỉ của bạn khớp với bí danh của máy chủ mà bạn muốn sử dụng cho máy chủ ảo.
-
Tạo một tham chiếu đến kho khoá bằng cách sử dụng API hoặc giao diện người dùng Edge. Tệp đối chiếu chỉ định tên của kho khoá và kiểu tham chiếu là
KeyStore. Xem phần Làm việc với tệp đối chiếu để biết thêm thông tin về cách tạo và sửa đổi tệp đối chiếu. - Tạo máy chủ ảo bằng cách sử dụng API Create a Virtual Host (Tạo máy chủ ảo). Hãy đảm bảo chỉ định đúng tham chiếu kho khoá và bí danh khoá.
Để sử dụng API, hãy dùng lệnh gọi POST API sau đây để tạo kho khoá có tên myTLSVHost:
curl -X POST -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>false</ClientAuthEnabled> <KeyStore>ref://myTestKeystoreRef</KeyStore> <KeyAlias>myKeyAlias</KeyAlias> </SSLInfo> </VirtualHost>' \ -u orgAdminEmail:passwordNếu bạn đang thực hiện TLS hai chiều với ứng dụng, hãy đặt
<ClientAuthEnabled>thành true và chỉ định kho tin cậy bằng cách sử dụng phần tử<TrustStore>. Ứng dụng phải được định cấu hình chính xác cho TLS hai chiều, nghĩa là Edge có một kho lưu trữ tin cậy chứa trình phát hành chứng chỉ và chuỗi chứng chỉ của ứng dụng. Tạo kho khoá và kho lưu trữ tin cậy bằng cách sử dụng quy trình được mô tả dưới đây: Tạo kho khoá và kho lưu trữ tin cậy bằng giao diện người dùng Edge. Nếu bạn hiện có bất kỳ proxy API nào, hãy thêm máy chủ ảo vào phần tử
<HTTPConnection>trong ProxyEndpoint. Máy chủ ảo được tự động thêm vào tất cả các proxy API mới. Xem phần Định cấu hình proxy API để sử dụng máy chủ ảo.
Sau khi cập nhật một proxy API để sử dụng máy chủ ảo, đồng thời tạo mục nhập DNS và bản ghi CNAME cho bí danh máy chủ lưu trữ, bạn có thể truy cập vào proxy API như sau:
https://api.myCompany.com/v1/{project-base-path}/{resource-path}
Ví dụ:
https://api.myCompany.com/v1/weather/forecastrss?w=12797282
Sửa đổi máy chủ ảo
Những khách hàng sử dụng dịch vụ đám mây có trả phí cần thực hiện hai nhiệm vụ chính để sửa đổi máy chủ ảo hiện có:
- Sửa đổi giá trị của một tham chiếu đến kho khoá hoặc kho lưu trữ tin cậy.
Lưu ý: Sau khi đặt<KeyStore>hoặc<TrustStore>để sử dụng tệp đối chiếu, bạn có thể thay đổi giá trị của tệp đối chiếu đó bất cứ lúc nào. Tuy nhiên, nếu muốn thay đổi<KeyStore>hoặc<TrustStore>để sử dụng một tham chiếu khác hoặc thay đổi<KeyAlias>để sử dụng một bí danh khác, bạn phải liên hệ với Bộ phận hỗ trợ Apigee. - Sửa đổi các thuộc tính TLS của máy chủ ảo.
Sửa đổi giá trị của một tệp tham chiếu
Bạn có thể sửa đổi giá trị của một tham chiếu để thay đổi kho khoá hoặc kho lưu trữ tin cậy mà một máy chủ ảo sử dụng.
Trước khi sửa đổi giá trị của tệp đối chiếu:
- Tạo một kho khoá mới rồi tải chứng chỉ và khoá lên như mô tả trong bài viết Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge. Trong kho khoá mới, hãy đảm bảo rằng bạn sử dụng cùng một tên cho bí danh khoá như được dùng trong kho khoá hiện có.
- Nếu cần, hãy tạo một kho khoá mới và tải chứng chỉ lên như mô tả trong bài viết Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge.
- Sửa đổi tệp đối chiếu theo cách như mô tả trong phần Xử lý tệp đối chiếu.
Sửa đổi các thuộc tính TLS của máy chủ ảo
Những khách hàng trả phí có thể sử dụng API Cập nhật máy chủ ảo để cập nhật máy chủ ảo. API này cho phép bạn đặt tất cả thuộc tính cho máy chủ ảo như được mô tả trong phần Tài liệu tham khảo về thuộc tính máy chủ ảo.
