Schlüsselspeicher und Truststore mithilfe der Edge-Benutzeroberfläche erstellen

Sie lesen gerade die Dokumentation zu Apigee Edge.
Apigee X-Dokumentation aufrufen info

In diesem Dokument wird beschrieben, wie Sie Keystores und Truststores für Edge for the Cloud und für Edge for the Private Cloud Version 4.18.01 und höher erstellen, ändern und löschen.

Schlüsselspeicher/Truststores und virtuelle Hosts für Edge Cloud

Beim Erstellen von Keystores/Truststores für Edge Cloud müssen Sie alle Regeln für die Verwendung virtueller Hosts einhalten. Beispiel: Virtuelle Hosts in der Cloud:

• Virtuelle Hosts müssen TLS verwenden.
• Für virtuelle Hosts kann nur Port 443 verwendet werden.
• Sie müssen ein signiertes TLS-Zertifikat verwenden. Nicht signierte Zertifikate dürfen nicht für virtuelle Hosts in der Cloud verwendet werden.
• Der im TLS-Zertifikat angegebene Domainname muss mit dem Hostalias des virtuellen Hosts übereinstimmen.

Weitere Informationen:

• TLS/SSL
• TLS mit Edge verwenden
• Häufig gestellte Fragen zur Konfiguration virtueller Hosts
• Informationen zu virtuellen Hosts

Schlüsselspeicher und Truststores in Edge implementieren

Wenn Sie Funktionen konfigurieren möchten, die auf einer Public Key Infrastructure (PKI) basieren, z. B. TLS, müssen Sie Keystores und Truststores erstellen, die die erforderlichen Schlüssel und digitalen Zertifikate enthalten.

In Edge werden sowohl Keystores als auch Truststores durch eine keystore-Entität dargestellt, die einen oder mehrere aliases enthält. Das heißt, es gibt keinen Implementierungsunterschied zwischen einem Keystore und einem Truststore auf Edge.

Der Unterschied zwischen Schlüsselspeichern und Truststores ergibt sich aus den Arten von Einträgen, die sie enthalten, und wie sie beim TLS-Handshake verwendet werden:

• keystore: Eine keystore-Entität, die einen oder mehrere Aliase enthält, wobei jeder Alias ein Zertifikat-/Schlüsselpaar enthält.
• Truststore: eine Schlüsselspeicher-Entität, die einen oder mehrere Aliase enthält, wobei jeder Alias nur ein Zertifikat enthält.

Beim Konfigurieren von TLS für einen virtuellen Host oder Zielendpunkt spielen Schlüsselspeicher und Truststores unterschiedliche Rollen beim TLS-Handshake. Wenn Sie einen virtuellen Host oder Zielendpunkt konfigurieren, geben Sie Keystores und Truststores separat im <SSLInfo>-Tag an, wie unten für einen virtuellen Host gezeigt:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>apiTLS.myCompany.com</HostAlias> 
    </HostAliases> 
    <Interfaces/> 
    <Port>9006</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>false</ClientAuthEnabled> 
        <KeyStore>ref://keystoreref</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
    </SSLInfo>
</VirtualHost>

In diesem Beispiel geben Sie den Namen des Schlüsselspeichers und des Alias an, die vom virtuellen Host für seinen TLS-Schlüsselspeicher verwendet werden. Sie verwenden einen Verweis, um den Namen des Schlüsselspeichers anzugeben, damit Sie ihn später ändern können, wenn das Zertifikat abläuft. Der Alias enthält ein Zertifikat-/Schlüsselpaar, mit dem der virtuelle Host gegenüber einem TLS-Client identifiziert wird, der auf den virtuellen Host zugreift. In diesem Beispiel ist kein Truststore erforderlich.

Wenn ein Truststore erforderlich ist, z. B. für eine bidirektionale TLS-Konfiguration, verwenden Sie das Tag <TrustStore>, um den Truststore anzugeben:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>apiTLS.myCompany.com</HostAlias> 
    </HostAliases> 
    <Interfaces/> 
    <Port>9006</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://keystoreref</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://truststoreref</TrustStore>
    </SSLInfo>
</VirtualHost>

In diesem Beispiel verweist das <TrustStore>-Tag nur auf einen Keystore, es wird kein bestimmter Alias angegeben. Jeder Alias im Keystore enthält ein Zertifikat oder eine Zertifikatkette, die im Rahmen des TLS-Handshake-Prozesses verwendet wird.

