Crea almacenes de claves y almacenes de confianza con la IU de Edge

Estás viendo la documentación de Apigee Edge.
Ir a la documentación de Apigee X. info

En este documento, se describe cómo crear, modificar y borrar almacenes de claves y almacenes de confianza para Edge para Cloud y Edge para Private Cloud, versiones 4.18.01 y posteriores.

Acerca de los almacenes de claves y de confianza, y los hosts virtuales para Edge Cloud

El proceso de creación de almacenes de claves y almacenes de confianza para Edge Cloud requiere que sigas todas las reglas sobre el uso de hosts virtuales. Por ejemplo, con hosts virtuales en la nube:

• Los hosts virtuales deben usar TLS.
• Los hosts virtuales solo pueden usar el puerto 443.
• Debes usar un certificado TLS firmado. No se permite el uso de certificados sin firmar con hosts virtuales en la nube.
• El nombre de dominio especificado por el certificado TLS debe coincidir con el alias de host del host virtual.

Obtenga más información:

• Acerca de TLS/SSL
• Uso de TLS con Edge
• Preguntas frecuentes sobre la configuración de hosts virtuales
• Acerca de los hosts virtuales

Implementa almacenes de claves y almacenes de confianza en Edge

Para configurar la funcionalidad que se basa en la infraestructura de clave pública, como TLS, debes crear almacenes de claves y almacenes de certificados de confianza que contengan las claves y los certificados digitales necesarios.

En Edge, los almacenes de claves y los almacenes de confianza se representan con una entidad keystore que contiene uno o más alias. Es decir, no hay diferencia de implementación entre un almacén de claves y un almacén de confianza en Edge.

La diferencia entre los almacenes de claves y los almacenes de certificados de confianza se deriva de los tipos de entradas que contienen y de cómo se usan en el protocolo de enlace TLS:

• almacén de claves: Es una entidad de almacén de claves que contiene uno o más alias, en los que cada alias contiene un par de certificado y clave.
• almacén de confianza: Es una entidad de almacén de claves que contiene uno o más alias, en los que cada alias contiene solo un certificado.

Cuando configuras TLS para un host virtual o un extremo de destino, los almacenes de claves y los almacenes de confianza proporcionan diferentes roles en el proceso de handshake de TLS. Cuando configuras un host virtual o un extremo de destino, especificas los almacenes de claves y los almacenes de confianza por separado en la etiqueta <SSLInfo>, como se muestra a continuación para un host virtual:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>apiTLS.myCompany.com</HostAlias> 
    </HostAliases> 
    <Interfaces/> 
    <Port>9006</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>false</ClientAuthEnabled> 
        <KeyStore>ref://keystoreref</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
    </SSLInfo>
</VirtualHost>

En este ejemplo, especificas el nombre del almacén de claves y el alias que usa el host virtual para su almacén de claves TLS. Usas una referencia para especificar el nombre del almacén de claves, de modo que puedas cambiarlo más adelante cuando venza el certificado. El alias contiene un par de certificado y clave que se usa para identificar el host virtual ante un cliente TLS que accede al host virtual. En este ejemplo, no se requiere ningún almacén de confianza.

Si se requiere un almacén de confianza, por ejemplo, para una configuración de TLS bidireccional, usa la etiqueta <TrustStore> para especificar el almacén de confianza:

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>apiTLS.myCompany.com</HostAlias> 
    </HostAliases> 
    <Interfaces/> 
    <Port>9006</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://keystoreref</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://truststoreref</TrustStore>
    </SSLInfo>
</VirtualHost>

En este ejemplo, la etiqueta <TrustStore> solo hace referencia a un almacén de claves y no especifica un alias en particular. Cada alias del almacén de claves contiene un certificado o una cadena de certificados que se usa como parte del proceso de handshake de TLS.

Formatos de certificado admitidos

* Te recomendamos que uses PEM si es posible.