Khi bạn sửa đổi máy chủ ảo, Edge sẽ thực hiện quy trình xác thực tương tự như khi bạn tạo một máy chủ ảo. Tức là, trên một lần sửa đổi, Edge xác thực rằng:
- Miền do bí danh của máy chủ chỉ định không được dùng trong một tổ chức và môi trường khác.
- Bạn sở hữu tên miền. Cụ thể, Edge sẽ kiểm tra để đảm bảo thông tin sau đây trong chứng chỉ khớp với bí danh của máy chủ:
- CN - Tên phổ biến
- SAN - Tên thay thế của chủ đề
- Edge xác thực rằng chứng chỉ chưa hết hạn.
Để sửa đổi máy chủ ảo bằng cách sử dụng Edge API, hãy thực hiện như sau:
Cập nhật máy chủ ảo bằng cách sử dụng API Cập nhật máy chủ ảo. Khi sử dụng API, bạn phải chỉ định định nghĩa đầy đủ về máy chủ ảo trong nội dung yêu cầu, chứ không chỉ các phần tử mà bạn muốn thay đổi. Trong ví dụ này, bạn đặt giá trị của thuộc tính
proxy_read_timeout:curl -X PUT -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>false</ClientAuthEnabled> <KeyStore>ref://myTestKeystoreRef</KeyStore> <KeyAlias>myKeyAlias</KeyAlias> </SSLInfo> <Properties> <Property name="proxy_read_timeout">50</Property> </Properties> </VirtualHost>' \ -u orgAdminEmail:password
Sửa đổi máy chủ ảo để sử dụng các tệp tham chiếu đến kho khoá và kho tin cậy
Tất cả các máy chủ ảo mới cho Edge trong Đám mây đều sử dụng tham chiếu đến kho khoá và kho lưu trữ tin cậy. Tệp đối chiếu cho phép bạn thay đổi kho khoá và kho lưu trữ tin cậy mà không cần liên hệ với Bộ phận hỗ trợ Apigee.
Có thể bạn không định cấu hình được các máy chủ ảo cũ trên Apigee Edge để sử dụng tệp tham chiếu cho kho khoá và kho lưu trữ tin cậy. Trong trường hợp này, bạn có thể cập nhật máy chủ ảo để sử dụng tệp đối chiếu.
Cập nhật máy chủ ảo để sử dụng tệp tham chiếu
Sử dụng quy trình sau để cập nhật máy chủ ảo:
- Nếu cần, hãy tạo một kho khoá mới và tải chứng chỉ lên như mô tả trong bài viết Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge. Nếu đã có một kho khoá, thì bạn có thể định cấu hình một tham chiếu để trỏ đến kho khoá đó.
- Tạo một tham chiếu mới đến kho khoá.
- Nếu được yêu cầu, hãy tạo một kho lưu trữ tin cậy mới và tải chứng chỉ lên. Nếu đã có một kho lưu trữ tin cậy, thì bạn có thể định cấu hình một tệp tham chiếu để trỏ đến kho lưu trữ đó.
- Tạo một tham chiếu mới đến Truststore.
- Cập nhật máy chủ ảo để đặt kho khoá, bí danh, kho tin cậy và mọi thuộc tính TLS khác. Tải trọng của cuộc gọi là:
curl -X PUT -H "Content-Type:application/xml" \ https://api.enterprise.apigee.com/v1/o/{org_name}/e/{env_name}/virtualhosts/{vhost_name} \ -d '<VirtualHost name="myTLSVHost"> <HostAliases> <HostAlias>api.myCompany.com</HostAlias> </HostAliases> <Port>443</Port> <OCSPStapling>off</OCSPStapling> <SSLInfo> <Enabled>true</Enabled> <ClientAuthEnabled>true</ClientAuthEnabled> <KeyStore>ref://myKeyStore2Way</KeyStore> <KeyAlias>keyAlias</KeyAlias> <TrustStore>ref://myTrustStore2Way</TrustStore> <IgnoreValidationErrors>false</IgnoreValidationErrors> </SSLInfo> </VirtualHost>' \ -u orgAdminEmail:pWord - Hãy liên hệ với bộ phận Hỗ trợ API để khởi động lại Bộ định tuyến Edge nhằm hoàn tất quá trình này.