Tạo kho khoá và kho tin cậy bằng giao diện người dùng Edge

Bạn đang xem tài liệu về Apigee Edge.
Truy cập vào tài liệu Apigee X. thông tin

Tài liệu này mô tả cách tạo, sửa đổi và xoá kho khoá và kho tin cậy cho Edge for Cloud và Edge for Private Cloud phiên bản 4.18.01 trở lên.

Giới thiệu về kho khoá/kho tin cậy và máy chủ ảo cho Đám mây biên

Quy trình tạo kho khoá/kho tin cậy cho Edge Cloud yêu cầu bạn phải tuân thủ tất cả các quy tắc về việc sử dụng máy chủ ảo. Ví dụ: với máy chủ ảo trên đám mây:

• Máy chủ ảo phải sử dụng TLS.
• Máy chủ ảo chỉ có thể sử dụng cổng 443.
• Bạn phải sử dụng chứng chỉ TLS đã ký. Bạn không được phép sử dụng chứng chỉ chưa ký với máy chủ ảo trên Đám mây.
• Tên miền do chứng chỉ TLS chỉ định phải khớp với bí danh máy chủ của máy chủ ảo.

Tìm hiểu thêm:

• Giới thiệu về TLS/SSL
• Sử dụng TLS với Edge
• Câu hỏi thường gặp về cách định cấu hình máy chủ ảo
• Giới thiệu về máy chủ ảo

Triển khai kho khoá và kho tin cậy trong Edge

Để định cấu hình chức năng dựa trên cơ sở hạ tầng khoá công khai (chẳng hạn như TLS), bạn cần tạo các kho khoá và kho tin cậy chứa các khoá và chứng chỉ kỹ thuật số cần thiết.

Trong Edge, cả kho khoá và kho tin cậy đều được biểu thị bằng một thực thể keystore chứa một hoặc nhiều bí danh. Tức là không có sự khác biệt về việc triển khai giữa kho khoá và kho tin cậy trên Edge.

Sự khác biệt giữa keystore và truststore bắt nguồn từ các loại mục mà chúng chứa và cách chúng được dùng trong quá trình bắt tay TLS:

• keystore – một thực thể kho khoá chứa một hoặc nhiều bí danh, trong đó mỗi bí danh chứa một cặp chứng chỉ/khoá.
• truststore – một thực thể kho khoá chứa một hoặc nhiều bí danh, trong đó mỗi bí danh chỉ chứa một chứng chỉ.

Khi định cấu hình TLS cho một máy chủ ảo hoặc điểm cuối đích, kho khoá và kho tin cậy sẽ cung cấp các vai trò khác nhau trong quy trình bắt tay TLS. Khi định cấu hình máy chủ ảo hoặc điểm cuối mục tiêu, bạn chỉ định riêng các kho khoá và kho tin cậy trong thẻ <SSLInfo>, như minh hoạ bên dưới cho một máy chủ ảo:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>apiTLS.myCompany.com</HostAlias> 
    </HostAliases> 
    <Interfaces/> 
    <Port>9006</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>false</ClientAuthEnabled> 
        <KeyStore>ref://keystoreref</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
    </SSLInfo>
</VirtualHost>

Trong ví dụ này, bạn chỉ định tên của kho khoá và bí danh mà máy chủ ảo dùng cho kho khoá TLS. Bạn dùng một reference để chỉ định tên kho khoá để có thể thay đổi tên này sau khi chứng chỉ hết hạn. Bí danh chứa một cặp chứng chỉ/khoá dùng để xác định máy chủ ảo cho một ứng dụng TLS truy cập vào máy chủ ảo. Trong ví dụ này, không cần truststore.

Nếu cần có một kho lưu trữ đáng tin cậy, chẳng hạn như đối với cấu hình TLS 2 chiều, hãy dùng thẻ <TrustStore> để chỉ định kho lưu trữ đáng tin cậy:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>apiTLS.myCompany.com</HostAlias> 
    </HostAliases> 
    <Interfaces/> 
    <Port>9006</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://keystoreref</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://truststoreref</TrustStore>
    </SSLInfo>
</VirtualHost>

Trong ví dụ này, thẻ <TrustStore> chỉ tham chiếu đến một kho khoá, chứ không chỉ định một bí danh cụ thể. Mỗi bí danh trong kho khoá đều chứa một chứng chỉ hoặc một chuỗi chứng chỉ được dùng trong quy trình bắt tay TLS.