Unterstützte Zertifikatsformate

* Wir empfehlen, nach Möglichkeit PEM zu verwenden.

PKCS12-Keystores mit Edge for Private Cloud 4.53.00 oder höher verwenden

Wenn Sie Edge for Private Cloud 4.53.00 oder höher verwenden, sollten Sie nur einen PKCS12-Keystore verwenden, um Schlüssel und zugehörige Zertifikate in Apigee hochzuladen. Hilfe beim Konvertieren Ihrer vorhandenen Schlüssel und Zertifikate in das PKCS12-/PFX-Format finden Sie unter Zertifikate in das unterstützte Format konvertieren.

Alias implementieren

In Edge enthält ein Schlüsselspeicher einen oder mehrere Aliasse, wobei jeder Alias Folgendes enthält:

• TLS-Zertifikat als PEM- oder PKCS12-/PFX-Datei: entweder ein von einer Zertifizierungsstelle signiertes Zertifikat, eine Datei mit einer Kette von Zertifikaten, wobei das letzte Zertifikat von einer Zertifizierungsstelle signiert ist, oder ein selbst signiertes Zertifikat.
• Privater Schlüssel als PEM- oder PKCS12-/PFX-Datei. Edge unterstützt Schlüsselgrößen bis zu 2.048 Bit. Eine Passphrase ist optional.

In Edge enthält ein Truststore einen oder mehrere Aliasse, wobei jeder Alias Folgendes enthält:

• TLS-Zertifikat als PEM-Datei: entweder ein von einer Zertifizierungsstelle signiertes Zertifikat, eine Kette von Zertifikaten, bei der das letzte Zertifikat von einer Zertifizierungsstelle signiert ist, oder ein selbst signiertes Zertifikat.

Edge bietet eine Benutzeroberfläche und eine API, mit denen Sie Schlüsselspeicher und Aliase erstellen, Zertifikat-/Schlüsselpaare hochladen und Zertifikate aktualisieren können. Die Benutzeroberfläche und die API, die Sie zum Erstellen eines Truststores verwenden, sind dieselben wie zum Erstellen eines Keystores. Der Unterschied besteht darin, dass Sie beim Erstellen eines Truststores Aliase erstellen, die nur ein Zertifikat enthalten.

Format der Zertifikats- und Schlüsseldateien

Zertifikate und Schlüssel können als PEM- oder PKCS12-/PFX-Dateien dargestellt werden. PEM-Dateien entsprechen dem X.509-Format. Wenn Ihr Zertifikat oder privater Schlüssel nicht durch eine PEM-Datei definiert ist, können Sie es mit Dienstprogrammen wie openssl in eine PEM-Datei konvertieren.

Viele .crt- und .key-Dateien sind jedoch bereits im PEM-Format. Wenn es sich bei diesen Dateien um Textdateien handelt und sie in Folgendes eingeschlossen sind:

-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----

oder

-----BEGIN ENCRYPTED PRIVATE KEY-----
-----END ENCRYPTED PRIVATE KEY-----

Die Dateien sind dann mit dem PEM-Format kompatibel und können in einem Keystore oder Truststore verwendet werden, ohne dass sie in eine PEM-Datei konvertiert werden müssen.

Zertifikatsketten

Wenn ein Zertifikat Teil einer Kette ist, wird es je nachdem, ob es in einem Keystore oder in einem Truststore verwendet wird, unterschiedlich behandelt:

• Keystore: Wenn ein Zertifikat Teil einer Kette ist, müssen Sie eine einzelne Datei mit allen Zertifikaten in der Kette erstellen. Die Zertifikate müssen in der richtigen Reihenfolge vorliegen und das letzte Zertifikat muss ein Root-Zertifikat oder ein Zwischenzertifikat sein, das von einem Root-Zertifikat signiert wurde.
• Truststore: Wenn ein Zertifikat Teil einer Kette ist, müssen Sie entweder eine einzelne Datei mit allen Zertifikaten erstellen und diese Datei in einen Alias hochladen oder alle Zertifikate in der Kette separat mit dem Truststore verknüpfen. Wenn Sie sie als einzelnes Zertifikat hochladen, müssen die Zertifikate in der richtigen Reihenfolge sein. Das letzte Zertifikat muss ein Root-Zertifikat oder ein Zwischenzertifikat sein, das von einem Root-Zertifikat signiert wurde.
• Wenn Sie eine einzelne Datei mit mehreren Zertifikaten erstellen, müssen Sie zwischen den einzelnen Zertifikaten eine leere Zeile einfügen.

