การสร้างคีย์สโตร์และ Truststore โดยใช้ Edge UI

คุณกำลังดูเอกสารประกอบของ Apigee Edge
ไปที่เอกสารประกอบของ Apigee X info

เอกสารนี้อธิบายวิธีสร้าง แก้ไข และลบที่เก็บคีย์และที่เก็บที่เชื่อถือสำหรับ Edge สำหรับ Cloud และสำหรับ Edge สำหรับ Private Cloud เวอร์ชัน 4.18.01 ขึ้นไป

เกี่ยวกับที่เก็บคีย์/ที่เก็บที่เชื่อถือและโฮสต์เสมือนสำหรับ Edge Cloud

กระบวนการสร้างที่เก็บคีย์/ที่เก็บที่เชื่อถือได้สำหรับ Edge Cloud กำหนดให้คุณต้องปฏิบัติตามกฎทั้งหมดเกี่ยวกับการใช้โฮสต์เสมือน เช่น การใช้โฮสต์เสมือนในระบบคลาวด์

• โฮสต์เสมือนต้องใช้ TLS
• โฮสต์เสมือนใช้ได้เฉพาะพอร์ต 443
• คุณต้องใช้ใบรับรอง TLS ที่ลงนามแล้ว ไม่อนุญาตให้ใช้ใบรับรองที่ไม่ได้ลงนามกับโฮสต์เสมือนในระบบคลาวด์
• ชื่อโดเมนที่ระบุโดยใบรับรอง TLS ต้องตรงกับนามแฝงโฮสต์ของโฮสต์เสมือน

ดูข้อมูลเพิ่มเติม

• เกี่ยวกับ TLS/SSL
• การใช้ TLS กับ Edge
• คำถามที่พบบ่อยเกี่ยวกับการกำหนดค่าโฮสต์เสมือน
• เกี่ยวกับโฮสต์เสมือน

การติดตั้งใช้งานคีย์สโตร์และทรัสต์สโตร์ใน Edge

หากต้องการกำหนดค่าฟังก์ชันที่ใช้โครงสร้างพื้นฐานคีย์สาธารณะ เช่น TLS คุณต้อง สร้างที่เก็บคีย์และที่เก็บที่เชื่อถือได้ซึ่งมีคีย์และใบรับรองดิจิทัลที่จำเป็น

ใน Edge ทั้งคีย์สโตร์และทรัสต์สโตร์จะแสดงด้วยเอนทิตีคีย์สโตร์ ซึ่งมีนามแฝงอย่างน้อย 1 รายการ กล่าวคือ ไม่มีความแตกต่างในการติดตั้งใช้งาน ระหว่าง Keystore กับ Truststore ใน Edge

ความแตกต่างระหว่างที่เก็บคีย์กับที่เก็บที่เชื่อถือได้มาจากประเภทของรายการที่ที่เก็บเหล่านั้นมีและวิธีใช้ในการแฮนด์เชค TLS ดังนี้

• keystore - เอนทิตี keystore ที่มีนามแฝงอย่างน้อย 1 รายการ โดยแต่ละนามแฝงจะมีคู่ใบรับรอง/คีย์
• truststore - เอนทิตี keystore ที่มีนามแฝงอย่างน้อย 1 รายการ โดยแต่ละนามแฝงจะมีใบรับรองเท่านั้น

เมื่อกําหนดค่า TLS สําหรับโฮสต์เสมือนหรือปลายทางเป้าหมาย Keystore และ Truststore จะมีบทบาทที่แตกต่างกันในกระบวนการแฮนด์เชค TLS เมื่อกําหนดค่าโฮสต์เสมือนหรือปลายทางเป้าหมาย คุณจะระบุที่เก็บคีย์และที่เก็บที่เชื่อถือแยกกันในแท็ก <SSLInfo> ดังที่แสดงด้านล่างสําหรับโฮสต์เสมือน

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>apiTLS.myCompany.com</HostAlias> 
    </HostAliases> 
    <Interfaces/> 
    <Port>9006</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>false</ClientAuthEnabled> 
        <KeyStore>ref://keystoreref</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
    </SSLInfo>
</VirtualHost>