Uso de almacenes de claves PKCS12 con Edge para Private Cloud 4.53.00 o versiones posteriores

Si usas Edge para la nube privada 4.53.00 o versiones posteriores, solo debes usar un almacén de claves PKCS12 para subir claves y certificados relacionados a Apigee. Si necesitas ayuda para convertir tus claves y certificados existentes al formato PKCS12/PFX, consulta Cómo convertir certificados al formato compatible.

Acerca de la implementación de un alias

En Edge, un almacén de claves contiene uno o más alias, donde cada alias contiene lo siguiente:

• Certificado TLS como archivo PEM o PKCS12/PFX: Puede ser un certificado firmado por una autoridad certificadora (CA), un archivo que contenga una cadena de certificados en la que el último certificado esté firmado por una CA o un certificado autofirmado.
• Clave privada como archivo PEM o PKCS12/PFX Edge admite tamaños de clave de hasta 2,048 bits. La frase de contraseña es opcional.

En Edge, un almacén de confianza contiene uno o más alias, en los que cada alias contiene lo siguiente:

• Certificado TLS como archivo PEM: Puede ser un certificado firmado por una autoridad certificadora (CA), una cadena de certificados en la que el último certificado esté firmado por una CA o un certificado autofirmado.

Edge proporciona una IU y una API que se usan para crear almacenes de claves, crear alias, subir pares de certificados y claves, y actualizar certificados. La IU y la API que usas para crear un almacén de certificados de confianza son las mismas que usas para crear un almacén de claves. La diferencia es que, cuando creas un almacén de certificados de confianza, creas alias que solo contienen un certificado.

Acerca del formato de los archivos de certificado y clave

Puedes representar certificados y claves como archivos PEM o como archivos PKCS12/PFX. Los archivos PEM cumplen con el formato X.509. Si tu certificado o clave privada no están definidos por un archivo PEM, puedes convertirlos a un archivo PEM con utilidades como openssl.

Sin embargo, muchos archivos .crt y .key ya están en formato PEM. Si estos archivos son archivos de texto y están incluidos en lo siguiente:

-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----

o:

-----BEGIN ENCRYPTED PRIVATE KEY-----
-----END ENCRYPTED PRIVATE KEY-----

Luego, los archivos serán compatibles con el formato PEM y podrás usarlos en un almacén de claves o un almacén de confianza sin convertirlos en un archivo PEM.

Acerca de las cadenas de certificados

Si un certificado es parte de una cadena, se maneja de manera diferente según si se usa en un almacén de claves o en un almacén de confianza:

• Almacén de claves: Si un certificado es parte de una cadena, debes crear un solo archivo que contenga todos los certificados de la cadena. Los certificados deben estar en orden, y el último debe ser un certificado raíz o un certificado intermedio firmado por un certificado raíz.
• Almacén de confianza: Si un certificado es parte de una cadena, debes crear un solo archivo que contenga todos los certificados y subir ese archivo a un alias, o subir todos los certificados de la cadena por separado al almacén de confianza usando un alias diferente para cada certificado. Si los subes como un solo certificado, deben estar en orden y el último debe ser un certificado raíz o un certificado intermedio firmado por un certificado raíz.
• Si creas un solo archivo que contiene varios certificados, debes insertar una línea vacía entre cada certificado.

Por ejemplo, puedes combinar todos los certificados en un solo archivo PEM. Los certificados deben estar en orden, y el último debe ser un certificado raíz o un certificado intermedio firmado por un certificado raíz:

-----BEGIN CERTIFICATE----- 
(Your Primary TLS certificate) 
-----END CERTIFICATE----- 

-----BEGIN CERTIFICATE----- 
(Intermediate certificate) 
-----END CERTIFICATE-----
 
-----BEGIN CERTIFICATE----- 
(Root certificate or intermediate certificate signed by a root certificate) 
-----END CERTIFICATE-----

Si tus certificados se representan como archivos PKCS12/PFX, puedes usar el comando openssl para crear un archivo PKCS12/PFX a partir de la cadena de certificados, como se muestra a continuación:

openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

Cuando trabajas con cadenas de certificados en un almacén de certificados de confianza, no siempre tienes que subir todos los certificados de la cadena. Por ejemplo, subes un certificado de cliente, client_cert_1, y el certificado de la entidad emisora del certificado de cliente, ca_cert.