Sie können beispielsweise alle Zertifikate in einer einzigen PEM-Datei zusammenfassen. Die Zertifikate müssen in der richtigen Reihenfolge vorliegen und das letzte Zertifikat muss ein Root-Zertifikat oder ein Zwischenzertifikat sein, das von einem Root-Zertifikat signiert wurde:

-----BEGIN CERTIFICATE----- 
(Your Primary TLS certificate) 
-----END CERTIFICATE----- 

-----BEGIN CERTIFICATE----- 
(Intermediate certificate) 
-----END CERTIFICATE-----
 
-----BEGIN CERTIFICATE----- 
(Root certificate or intermediate certificate signed by a root certificate) 
-----END CERTIFICATE-----

Wenn Ihre Zertifikate als PKCS12-/PFX-Dateien dargestellt werden, können Sie mit dem Befehl openssl eine PKCS12-/PFX-Datei aus einer Zertifikatskette erstellen, wie unten dargestellt:

openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

Wenn Sie mit Zertifikatsketten in einem Truststore arbeiten, müssen Sie nicht immer alle Zertifikate in der Kette hochladen. Sie laden beispielsweise ein Clientzertifikat (client_cert_1) und das Zertifikat des Ausstellers des Clientzertifikats (ca_cert) hoch.

Bei der bidirektionalen TLS-Authentifizierung ist die Clientauthentifizierung erfolgreich, wenn der Server client_cert_1 im Rahmen des TLS-Handshake-Prozesses an den Client sendet.

Alternativ haben Sie ein zweites Zertifikat, client_cert_2, das vom selben Zertifikat, ca_cert, signiert wurde. client_cert_2 wird jedoch nicht in den Truststore hochgeladen. Der Truststore enthält weiterhin nur client_cert_1 und ca_cert.

Wenn der Server client_cert_2 im Rahmen des TLS-Handshakes übergibt, ist die Anfrage erfolgreich. Das liegt daran, dass Edge die TLS-Überprüfung zulässt, wenn client_cert_2 nicht im Truststore vorhanden ist, aber von einem Zertifikat signiert wurde, das im Truststore vorhanden ist. Wenn Sie das CA-Zertifikat ca_cert aus dem Truststore entfernen, schlägt die TLS-Überprüfung fehl.

FIPS-Hinweise

Wenn Sie Edge for Private Cloud 4.53.00 oder höher auf einem FIPS-fähigen Betriebssystem verwenden, sollten Sie nur einen PKCS12-Keystore verwenden, um Schlüssel und zugehörige Zertifikate in Apigee hochzuladen.

Seite „TLS-Schlüsselspeicher“

Die Seite „TLS-Schlüsselspeicher“ wird angezeigt:

Wie bereits erwähnt, können Sie auf der Seite „TLS-Keystores“:

• Umgebung auswählen
• Schlüsselspeicher und Alias erstellen
• Test- und Löschvorgänge für Schlüsselspeicher
• Aliasse ansehen und löschen

Alias ansehen

So rufen Sie ein Alias auf:

1. Rufen Sie die Seite „TLS-Schlüsselspeicher“ auf.
2. Wählen Sie die Umgebung aus (in der Regel prod oder test).
3. Klicken Sie auf die Zeile mit dem Alias, den Sie sich ansehen möchten.

   Details zum Aliaszertifikat und -schlüssel werden angezeigt.
   
   Sie sehen alle Informationen zum Alias, einschließlich des Ablaufdatums.