ในตัวอย่างนี้ คุณจะระบุชื่อของที่เก็บคีย์และนามแฝงที่โฮสต์เสมือนใช้สำหรับที่เก็บคีย์ TLS คุณใช้การอ้างอิงเพื่อระบุชื่อที่เก็บคีย์เพื่อให้เปลี่ยนชื่อได้ในภายหลังเมื่อใบรับรองหมดอายุ นามแฝงมีคู่ใบรับรอง/คีย์ที่ใช้เพื่อระบุโฮสต์เสมือน ให้กับไคลเอ็นต์ TLS ที่เข้าถึงโฮสต์เสมือน ในตัวอย่างนี้ ไม่จำเป็นต้องใช้ Truststore

หากจำเป็นต้องมี Truststore เช่น สำหรับการกำหนดค่า TLS แบบ 2 ทาง ให้ใช้แท็ก <TrustStore> เพื่อระบุ Truststore ดังนี้

<VirtualHost name="myTLSVHost"> 
    <HostAliases> 
        <HostAlias>apiTLS.myCompany.com</HostAlias> 
    </HostAliases> 
    <Interfaces/> 
    <Port>9006</Port> 
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://keystoreref</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://truststoreref</TrustStore>
    </SSLInfo>
</VirtualHost>

ในตัวอย่างนี้ แท็ก <TrustStore> อ้างอิงเฉพาะที่เก็บคีย์ ไม่ได้ ระบุชื่อแทนที่เฉพาะเจาะจง นามแฝงแต่ละรายการในที่เก็บคีย์จะมีใบรับรองหรือห่วงโซ่ใบรับรองที่ ใช้เป็นส่วนหนึ่งของกระบวนการแฮนด์เชค TLS

รูปแบบใบรับรองที่รองรับ

* เราขอแนะนำให้ใช้ PEM หากเป็นไปได้

การใช้ที่เก็บคีย์ PKCS12 กับ Edge สำหรับ Private Cloud 4.53.00 ขึ้นไป

หากใช้ Edge for Private Cloud 4.53.00 ขึ้นไป คุณควรใช้เฉพาะที่เก็บคีย์ PKCS12 เพื่ออัปโหลดคีย์และใบรับรองที่เกี่ยวข้องไปยัง Apigee หากต้องการความช่วยเหลือในการแปลงคีย์และใบรับรองที่มีอยู่เป็นรูปแบบ PKCS12/PFX โปรดดูการแปลงใบรับรองเป็นรูปแบบที่รองรับ

เกี่ยวกับการใช้ชื่อแทน

ใน Edge คีย์สโตร์จะมีชื่อแทนอย่างน้อย 1 รายการ โดยแต่ละชื่อแทนจะมีข้อมูลต่อไปนี้

• ใบรับรอง TLS เป็นไฟล์ PEM หรือ PKCS12/PFX ไม่ว่าจะเป็นใบรับรองที่ลงนามโดยผู้ออกใบรับรอง (CA), ไฟล์ที่มีเชนใบรับรองซึ่งใบรับรองสุดท้ายลงนามโดย CA หรือใบรับรองที่ลงนามด้วยตนเอง
• คีย์ส่วนตัวเป็นไฟล์ PEM หรือ PKCS12/PFX Edge รองรับขนาดคีย์สูงสุด 2048 บิต โดยคุณจะใช้พาสเฟรสหรือไม่ก็ได้

ใน Edge Truststore จะมีชื่อแทนอย่างน้อย 1 รายการ โดยที่ ชื่อแทนแต่ละรายการจะมีข้อมูลต่อไปนี้

• ใบรับรอง TLS เป็นไฟล์ PEM - ไม่ว่าจะเป็นใบรับรองที่ลงนามโดยผู้ออกใบรับรอง (CA), กลุ่มใบรับรองที่ใบรับรองสุดท้ายลงนามโดย CA หรือใบรับรองที่ลงนามด้วยตนเอง

Edge มี UI และ API ที่คุณใช้เพื่อสร้างคีย์สโตร์ สร้างนามแฝง อัปโหลดคู่ใบรับรอง/คีย์ และอัปเดตใบรับรอง UI และ API ที่คุณใช้สร้าง Truststore จะเหมือนกับที่คุณใช้สร้าง Keystore ความแตกต่างคือเมื่อสร้าง Truststore คุณจะสร้างนามแฝง ที่มีเฉพาะใบรับรอง