Durante la autenticación de TLS bidireccional, la autenticación del cliente se realiza correctamente cuando el servidor envía client_cert_1 al cliente como parte del proceso de protocolo de enlace de TLS.

Como alternativa, tienes un segundo certificado, client_cert_2, firmado por el mismo certificado, ca_cert. Sin embargo, no subes client_cert_2 al almacén de confianza. El almacén de confianza aún contiene solo client_cert_1 y ca_cert.

Cuando el servidor pasa client_cert_2 como parte del protocolo de enlace TLS, la solicitud se completa correctamente. Esto se debe a que Edge permite que la verificación de TLS se realice correctamente cuando client_cert_2 no existe en el almacén de certificados de confianza, pero se firmó con un certificado que sí existe en el almacén de certificados de confianza. Si quitas el certificado de la AC, ca_cert, del almacén de certificados de confianza, la verificación de TLS falla.

Consideraciones sobre FIPS

Si usas Edge para la nube privada 4.53.00 o versiones posteriores en un sistema operativo habilitado para FIPS, debes usar solo un almacén de claves PKCS12 para subir claves y certificados relacionados a Apigee.

Explora la página Almacenes de claves de TLS

Se muestra la página Almacenes de claves de TLS:

Como se destacó en la figura anterior, la página Almacenes de claves de TLS te permite hacer lo siguiente:

• Seleccionar un entorno
• Crea un almacén de claves y un alias
• Prueba y borra almacenes de claves
• Ver y borrar alias

Cómo ver un alias

Para ver un alias, sigue estos pasos:

1. Accede a la página Almacenes de claves de TLS.
2. Selecciona el entorno (por lo general, prod o test).
3. Haz clic en la fila asociada al alias que deseas ver.

   Se muestran los detalles del certificado y la clave del alias.
   
   Puedes ver toda la información sobre el alias, incluida la fecha de vencimiento.

4. Administra el certificado con los botones de la parte superior de la página para realizar las siguientes acciones:
   • Descarga el certificado como un archivo PEM.
   • Genera un CSR. Si tienes un certificado vencido y deseas renovarlo, puedes descargar una solicitud de firma de certificado (CSR). Luego, envías la CSR a tu CA para obtener un certificado nuevo.
   • Actualiza un certificado. Precaución: Si actualizas un certificado que actualmente usa un host virtual o un extremo o servidor de destino, debes comunicarte con el equipo de asistencia de Apigee Edge para reiniciar los routers y los procesadores de mensajes. La forma recomendada de actualizar un certificado es la siguiente:
     1. Crea un nuevo almacén de claves o almacén de certificados de confianza.
     2. Agrega el certificado nuevo al almacén de claves o al almacén de certificados de confianza nuevo.
     3. Actualiza la referencia en el host virtual o el servidor o extremo de destino al almacén de claves o de confianza. Consulta Actualiza un certificado TLS para Cloud para obtener más información.
     4. Borra el alias. Nota: Si borras un alias y un host virtual o un extremo de destino lo están usando, fallarán.

Crea un almacén de claves o un almacén de certificados de confianza y un alias

Puedes crear un almacén de claves para usarlo como almacén de claves TLS o almacén de certificados de confianza TLS. Un almacén de claves es específico de un entorno de tu organización, por ejemplo, el entorno de prueba o de producción. Por lo tanto, si deseas probar el almacén de claves en un entorno de pruebas antes de implementarlo en tu entorno de producción, debes crearlo en ambos entornos.

Para crear un almacén de claves en un entorno, solo debes especificar el nombre del almacén de claves. Después de crear un almacén de claves con nombre en un entorno, puedes crear alias y subir un par de certificado y clave (almacén de claves) o subir solo un certificado (almacén de certificados de confianza) al alias.