4. Verwalten Sie das Zertifikat mit den Schaltflächen oben auf der Seite:
   • Laden Sie das Zertifikat als PEM-Datei herunter.
   • CSR generieren Wenn Sie ein abgelaufenes Zertifikat haben und es verlängern möchten, können Sie eine Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) herunterladen. Anschließend senden Sie den CSR an Ihre CA, um ein neues Zertifikat zu erhalten.
   • Zertifikat aktualisieren Achtung: Wenn Sie ein Zertifikat aktualisieren, das derzeit von einem virtuellen Host oder Zielserver/Zielendpunkt verwendet wird, müssen Sie sich an den Apigee Edge-Support wenden, um die Router und Nachrichtenprozessoren neu zu starten. Die empfohlene Methode zum Aktualisieren eines Zertifikats ist folgende:
     1. Erstellen Sie einen neuen Schlüsselspeicher oder Truststore.
     2. Fügen Sie das neue Zertifikat dem neuen Schlüsselspeicher oder Truststore hinzu.
     3. Aktualisieren Sie den Verweis im virtuellen Host oder Zielserver/Zielendpunkt auf den Schlüsselspeicher oder Truststore. Weitere Informationen finden Sie unter TLS-Zertifikat für die Cloud aktualisieren.
     4. Löschen Sie den Alias. Hinweis: Wenn Sie einen Alias löschen, der derzeit von einem virtuellen Host oder Zielendpunkt verwendet wird, schlägt der virtuelle Host oder Zielendpunkt fehl.

Schlüsselspeicher/Truststore und Alias erstellen

Sie können einen Keystore entweder als TLS-Keystore oder als TLS-Truststore erstellen. Ein Keystore ist spezifisch für eine Umgebung in Ihrer Organisation, z. B. die Test- oder Produktionsumgebung. Wenn Sie den Keystore also in einer Testumgebung testen möchten, bevor Sie ihn in Ihrer Produktionsumgebung bereitstellen, müssen Sie ihn in beiden Umgebungen erstellen.

Wenn Sie einen Schlüsselspeicher in einer Umgebung erstellen möchten, müssen Sie nur den Namen des Schlüsselspeichers angeben. Nachdem Sie einen benannten Schlüsselspeicher in einer Umgebung erstellt haben, können Sie Aliase erstellen und ein Zertifikat-/Schlüsselpaar (Schlüsselspeicher) oder nur ein Zertifikat (Truststore) in den Alias hochladen.

So erstellen Sie einen Schlüsselspeicher:

1. Rufen Sie die Seite „TLS-Schlüsselspeicher“ auf.
2. Wählen Sie die Umgebung aus (in der Regel prod oder test).
3. Klicken Sie auf + Schlüsselspeicher.
4. Geben Sie den Namen des Schlüsselspeichers an. Der Name darf nur alphanumerische Zeichen enthalten.
5. Klicken Sie auf Schlüsselspeicher hinzufügen. Der neue Schlüsselspeicher wird in der Liste angezeigt.
6. Verwenden Sie eine der folgenden Methoden, um einen Alias hinzuzufügen. Siehe auch Unterstützte Zertifikatsdateiformate.
   • Alias aus einem Zertifikat erstellen (nur Truststore)
   • Alias aus einer JAR-Datei erstellen (nur Schlüsselspeicher)
   • Alias erstellen aus einem Zertifikat und einem Schlüssel (nur Schlüsselspeicher)
   • Alias aus einer PKCS12-/PFX-Datei erstellen (nur Schlüsselspeicher)
   • Alias aus einem selbst signierten Zertifikat erstellen (nur Schlüsselspeicher)

Alias aus einem Zertifikat erstellen (nur Truststore)

So erstellen Sie einen Alias aus einem Zertifikat:

1. Rufen Sie die Seite „TLS-Schlüsselspeicher“ auf.
2. Bewegen Sie den Mauszeiger auf den Schlüsselspeicher, um das Aktionsmenü aufzurufen, und klicken Sie auf +.
3. Geben Sie den Aliasnamen an.
4. Wählen Sie unter „Zertifikatsdetails“ im Drop-down-Menü „Typ“ die Option Nur Zertifikat aus.
5. Klicken Sie neben Zertifikatsdatei auf Datei auswählen, rufen Sie die PEM-Datei mit dem Zertifikat auf und klicken Sie auf Öffnen.
6. Standardmäßig prüft die API, ob das Zertifikat abgelaufen ist. Wählen Sie optional Abgelaufenes Zertifikat zulassen aus, um die Validierung zu überspringen.
7. Wählen Sie Speichern aus, um das Zertifikat hochzuladen und den Alias zu erstellen.