Định dạng chứng chỉ được hỗ trợ

* Bạn nên sử dụng PEM nếu có thể.

Sử dụng kho khoá PKCS12 với Edge cho Đám mây riêng tư phiên bản 4.53.00 trở lên

Nếu đang sử dụng Edge cho Đám mây riêng tư phiên bản 4.53.00 trở lên, bạn chỉ nên sử dụng một kho khoá PKCS12 để tải khoá và các chứng chỉ liên quan lên Apigee. Để được trợ giúp về cách chuyển đổi khoá và chứng chỉ hiện có sang định dạng PKCS12/PFX, hãy tham khảo bài viết Chuyển đổi chứng chỉ sang định dạng được hỗ trợ.

Giới thiệu về cách triển khai email đại diện

Trên Edge, kho khoá chứa một hoặc nhiều biệt hiệu, trong đó mỗi biệt hiệu chứa:

• Chứng chỉ TLS dưới dạng tệp PEM hoặc PKCS12/PFX – một chứng chỉ do tổ chức phát hành chứng chỉ (CA) ký, một tệp chứa chuỗi chứng chỉ trong đó chứng chỉ cuối cùng được CA ký hoặc một chứng chỉ tự ký.
• Khoá riêng tư dưới dạng tệp PEM hoặc PKCS12/PFX. Edge hỗ trợ các kích thước khoá lên đến 2048 bit. Bạn không bắt buộc phải sử dụng cụm mật khẩu.

Trên Edge, truststore chứa một hoặc nhiều biệt hiệu, trong đó mỗi biệt hiệu chứa một:

• Chứng chỉ TLS dưới dạng tệp PEM – có thể là chứng chỉ do một tổ chức phát hành chứng chỉ (CA) ký, một chuỗi chứng chỉ trong đó chứng chỉ cuối cùng do một CA ký hoặc một chứng chỉ tự ký.

Edge cung cấp một giao diện người dùng và API mà bạn dùng để tạo kho khoá, tạo bí danh, tải các cặp chứng chỉ/khoá lên và cập nhật chứng chỉ. Giao diện người dùng và API mà bạn dùng để tạo một truststore cũng giống như khi bạn dùng để tạo một keystore. Điểm khác biệt là khi tạo một truststore, bạn sẽ tạo các bí danh chỉ chứa một chứng chỉ.

Giới thiệu về định dạng của tệp chứng chỉ và khoá

Bạn có thể biểu thị chứng chỉ và khoá dưới dạng tệp PEM hoặc tệp PKCS12/PFX. Tệp PEM tuân thủ định dạng X.509. Nếu chứng chỉ hoặc khoá riêng tư của bạn không được xác định bằng tệp PEM, bạn có thể chuyển đổi chứng chỉ hoặc khoá riêng tư đó thành tệp PEM bằng cách sử dụng các tiện ích như openssl.

Tuy nhiên, nhiều tệp .crt và tệp .key đã ở định dạng PEM. Nếu các tệp này là tệp văn bản và được đặt trong:

-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----

hoặc:

-----BEGIN ENCRYPTED PRIVATE KEY-----
-----END ENCRYPTED PRIVATE KEY-----

Sau đó, các tệp này sẽ tương thích với định dạng PEM và bạn có thể sử dụng chúng trong một kho khoá hoặc kho tin cậy mà không cần chuyển đổi thành tệp PEM.

Giới thiệu về chuỗi chứng chỉ

Nếu một chứng chỉ là một phần của chuỗi, bạn sẽ xử lý chứng chỉ đó theo cách khác tuỳ thuộc vào việc chứng chỉ được dùng trong một kho khoá hay trong một kho tin cậy:

• Kho khoá – Nếu một chứng chỉ nằm trong một chuỗi, thì bạn phải tạo một tệp duy nhất chứa tất cả các chứng chỉ trong chuỗi đó. Các chứng chỉ phải theo thứ tự và chứng chỉ cuối cùng phải là chứng chỉ gốc hoặc chứng chỉ trung gian do chứng chỉ gốc ký.
• Truststore – Nếu một chứng chỉ là một phần của chuỗi, thì bạn phải tạo một tệp duy nhất chứa tất cả các chứng chỉ và tải tệp đó lên một bí danh, hoặc tải riêng tất cả các chứng chỉ trong chuỗi lên truststore bằng một bí danh khác cho mỗi chứng chỉ. Nếu bạn tải các chứng chỉ này lên dưới dạng một chứng chỉ duy nhất, thì các chứng chỉ phải theo thứ tự và chứng chỉ cuối cùng phải là chứng chỉ gốc hoặc chứng chỉ trung gian do chứng chỉ gốc ký.
• Nếu tạo một tệp chứa nhiều chứng chỉ, bạn phải chèn một dòng trống giữa mỗi chứng chỉ.

Ví dụ: bạn có thể kết hợp tất cả các chứng chỉ vào một tệp PEM duy nhất. Các chứng chỉ phải theo thứ tự và chứng chỉ cuối cùng phải là chứng chỉ gốc hoặc chứng chỉ trung gian do chứng chỉ gốc ký:

-----BEGIN CERTIFICATE----- 
(Your Primary TLS certificate) 
-----END CERTIFICATE----- 

-----BEGIN CERTIFICATE----- 
(Intermediate certificate) 
-----END CERTIFICATE-----
 
-----BEGIN CERTIFICATE----- 
(Root certificate or intermediate certificate signed by a root certificate) 
-----END CERTIFICATE-----

Nếu các chứng chỉ của bạn được biểu thị dưới dạng tệp PKCS12/PFX, bạn có thể dùng lệnh openssl để tạo tệp PKCS12/PFX từ chuỗi chứng chỉ, như minh hoạ dưới đây:

openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

Khi làm việc với các chuỗi chứng chỉ trong một truststore, bạn không phải lúc nào cũng phải tải tất cả các chứng chỉ trong chuỗi lên. Ví dụ: bạn tải một chứng chỉ ứng dụng khách (client_cert_1) và chứng chỉ của nhà phát hành chứng chỉ ứng dụng khách (ca_cert) lên.

Trong quá trình xác thực TLS hai chiều, quá trình xác thực ứng dụng sẽ thành công khi máy chủ gửi client_cert_1 đến ứng dụng trong quá trình bắt tay TLS.

Ngoài ra, bạn có chứng chỉ thứ hai (client_cert_2) do cùng một chứng chỉ (ca_cert) ký. Tuy nhiên, bạn không tải client_cert_2 lên truststore. Truststore vẫn chỉ chứa client_cert_1 và ca_cert.

Khi máy chủ truyền client_cert_2 trong quá trình bắt tay TLS, yêu cầu sẽ thành công. Điều này là do Edge cho phép xác minh TLS thành công khi client_cert_2 không tồn tại trong kho lưu trữ uy tín nhưng được ký bởi một chứng chỉ tồn tại trong kho lưu trữ uy tín. Nếu bạn xoá chứng chỉ CA, ca_cert, khỏi kho lưu trữ đáng tin cậy thì quá trình xác minh TLS sẽ không thành công.

Những điểm cần cân nhắc về FIPS

Nếu đang sử dụng Edge cho Đám mây riêng tư 4.53.00 trở lên trên hệ điều hành có FIPS, bạn chỉ nên sử dụng một kho khoá PKCS12 để tải khoá và các chứng chỉ liên quan lên Apigee.

Khám phá trang TLS Keystores (Kho khoá TLS)

Trang TLS Keystores (Kho khoá TLS) sẽ xuất hiện:

Như minh hoạ trong hình trước, trang TLS Keystores (Kho khoá TLS) cho phép bạn:

• Chọn một môi trường
• Tạo kho khoá và email đại diện
• Kiểm thử và xoá kho khoá
• Xem và xoá bí danh

Xem bí danh

Cách xem email đại diện:

1. Truy cập vào trang TLS Keystores (Kho khoá TLS).
2. Chọn Môi trường (thường là prod hoặc test).
3. Nhấp vào hàng được liên kết với biệt hiệu mà bạn muốn xem.

   Thông tin chi tiết về chứng chỉ và khoá bí danh sẽ xuất hiện.
   
   Bạn có thể xem tất cả thông tin về email đại diện, kể cả ngày hết hạn.