Para crear un almacén de claves, sigue estos pasos:

1. Accede a la página Almacenes de claves de TLS.
2. Selecciona el entorno (por lo general, prod o test).
3. Haz clic en + Almacén de claves.
4. Especifica el nombre del almacén de claves. El nombre solo puede contener caracteres alfanuméricos.
5. Haz clic en Agregar almacén de claves. El nuevo almacén de claves aparecerá en la lista.
6. Usa uno de los siguientes procedimientos para agregar un alias. Consulta también Formatos de archivo de certificado admitidos.
   • Cómo crear un alias a partir de un certificado (solo para el almacén de certificados de confianza)
   • Cómo crear un alias a partir de un archivo JAR (solo para el almacén de claves)
   • Crea un alias a partir de un certificado y una clave (solo para almacenes de claves)
   • Crea un alias a partir de un archivo PKCS12/PFX (solo almacén de claves)
   • Cómo crear un alias a partir de un certificado autofirmado (solo almacén de claves)

Cómo crear un alias a partir de un certificado (solo almacén de confianza)

Para crear un alias a partir de un certificado, haz lo siguiente:

1. Accede a la página Almacenes de claves de TLS.
2. Coloca el cursor sobre el almacén de claves para mostrar el menú de acciones y haz clic en +.
3. Especifica el Nombre del alias.
4. En Detalles del certificado, selecciona Solo certificado en el menú desplegable Tipo.
5. Haz clic en Elegir archivo junto a Archivo de certificado, navega al archivo PEM que contiene el certificado y haz clic en Abrir.
6. De forma predeterminada, la API verifica que el certificado no haya vencido. De manera opcional, selecciona Permitir certificado vencido para omitir la validación.
7. Selecciona Guardar para subir el certificado y crear el alias.

Cómo crear un alias a partir de un archivo JAR (solo para almacén de claves)

Para crear un alias a partir de un archivo JAR, haz lo siguiente:

1. Accede a la página Almacenes de claves de TLS.
2. Coloca el cursor sobre el almacén de claves para mostrar el menú de acciones y haz clic en +.
3. Especifica el Nombre del alias.
4. En Detalles del certificado, selecciona Archivo JAR en el menú desplegable Tipo.
5. Haz clic en Elegir archivo junto a Archivo JAR, navega al archivo JAR que contiene el certificado y la clave, y haz clic en Abrir.
6. Si la clave tiene una contraseña, especifica la Contraseña. Si la clave no tiene contraseña, deja este campo en blanco.
7. De forma predeterminada, la API verifica que el certificado no haya vencido. De manera opcional, selecciona Permitir certificado vencido para omitir la validación.
8. Selecciona Guardar para subir la clave y el certificado, y crear el alias.

Cómo crear un alias a partir de un certificado y una clave (solo para almacenes de claves)

Para crear un alias a partir de un certificado y una clave, haz lo siguiente:

1. Accede a la página Almacenes de claves de TLS.
2. Coloca el cursor sobre el almacén de claves para mostrar el menú de acciones y haz clic en +.
3. Especifica el Nombre del alias.
4. En Detalles del certificado, selecciona Certificado y clave en el menú desplegable Tipo.
5. Haz clic en Elegir archivo junto a Archivo de certificado, navega al archivo PEM que contiene el certificado y haz clic en Abrir.
6. Si la clave tiene una contraseña, especifica la Contraseña de clave. Si la clave no tiene contraseña, deja este campo en blanco.
7. Haz clic en Elegir archivo junto a Archivo de clave, navega al archivo PEM que contiene la clave y haz clic en Abrir.
8. De forma predeterminada, la API verifica que el certificado no haya vencido. De manera opcional, selecciona Permitir certificado vencido para omitir la validación.
9. Selecciona Guardar para subir la clave y el certificado, y crear el alias.