Alias aus einer JAR-Datei erstellen (nur Schlüsselspeicher)

So erstellen Sie einen Alias aus einer JAR-Datei:

1. Rufen Sie die Seite „TLS-Schlüsselspeicher“ auf.
2. Bewegen Sie den Mauszeiger auf den Schlüsselspeicher, um das Aktionsmenü aufzurufen, und klicken Sie auf +.
3. Geben Sie den Aliasnamen an.
4. Wählen Sie unter „Certificate details“ (Zertifikatdetails) im Drop-down-Menü „Type“ (Typ) die Option JAR File (JAR-Datei) aus.
5. Klicken Sie neben JAR-Datei auf Datei auswählen, rufen Sie die JAR-Datei mit dem Zertifikat und dem Schlüssel auf und klicken Sie auf Öffnen.
6. Wenn der Schlüssel ein Passwort hat, geben Sie das Passwort an. Wenn der Schlüssel kein Passwort hat, lassen Sie dieses Feld leer.
7. Standardmäßig prüft die API, ob das Zertifikat abgelaufen ist. Wählen Sie optional Abgelaufenes Zertifikat zulassen aus, um die Validierung zu überspringen.
8. Wählen Sie Speichern aus, um den Schlüssel und das Zertifikat hochzuladen und den Alias zu erstellen.

Alias aus einem Zertifikat und einem Schlüssel erstellen (nur Schlüsselspeicher)

So erstellen Sie einen Alias aus einem Zertifikat und einem Schlüssel:

1. Rufen Sie die Seite „TLS-Schlüsselspeicher“ auf.
2. Bewegen Sie den Mauszeiger auf den Schlüsselspeicher, um das Aktionsmenü aufzurufen, und klicken Sie auf +.
3. Geben Sie den Aliasnamen an.
4. Wählen Sie unter „Zertifikatsdetails“ im Drop-down-Menü „Typ“ die Option Zertifikat und Schlüssel aus.
5. Klicken Sie neben Zertifikatsdatei auf Datei auswählen, rufen Sie die PEM-Datei mit dem Zertifikat auf und klicken Sie auf Öffnen.
6. Wenn der Schlüssel ein Passwort hat, geben Sie das Schlüsselpasswort an. Wenn der Schlüssel kein Passwort hat, lassen Sie dieses Feld leer.
7. Klicken Sie neben Schlüsseldatei auf Datei auswählen, wechseln Sie zur PEM-Datei mit dem Schlüssel und klicken Sie auf Öffnen.
8. Standardmäßig prüft die API, ob das Zertifikat abgelaufen ist. Wählen Sie optional Abgelaufenes Zertifikat zulassen aus, um die Validierung zu überspringen.
9. Wählen Sie Speichern aus, um den Schlüssel und das Zertifikat hochzuladen und den Alias zu erstellen.

Alias aus einer PKCS12-/PFX-Datei erstellen (nur Schlüsselspeicher)

So erstellen Sie einen Alias aus einer PKCS12-Datei, die das Zertifikat und den Schlüssel enthält:

1. Rufen Sie die Seite „TLS-Schlüsselspeicher“ auf.
2. Bewegen Sie den Mauszeiger auf den Schlüsselspeicher, um das Aktionsmenü aufzurufen, und klicken Sie auf +.
3. Geben Sie den Aliasnamen an.
4. Wählen Sie unter „Zertifikatsdetails“ im Drop-down-Menü „Typ“ die Option PKCS12/PFX aus.
5. Klicken Sie neben PKCS12/PFX auf Datei auswählen, rufen Sie die Datei mit dem Schlüssel und dem Zertifikat auf und klicken Sie auf Öffnen.
6. Wenn der Schlüssel ein Passwort hat, geben Sie das Passwort für die PKCS12-/PFX-Datei an. Wenn für den Schlüssel kein Passwort festgelegt ist, lassen Sie dieses Feld leer.
7. Standardmäßig prüft die API, ob das Zertifikat abgelaufen ist. Wählen Sie optional Abgelaufenes Zertifikat zulassen aus, um die Validierung zu überspringen.
8. Wählen Sie Speichern aus, um die Datei hochzuladen und den Alias zu erstellen.