4. Quản lý chứng chỉ bằng các nút ở đầu trang để:
   • Tải chứng chỉ xuống dưới dạng tệp PEM.
   • Tạo CSR. Nếu có một chứng chỉ đã hết hạn và muốn gia hạn, bạn có thể tải Yêu cầu ký chứng chỉ (CSR) xuống. Sau đó, bạn gửi CSR đến CA để lấy chứng chỉ mới.
   • Cập nhật chứng chỉ. Thận trọng: Nếu cập nhật một chứng chỉ mà máy chủ ảo hoặc máy chủ đích/điểm cuối đích hiện đang sử dụng, thì bạn phải liên hệ với Nhóm hỗ trợ Apigee Edge để khởi động lại Bộ định tuyến và Bộ xử lý thông báo. Cách cập nhật chứng chỉ được đề xuất là:
     1. Tạo một kho khoá hoặc kho tin cậy mới.
     2. Thêm chứng chỉ mới vào kho khoá hoặc kho tin cậy mới.
     3. Cập nhật reference trong máy chủ ảo hoặc máy chủ đích/điểm cuối đích thành kho khoá hoặc kho tin cậy. Hãy xem bài viết Cập nhật chứng chỉ TLS cho Cloud để biết thêm thông tin.
     4. Xoá bí danh. Lưu ý: Nếu bạn xoá một bí danh và bí danh đó hiện đang được một máy chủ lưu trữ ảo hoặc điểm cuối đích sử dụng, thì máy chủ lưu trữ ảo hoặc điểm cuối đích sẽ gặp lỗi.

Tạo kho khoá/kho tin cậy và email đại diện

Bạn có thể tạo một kho khoá để dùng làm kho khoá TLS hoặc kho khoá tin cậy TLS. Kho khoá dành riêng cho một môi trường trong tổ chức của bạn, ví dụ: môi trường kiểm thử hoặc môi trường sản xuất. Do đó, nếu muốn kiểm thử kho khoá trong môi trường thử nghiệm trước khi triển khai kho khoá đó vào môi trường thực tế, bạn phải tạo kho khoá trong cả hai môi trường.

Để tạo một kho khoá trong một môi trường, bạn chỉ cần chỉ định tên kho khoá. Sau khi tạo một kho khoá có tên trong một môi trường, bạn có thể tạo các bí danh rồi tải một cặp chứng chỉ/khoá (kho khoá) lên hoặc chỉ tải một chứng chỉ (kho lưu trữ đáng tin cậy) lên bí danh.

Cách tạo kho khoá:

1. Truy cập vào trang TLS Keystores (Kho khoá TLS).
2. Chọn Môi trường (thường là prod hoặc test).
3. Nhấp vào + Keystore.
4. Chỉ định tên kho khoá. Tên này chỉ có thể chứa các ký tự chữ-số.
5. Nhấp vào Thêm kho khoá. Kho khoá mới sẽ xuất hiện trong danh sách.
6. Hãy sử dụng một trong các quy trình sau để thêm một tên thay thế. Xem thêm Định dạng tệp chứng chỉ được hỗ trợ.
   • Tạo một bí danh từ chứng chỉ (chỉ truststore)
   • Tạo một biệt hiệu từ tệp JAR (chỉ kho khoá)
   • Tạo một bí danh từ chứng chỉ và khoá (chỉ kho khoá)
   • Tạo một biệt hiệu từ tệp PKCS12/PFX (chỉ kho khoá)
   • Tạo một bí danh từ chứng chỉ tự ký (chỉ kho khoá)

Tạo một bí danh từ chứng chỉ (chỉ truststore)

Cách tạo bí danh từ chứng chỉ:

1. Truy cập vào trang TLS Keystores (Kho khoá TLS).
2. Đặt con trỏ lên kho khoá để hiện trình đơn thao tác rồi nhấp vào +.
3. Chỉ định Alias Name (Tên bí danh).
4. Trong phần Certificate details (Chi tiết chứng chỉ), hãy chọn Certificate Only (Chỉ chứng chỉ) trong trình đơn thả xuống Type (Loại).
5. Nhấp vào Chọn tệp bên cạnh Tệp chứng chỉ, chuyển đến tệp PEM chứa chứng chỉ rồi nhấp vào Mở.
6. Theo mặc định, API sẽ kiểm tra để đảm bảo chứng chỉ chưa hết hạn. Bạn có thể chọn Cho phép chứng chỉ đã hết hạn để bỏ qua bước xác thực.
7. Chọn Lưu để tải chứng chỉ lên và tạo biệt hiệu.