เกี่ยวกับรูปแบบของไฟล์ใบรับรองและคีย์

คุณสามารถแสดงใบรับรองและคีย์เป็นไฟล์ PEM หรือเป็นไฟล์ PKCS12/PFX ไฟล์ PEM เป็นไปตามรูปแบบ X.509 หากใบรับรองหรือคีย์ส่วนตัวไม่ได้กำหนดโดยไฟล์ PEM คุณสามารถแปลงเป็นไฟล์ PEM ได้โดยใช้ยูทิลิตี เช่น openssl

อย่างไรก็ตาม ไฟล์ .crt และไฟล์ .key จำนวนมากอยู่ในรูปแบบ PEM อยู่แล้ว หากไฟล์เหล่านี้เป็นไฟล์ข้อความ และอยู่ใน

-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----

หรือ

-----BEGIN ENCRYPTED PRIVATE KEY-----
-----END ENCRYPTED PRIVATE KEY-----

จากนั้นไฟล์จะเข้ากันได้กับรูปแบบ PEM และคุณจะใช้ไฟล์เหล่านั้นในที่เก็บคีย์หรือ ที่เก็บที่เชื่อถือได้โดยไม่ต้องแปลงเป็นไฟล์ PEM

เกี่ยวกับชุดใบรับรอง

หากใบรับรองเป็นส่วนหนึ่งของห่วงโซ่ คุณจะต้องจัดการใบรับรองแตกต่างกันไปโดยขึ้นอยู่กับว่าใช้ใบรับรองใน ที่เก็บคีย์หรือในที่เก็บที่เชื่อถือ

• ที่เก็บคีย์ - หากใบรับรองเป็นส่วนหนึ่งของห่วงโซ่ คุณต้องสร้างไฟล์เดียวที่มีใบรับรองทั้งหมดในห่วงโซ่ ใบรับรองต้องเรียงตามลำดับ และใบรับรองสุดท้ายต้องเป็นใบรับรองรูท หรือใบรับรองกลางที่ลงนามโดยใบรับรองรูท
• Truststore - หากใบรับรองเป็นส่วนหนึ่งของห่วงโซ่ คุณต้องสร้างไฟล์เดียว ที่มีใบรับรองทั้งหมดและอัปโหลดไฟล์นั้นไปยังนามแฝง หรืออัปโหลดใบรับรองทั้งหมดในห่วงโซ่ แยกกันไปยัง Truststore โดยใช้นามแฝงที่แตกต่างกันสำหรับใบรับรองแต่ละรายการ หากอัปโหลดเป็น ใบรับรองเดียว ใบรับรองต้องเรียงตามลำดับและใบรับรองสุดท้ายต้องเป็นใบรับรองรูทหรือ ใบรับรองระดับกลางที่ลงนามโดยใบรับรองรูท
• หากสร้างไฟล์เดียวที่มีใบรับรองหลายรายการ คุณต้องแทรกบรรทัดว่าง ระหว่างใบรับรองแต่ละรายการ

เช่น คุณสามารถรวมใบรับรองทั้งหมดไว้ในไฟล์ PEM เดียวได้ ใบรับรองต้องอยู่ในลำดับที่ถูกต้อง และใบรับรองสุดท้ายต้องเป็นใบรับรองรูทหรือใบรับรองกลางที่ลงนามโดยใบรับรองรูท

-----BEGIN CERTIFICATE----- 
(Your Primary TLS certificate) 
-----END CERTIFICATE----- 

-----BEGIN CERTIFICATE----- 
(Intermediate certificate) 
-----END CERTIFICATE-----
 
-----BEGIN CERTIFICATE----- 
(Root certificate or intermediate certificate signed by a root certificate) 
-----END CERTIFICATE-----

หากใบรับรองแสดงเป็นไฟล์ PKCS12/PFX คุณสามารถใช้คำสั่ง openssl เพื่อสร้างไฟล์ PKCS12/PFX จากห่วงโซ่ใบรับรองได้ดังที่แสดงด้านล่าง

openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

เมื่อทำงานกับห่วงโซ่ใบรับรองใน TrustStore คุณไม่จำเป็นต้องอัปโหลดใบรับรองทั้งหมดในห่วงโซ่เสมอไป เช่น คุณอัปโหลดใบรับรองไคลเอ็นต์ client_cert_1 และ ใบรับรองของผู้ออกใบรับรองไคลเอ็นต์ ca_cert