Alias aus einem selbstsignierten Zertifikat erstellen (nur Schlüsselspeicher)

Wenn Sie einen Alias mit einem selbst signierten Zertifikat erstellen möchten, füllen Sie ein Formular mit den erforderlichen Informationen aus. Edge erstellt dann das Zertifikat und ein privates Schlüsselpaar und lädt sie in den Alias hoch.

So erstellen Sie einen Alias aus einem selbstsignierten Zertifikat:

1. Rufen Sie die Seite „TLS-Schlüsselspeicher“ auf.
2. Bewegen Sie den Mauszeiger auf den Schlüsselspeicher, um das Aktionsmenü aufzurufen, und klicken Sie auf +.
3. Geben Sie den Aliasnamen an.
4. Wählen Sie unter „Zertifikatdetails“ im Drop-down-Menü „Typ“ die Option Selbstsigniertes Zertifikat aus.
5. Füllen Sie das Formular anhand der Tabelle unten aus.
6. Wählen Sie Speichern aus, um das Zertifikat und das private Schlüsselpaar zu erstellen und in den Alias hochzuladen.

Das generierte Zertifikat enthält die folgenden zusätzlichen Felder:

• Aussteller
  Die Entität, die das Zertifikat signiert und ausgestellt hat. Bei einem selbst signierten Zertifikat ist dies der CN, den Sie beim Erstellen des Zertifikats angegeben haben.
• Gültigkeit
  Der Gültigkeitszeitraum des Zertifikats, dargestellt als zwei Datumsangaben: das Datum, an dem der Gültigkeitszeitraum des Zertifikats beginnt, und das Datum, an dem er endet. Beide können als UTCTime- oder GeneralizedTime-Werte codiert werden.

In der folgenden Tabelle werden die Formularfelder beschrieben:

Schlüsselspeicher oder Truststore testen

Sie können Ihren Truststore und Keystore in der Edge-Benutzeroberfläche testen, um zu prüfen, ob sie richtig konfiguriert sind. Mit der Test-UI wird eine TLS-Anfrage von Edge an einen Backend-Dienst validiert. Der Backend-Dienst kann für die Unterstützung von One-Way- oder Two-Way-TLS konfiguriert werden.

So testen Sie One-Way-TLS:

1. Rufen Sie die Seite „TLS-Schlüsselspeicher“ auf.
2. Wählen Sie die Umgebung aus (in der Regel prod oder test).
3. Bewegen Sie den Mauszeiger auf den TLS-Keystore, den Sie testen möchten, um das Aktionsmenü aufzurufen, und klicken Sie auf Testen. Das folgende Dialogfeld mit dem Namen des Truststores wird angezeigt:
   
4. Geben Sie den Hostnamen des Backend-Dienstes ein.
5. Geben Sie die TLS-Portnummer ein (normalerweise 443).
6. Geben Sie optional Protokolle oder Chiffren an.
7. Wählen Sie Testen aus.

So testen Sie die bidirektionale TLS:

1. Wählen Sie für den gewünschten Truststore die Schaltfläche Test aus.
2. Wählen Sie im Dialogfeld Two Way (Bidirektional) für SSL Test Type (SSL-Testtyp) aus. Das folgende Dialogfeld wird angezeigt:
   
3. Geben Sie den Namen des Schlüsselspeichers an, der für die bidirektionale TLS verwendet wird.
4. Geben Sie den Aliasnamen im Schlüsselspeicher an, der das Zertifikat und den Schlüssel enthält.
5. Geben Sie den Hostnamen des Backend-Dienstes ein.
6. Geben Sie die TLS-Portnummer ein (normalerweise 443).
7. Geben Sie optional Protokolle oder Chiffren an.
8. Wählen Sie Testen aus.

Zertifikat zu einem Truststore für bidirektionale TLS hinzufügen

Wenn Sie die bidirektionale TLS für eingehende Verbindungen verwenden, d. h. für eine API-Anfrage an Edge, enthält der Truststore ein Zertifikat oder eine CA-Kette für jeden Client, der Anfragen an Edge senden darf.

Wenn Sie den Truststore zum ersten Mal konfigurieren, können Sie alle Zertifikate für die bekannten Clients hinzufügen. Im Laufe der Zeit möchten Sie möglicherweise zusätzliche Zertifikate zum Truststore hinzufügen, wenn Sie neue Clients hinzufügen.