Tạo một bí danh từ tệp JAR (chỉ kho khoá)

Cách tạo bí danh từ tệp JAR:

1. Truy cập vào trang TLS Keystores (Kho khoá TLS).
2. Đặt con trỏ lên kho khoá để hiện trình đơn thao tác rồi nhấp vào +.
3. Chỉ định Alias Name (Tên bí danh).
4. Trong phần Certificate details (Thông tin chi tiết về chứng chỉ), hãy chọn JAR File (Tệp JAR) trong trình đơn thả xuống Type (Loại).
5. Nhấp vào Chọn tệp bên cạnh Tệp JAR, chuyển đến tệp JAR chứa chứng chỉ và khoá rồi nhấp vào Mở.
6. Nếu khoá có mật khẩu, hãy chỉ định Mật khẩu. Nếu khoá không có mật khẩu, hãy để trống trường này.
7. Theo mặc định, API sẽ kiểm tra để đảm bảo chứng chỉ chưa hết hạn. Bạn có thể chọn Cho phép chứng chỉ đã hết hạn để bỏ qua bước xác thực.
8. Chọn Lưu để tải khoá và chứng chỉ lên, đồng thời tạo bí danh.

Tạo một bí danh từ chứng chỉ và khoá (chỉ kho khoá)

Cách tạo một bí danh từ chứng chỉ và khoá:

1. Truy cập vào trang TLS Keystores (Kho khoá TLS).
2. Đặt con trỏ lên kho khoá để hiện trình đơn thao tác rồi nhấp vào +.
3. Chỉ định Alias Name (Tên bí danh).
4. Trong phần Certificate details (Thông tin chi tiết về chứng chỉ), hãy chọn Certificate and Key (Chứng chỉ và khoá) trong trình đơn thả xuống Type (Loại).
5. Nhấp vào Chọn tệp bên cạnh Tệp chứng chỉ, chuyển đến tệp PEM chứa chứng chỉ rồi nhấp vào Mở.
6. Nếu khoá có mật khẩu, hãy chỉ định Mật khẩu khoá. Nếu khoá không có mật khẩu, hãy để trống trường này.
7. Nhấp vào Chọn tệp bên cạnh Tệp khoá, chuyển đến tệp PEM chứa khoá rồi nhấp vào Mở.
8. Theo mặc định, API sẽ kiểm tra để đảm bảo chứng chỉ chưa hết hạn. Bạn có thể chọn Cho phép chứng chỉ đã hết hạn để bỏ qua bước xác thực.
9. Chọn Lưu để tải khoá và chứng chỉ lên, đồng thời tạo bí danh.

Tạo bí danh từ tệp PKCS12/PFX (chỉ kho khoá)

Cách tạo bí danh từ tệp PKCS12 chứa chứng chỉ và khoá:

1. Truy cập vào trang TLS Keystores (Kho khoá TLS).
2. Đặt con trỏ lên kho khoá để hiện trình đơn thao tác rồi nhấp vào +.
3. Chỉ định Alias Name (Tên bí danh).
4. Trong phần Certificate details (Thông tin chi tiết về chứng chỉ), hãy chọn PKCS12/PFX trong trình đơn thả xuống Type (Loại).
5. Nhấp vào Chọn tệp bên cạnh PKCS12/PFX, chuyển đến tệp chứa khoá và chứng chỉ, rồi nhấp vào Mở.
6. Nếu khoá có mật khẩu, hãy chỉ định Mật khẩu cho tệp PKCS12/PFX. nếu khoá không có mật khẩu, hãy để trống trường này.
7. Theo mặc định, API sẽ kiểm tra để đảm bảo chứng chỉ chưa hết hạn. Bạn có thể chọn Cho phép chứng chỉ đã hết hạn để bỏ qua bước xác thực.
8. Chọn Lưu để tải tệp lên và tạo biệt hiệu.