Cómo crear un alias a partir de un archivo PKCS12/PFX (solo almacén de claves)

Para crear un alias a partir de un archivo PKCS12 que contenga el certificado y la clave, haz lo siguiente:

1. Accede a la página Almacenes de claves de TLS.
2. Coloca el cursor sobre el almacén de claves para mostrar el menú de acciones y haz clic en +.
3. Especifica el Nombre del alias.
4. En Detalles del certificado, selecciona PKCS12/PFX en el menú desplegable Tipo.
5. Haz clic en Elegir archivo junto a PKCS12/PFX, navega al archivo que contiene la clave y el certificado, y haz clic en Abrir.
6. Si la clave tiene una contraseña, especifica la contraseña del archivo PKCS12/PFX. Si la clave no tiene contraseña, deja este campo en blanco.
7. De forma predeterminada, la API verifica que el certificado no haya vencido. De manera opcional, selecciona Permitir certificado vencido para omitir la validación.
8. Selecciona Guardar para subir el archivo y crear el alias.

Cómo crear un alias a partir de un certificado autofirmado (solo almacén de claves)

Para crear un alias que use un certificado autofirmado, debes completar un formulario con la información necesaria para crear el certificado. Luego, Edge crea el certificado y un par de claves privadas, y los sube al alias.

Para crear un alias a partir de un certificado autofirmado, haz lo siguiente:

1. Accede a la página Almacenes de claves de TLS.
2. Coloca el cursor sobre el almacén de claves para mostrar el menú de acciones y haz clic en +.
3. Especifica el Nombre del alias.
4. En Detalles del certificado, selecciona Certificado autofirmado en el menú desplegable Tipo.
5. Completa el formulario con la siguiente tabla.
6. Selecciona Guardar para crear el certificado y el par de claves privadas, y subirlos al alias.

En el certificado generado, verás los siguientes campos adicionales:

• Emisor
  Es la entidad que firmó y emitió el certificado. En el caso de un certificado autofirmado, este es el CN que especificaste cuando creaste el certificado.
• Validez
  Es el período de validez del certificado representado como dos fechas: la fecha en la que comienza el período de validez del certificado y la fecha en la que finaliza. Ambos se pueden codificar como valores de UTCTime o GeneralizedTime.

En la siguiente tabla, se describen los campos del formulario:

Prueba un almacén de claves o almacén de confianza

Puedes probar tu almacén de certificados de confianza y tu almacén de claves en la IU de Edge para verificar que estén configurados correctamente. La IU de prueba valida una solicitud de TLS de Edge a un servicio de backend. El servicio de backend se puede configurar para admitir TLS unidireccional o bidireccional.

Para probar la TLS unidireccional, haz lo siguiente:

1. Accede a la página Almacenes de claves de TLS.
2. Selecciona el entorno (por lo general, prod o test).
3. Coloca el cursor sobre el almacén de claves TLS que deseas probar para que se muestre el menú de acciones y haz clic en Probar. Aparecerá el siguiente cuadro de diálogo que muestra el nombre del almacén de certificados de confianza:
   
4. Ingresa el nombre de host del servicio de backend.
5. Ingresa el número de puerto de TLS (por lo general, 443).
6. De manera opcional, especifica los protocolos o las codificaciones que desees.
7. Selecciona Probar.

Para probar la TLS bidireccional, haz lo siguiente:

1. Para el almacén de confianza deseado, selecciona el botón Probar.
2. En el cuadro de diálogo, selecciona Two Way para el Tipo de prueba de SSL. Aparecerá el siguiente cuadro de diálogo:
   
3. Especifica el nombre del almacén de claves que se usa en la TLS bidireccional.
4. Especifica el nombre del alias en el almacén de claves que contiene el certificado y la clave.
5. Ingresa el nombre de host del servicio de backend.
6. Ingresa el número de puerto de TLS (por lo general, 443).
7. De manera opcional, especifica los protocolos o las codificaciones que desees.
8. Selecciona Probar.