So fügen Sie einem Truststore, der für die bidirektionale TLS verwendet wird, neue Zertifikate hinzu:

1. Achten Sie darauf, dass Sie im virtuellen Host einen Verweis auf den Truststore verwenden.
2. Laden Sie ein neues Zertifikat in den Truststore hoch, wie oben unter Alias aus einem Zertifikat erstellen (nur Truststore) beschrieben.

3. Aktualisieren Sie den Truststore-Verweis, um ihn auf denselben Wert zu setzen. Durch diese Aktualisierung lädt Edge den Truststore und das neue Zertifikat neu.

   Weitere Informationen finden Sie unter Referenz ändern.

Schlüsselspeicher/Truststore oder Alias löschen

Sie müssen vorsichtig sein, wenn Sie einen Keystore/Truststore oder Alias löschen. Wenn Sie einen Schlüsselspeicher, Truststore oder Alias löschen, der von einem virtuellen Host, Zielendpunkt oder Zielserver verwendet wird, schlagen alle API-Aufrufe über den virtuellen Host oder Zielendpunkt/Zielserver fehl.

In der Regel gehen Sie so vor, um einen Schlüsselspeicher, Truststore oder Alias zu löschen:

1. Erstellen Sie einen neuen Schlüsselspeicher/Truststore oder Alias, wie oben beschrieben.
2. Bei eingehenden Verbindungen, d. h. einer API-Anfrage an Edge, müssen Sie die Konfiguration des virtuellen Hosts aktualisieren, damit auf den neuen Schlüsselspeicher und den neuen Schlüsselalias verwiesen wird.
3. Für ausgehende Verbindungen, d. h. von Apigee zu einem Backend-Server:
   1. Aktualisieren Sie die TargetEndpoint-Konfiguration für alle API-Proxys, in denen auf den alten Schlüsselspeicher und den alten Schlüsselalias verwiesen wurde, sodass auf den neuen Schlüsselspeicher und den neuen Schlüsselalias verwiesen wird. Wenn Ihr TargetEndpoint auf einen TargetServer verweist, aktualisieren Sie die TargetServer-Definition, damit sie auf den neuen Schlüsselspeicher und den neuen Schlüsselalias verweist.
   2. Wenn auf den Schlüsselspeicher und den Truststore direkt über die TargetEndpoint-Definition verwiesen wird, müssen Sie den Proxy neu bereitstellen. Wenn im TargetEndpoint auf eine TargetServer-Definition verwiesen wird und in der TargetServer-Definition auf den Keystore und den Truststore verwiesen wird, ist keine erneute Proxy-Bereitstellung erforderlich.
4. Prüfen Sie, ob Ihre API-Proxys richtig funktionieren.
5. Löschen Sie den Schlüsselspeicher/Truststore oder Alias.

Schlüsselspeicher löschen

Sie können einen Keystore oder Truststore löschen, indem Sie den Mauszeiger in der Liste auf den Keystore oder Truststore bewegen, um das Aktionsmenü einzublenden, und dann auf  klicken. Wenn Sie einen Schlüsselspeicher oder Truststore löschen, der von einem virtuellen Host oder Zielendpunkt/Zielserver verwendet wird, schlagen alle API-Aufrufe über den virtuellen Host oder Zielendpunkt/Zielserver fehl.

Achtung: Sie sollten einen Keystore erst löschen, wenn Sie Ihre virtuellen Hosts und Zielendpunkte/Zielserver so konfiguriert haben, dass sie einen neuen Keystore verwenden.

Alias löschen

Sie können einen Alias löschen, indem Sie den Mauszeiger in der Liste auf den Alias bewegen, um das Aktionsmenü einzublenden, und dann auf  klicken. Wenn Sie einen Alias löschen, der von einem virtuellen Host oder Zielendpunkt/Zielserver verwendet wird, schlagen alle API-Aufrufe über den virtuellen Host oder Zielendpunkt/Zielserver fehl.

Achtung: Sie sollten einen Alias erst löschen, wenn Sie Ihre virtuellen Hosts und Zielendpunkte/Zielserver so konfiguriert haben, dass sie einen neuen Keystore und Alias verwenden.