Tạo bí danh từ chứng chỉ tự ký (chỉ kho khoá)

Để tạo một bí danh sử dụng chứng chỉ tự ký, bạn điền vào biểu mẫu thông tin cần thiết để tạo chứng chỉ. Sau đó, Edge sẽ tạo chứng chỉ và một cặp khoá riêng tư rồi tải chúng lên bí danh.

Cách tạo bí danh từ chứng chỉ tự ký:

1. Truy cập vào trang TLS Keystores (Kho khoá TLS).
2. Đặt con trỏ lên kho khoá để hiện trình đơn thao tác rồi nhấp vào +.
3. Chỉ định Alias Name (Tên bí danh).
4. Trong phần Certificate details (Thông tin chi tiết về chứng chỉ), hãy chọn Self-Signed Certificate (Chứng chỉ tự ký) trong trình đơn thả xuống Type (Loại).
5. Điền vào biểu mẫu bằng cách sử dụng bảng bên dưới.
6. Chọn Lưu để tạo cặp khoá riêng tư và chứng chỉ, rồi tải cặp khoá này lên bí danh.

Trong chứng chỉ được tạo, bạn sẽ thấy các trường bổ sung sau:

• Tổ chức phát hành
  Thực thể đã ký và phát hành chứng chỉ. Đối với chứng chỉ tự ký, đây là CN mà bạn chỉ định khi tạo chứng chỉ.
• Tính hợp lệ
  Khoảng thời gian chứng chỉ có hiệu lực được biểu thị bằng hai ngày: ngày bắt đầu và ngày kết thúc khoảng thời gian chứng chỉ có hiệu lực. Cả hai đều có thể được mã hoá dưới dạng giá trị UTCTime hoặc GeneralizedTime.

Bảng sau đây mô tả các trường biểu mẫu:

Kiểm thử kho khoá hoặc kho tin cậy

Bạn có thể kiểm thử truststore và keystore trong Giao diện người dùng Edge để xác minh rằng chúng được định cấu hình đúng cách. Test Ui xác thực yêu cầu TLS từ Edge đến một dịch vụ phụ trợ. Bạn có thể định cấu hình dịch vụ phụ trợ để hỗ trợ TLS một chiều hoặc hai chiều.

Cách kiểm thử TLS một chiều:

1. Truy cập vào trang TLS Keystores (Kho khoá TLS).
2. Chọn Môi trường (thường là prod hoặc test).
3. Di chuyển con trỏ đến kho khoá TLS mà bạn muốn kiểm thử để trình đơn thao tác xuất hiện, rồi nhấp vào Kiểm thử. Hộp thoại sau đây sẽ xuất hiện, cho biết tên của truststore:
   
4. Nhập tên máy chủ của dịch vụ phụ trợ.
5. Nhập số cổng TLS (thường là 443).
6. Bạn có thể tuỳ ý chỉ định bất kỳ Giao thức hoặc Mật mã nào.
7. Chọn Kiểm tra.

Cách kiểm tra TLS hai chiều:

1. Đối với truststore mong muốn, hãy chọn nút Kiểm thử.
2. Trong hộp thoại, hãy chọn Two Way (Hai chiều) cho SSL Test Type (Loại kiểm thử SSL). Hộp thoại sau đây sẽ xuất hiện:
   
3. Chỉ định tên của kho khoá được dùng trong TLS hai chiều.
4. Chỉ định tên bí danh trong kho khoá chứa chứng chỉ và khoá.
5. Nhập tên máy chủ của dịch vụ phụ trợ.
6. Nhập số cổng TLS (thường là 443).
7. Bạn có thể tuỳ ý chỉ định bất kỳ Giao thức hoặc Mật mã nào.
8. Chọn Kiểm tra.

Thêm chứng chỉ vào kho lưu trữ đáng tin cậy cho TLS hai chiều

Khi sử dụng TLS hai chiều cho các kết nối đến, tức là một yêu cầu API vào Edge, truststore sẽ chứa một chuỗi chứng chỉ hoặc CA cho mỗi ứng dụng được phép đưa ra yêu cầu đến Edge.

Khi định cấu hình truststore lần đầu, bạn có thể thêm tất cả các chứng chỉ cho những máy khách đã biết. Tuy nhiên, theo thời gian, bạn có thể muốn thêm các chứng chỉ bổ sung vào truststore khi thêm khách hàng mới.