Agrega un certificado a un almacén de certificados para la TLS bidireccional

Cuando se usa TLS bidireccional para las conexiones entrantes, es decir, una solicitud a la API en Edge, el almacén de certificados de confianza contiene un certificado o una cadena de CA para cada cliente que puede realizar solicitudes a Edge.

Cuando configuras el almacén de confianza por primera vez, puedes agregar todos los certificados de los clientes conocidos. Sin embargo, con el tiempo, es posible que desees agregar certificados adicionales al almacén de certificados de confianza a medida que agregues clientes nuevos.

Para agregar certificados nuevos a un almacén de certificados de confianza que se usa para la TLS bidireccional, haz lo siguiente:

1. Asegúrate de usar una referencia al almacén de certificados de confianza en el host virtual.
2. Sube un certificado nuevo al almacén de confianza, como se describió anteriormente en Cómo crear un alias a partir de un certificado (solo para el almacén de confianza).

3. Actualiza la referencia del almacén de confianza para establecerla en el mismo valor. Esta actualización hace que Edge vuelva a cargar el almacén de confianza y el certificado nuevo.

   Consulta Cómo modificar una referencia para obtener más información.

Cómo borrar un almacén de claves o un almacén de certificados de confianza, o un alias

Debes tener cuidado cuando borres un almacén de claves o un almacén de certificados de confianza, o un alias. Si borras un almacén de claves, un almacén de certificados de confianza o un alias que usa un host virtual, un extremo de destino o un servidor de destino, fallarán todas las llamadas a la API a través del host virtual o el extremo o servidor de destino.

Por lo general, el proceso que usas para borrar un almacén de claves o de confianza, o un alias es el siguiente:

1. Crea un nuevo almacén de claves o de confianza, o un alias, como se describió anteriormente.
2. Para las conexiones entrantes, es decir, una solicitud a la API en Edge, actualiza la configuración del host virtual para hacer referencia al nuevo almacén de claves y al alias de clave.
3. Para las conexiones salientes, es decir, de Apigee a un servidor de backend, haz lo siguiente:
   1. Actualiza la configuración de TargetEndpoint para cualquier proxy de API que haya hecho referencia al alias de clave y al almacén de claves anteriores para que haga referencia al alias de clave y al almacén de claves nuevos. Si tu TargetEndpoint hace referencia a un TargetServer, actualiza la definición de TargetServer para que haga referencia al nuevo almacén de claves y al alias de clave.
   2. Si se hace referencia al almacén de claves y al almacén de certificados de confianza directamente desde la definición de TargetEndpoint, debes volver a implementar el proxy. Si TargetEndpoint hace referencia a una definición de TargetServer, y esta hace referencia al almacén de claves y al almacén de certificados de confianza, no es necesario volver a implementar el proxy.
4. Confirma que tus proxies de API funcionen correctamente.
5. Borra el almacén de claves o el almacén de certificados de confianza, o el alias.

Borra un almacén de claves

Para borrar un almacén de claves o de confianza, coloca el cursor sobre el almacén de claves o de confianza en la lista para mostrar el menú de acciones y haz clic en . Si borras un almacén de claves o un almacén de certificados de confianza que usa un host virtual o un extremo o servidor de destino, fallarán todas las llamadas a la API a través del host virtual o el extremo o servidor de destino.

Precaución: No debes borrar un almacén de claves hasta que hayas convertido tus hosts virtuales y extremos o servidores de destino para que usen un nuevo almacén de claves.

Cómo borrar un alias

Para borrar un alias, coloca el cursor sobre él en la lista para mostrar el menú de acciones y haz clic en . Si borras un alias que usa un host virtual o un servidor o extremo de destino, fallarán todas las llamadas a la API a través del host virtual o el servidor o extremo de destino.

Precaución: No debes borrar un alias hasta que hayas convertido tus hosts virtuales y extremos o servidores de destino para que usen un nuevo almacén de claves y alias.