Cách thêm chứng chỉ mới vào một kho lưu trữ đáng tin cậy dùng cho TLS hai chiều:

1. Đảm bảo rằng bạn đang sử dụng một tham chiếu đến truststore trong máy chủ ảo.
2. Tải một chứng chỉ mới lên truststore như mô tả ở trên trong phần Tạo một bí danh từ chứng chỉ (chỉ truststore).

3. Cập nhật thông tin tham chiếu truststore để đặt thành giá trị tương tự. Bản cập nhật này khiến Edge tải lại truststore và chứng chỉ mới.

   Hãy xem phần Sửa đổi một tài liệu tham khảo để biết thêm thông tin.

Xoá kho khoá/kho tin cậy hoặc bí danh

Bạn phải thận trọng khi xoá một kho khoá/kho tin cậy hoặc bí danh. Nếu bạn xoá một kho khoá, kho tin cậy hoặc bí danh đang được một máy chủ ảo, điểm cuối mục tiêu hoặc máy chủ mục tiêu sử dụng, thì tất cả các lệnh gọi API thông qua máy chủ ảo hoặc điểm cuối mục tiêu/máy chủ mục tiêu sẽ không thành công.

Thông thường, quy trình bạn dùng để xoá một kho khoá/kho tin cậy hoặc bí danh là:

1. Tạo một kho khoá/kho lưu trữ đáng tin cậy hoặc bí danh mới như mô tả ở trên.
2. Đối với các kết nối đến, tức là một yêu cầu API vào Edge, hãy cập nhật cấu hình máy chủ ảo để tham chiếu đến kho khoá và bí danh khoá mới.
3. Đối với các kết nối đi, tức là từ Apigee đến một máy chủ phụ trợ:
   1. Cập nhật cấu hình TargetEndpoint cho mọi API proxy tham chiếu đến kho khoá và bí danh khoá cũ để tham chiếu đến kho khoá và bí danh khoá mới. Nếu TargetEndpoint của bạn tham chiếu đến TargetServer, hãy cập nhật định nghĩa TargetServer để tham chiếu đến kho khoá và bí danh khoá mới.
   2. Nếu kho khoá và kho tin cậy được tham chiếu trực tiếp từ định nghĩa TargetEndpoint, thì bạn phải triển khai lại proxy. Nếu TargetEndpoint tham chiếu một định nghĩa TargetServer và định nghĩa TargetServer tham chiếu kho khoá và kho tin cậy, thì bạn không cần triển khai lại proxy.
4. Xác nhận rằng các proxy API của bạn đang hoạt động đúng cách.
5. Xoá kho khoá/kho tin cậy hoặc bí danh.

Xoá kho khoá

Bạn có thể xoá một kho khoá hoặc kho khoá tin cậy bằng cách di chuyển con trỏ lên kho khoá hoặc kho khoá tin cậy trong danh sách để trình đơn thao tác xuất hiện rồi nhấp vào . Nếu bạn xoá một kho khoá hoặc kho tin cậy đang được một máy chủ ảo hoặc điểm cuối mục tiêu/máy chủ mục tiêu sử dụng, thì tất cả các lệnh gọi API thông qua máy chủ ảo hoặc điểm cuối mục tiêu/máy chủ mục tiêu sẽ không thành công.

Thận trọng: Bạn không nên xoá kho khoá cho đến khi bạn chuyển đổi máy chủ ảo và điểm cuối đích/máy chủ đích để sử dụng một kho khoá mới.

Xoá email đại diện

Bạn có thể xoá một tên thay thế bằng cách di chuyển con trỏ lên tên thay thế đó trong danh sách để trình đơn hành động xuất hiện rồi nhấp vào . Nếu bạn xoá một bí danh đang được một máy chủ ảo hoặc điểm cuối đích/máy chủ đích sử dụng, thì tất cả các lệnh gọi API thông qua máy chủ ảo hoặc điểm cuối đích/máy chủ đích sẽ không thành công.

Thận trọng: Bạn không nên xoá bí danh cho đến khi chuyển đổi máy chủ ảo và điểm cuối đích/máy chủ đích để sử dụng một kho khoá và bí danh mới.