ในระหว่างการตรวจสอบสิทธิ์ TLS แบบ 2 ทาง การตรวจสอบสิทธิ์ไคลเอ็นต์จะสำเร็จเมื่อเซิร์ฟเวอร์ส่ง client_cert_1 ไปยังไคลเอ็นต์ซึ่งเป็นส่วนหนึ่งของกระบวนการแฮนด์เชค TLS

หรือคุณมีใบรับรองที่ 2 คือ client_cert_2 ซึ่งลงนามโดยใบรับรองเดียวกัน ca_cert อย่างไรก็ตาม คุณไม่ต้องอัปโหลด client_cert_2 ไปยัง Truststore Truststore ยังคงมีเพียง client_cert_1 และ ca_cert

เมื่อเซิร์ฟเวอร์ส่ง client_cert_2 เป็นส่วนหนึ่งของแฮนด์เชค TLS คำขอจะสำเร็จ เนื่องจาก Edge อนุญาตให้การยืนยัน TLS สำเร็จเมื่อ client_cert_2 ไม่มีอยู่ใน Truststore แต่ได้รับการลงนามโดยใบรับรองที่มีอยู่ใน Truststore หากคุณนำใบรับรอง CA, ca_cert ออกจาก Truststore การยืนยัน TLS จะไม่สำเร็จ

ข้อควรพิจารณาเกี่ยวกับ FIPS

หากใช้ Edge for Private Cloud 4.53.00 ขึ้นไปในระบบปฏิบัติการที่เปิดใช้ FIPS คุณควรใช้เฉพาะที่เก็บคีย์ PKCS12 เพื่ออัปโหลดคีย์และใบรับรองที่เกี่ยวข้องไปยัง Apigee

สำรวจหน้าคลังคีย์ TLS

หน้าคลังคีย์ TLS จะปรากฏขึ้น

ดังที่ไฮไลต์ไว้ในรูปที่แล้ว หน้าที่เก็บคีย์ TLS ช่วยให้คุณทำสิ่งต่อไปนี้ได้

• เลือกสภาพแวดล้อม
• สร้างคีย์สโตร์และนามแฝง
• ทดสอบและลบที่เก็บคีย์
• ดูและลบชื่อแทน

ดูอีเมลแทน

วิธีดูอีเมลแทน

1. เข้าถึงหน้าคลังคีย์ TLS
2. เลือกสภาพแวดล้อม (โดยปกติคือ prod หรือ test)
3. คลิกแถวที่เชื่อมโยงกับนามแฝงที่ต้องการดู

   รายละเอียดสำหรับใบรับรองและคีย์ของนามแฝงจะปรากฏขึ้น
   
   คุณจะเห็นข้อมูลทั้งหมดเกี่ยวกับอีเมลแทน รวมถึงวันที่หมดอายุ

4. จัดการใบรับรองโดยใช้ปุ่มที่ด้านบนของหน้าเพื่อทำสิ่งต่อไปนี้
   • ดาวน์โหลดใบรับรองเป็นไฟล์ PEM
   • สร้าง CSR หากมีใบรับรองที่หมดอายุและต้องการต่ออายุ คุณสามารถดาวน์โหลด คำขอลงชื่อใบรับรอง (CSR) ได้ จากนั้นให้ส่ง CSR ไปยัง CA เพื่อขอรับใบรับรองใหม่
   • อัปเดตใบรับรอง ข้อควรระวัง: หากอัปเดตใบรับรองที่ โฮสต์เสมือนหรือเซิร์ฟเวอร์เป้าหมาย/ปลายทางเป้าหมายกำลังใช้อยู่ คุณต้อง ติดต่อทีมสนับสนุนของ Apigee Edge เพื่อรีสตาร์ทเราเตอร์และตัวประมวลผลข้อความ วิธีที่แนะนำในการอัปเดตใบรับรองมีดังนี้
     1. สร้างที่เก็บคีย์หรือที่เก็บที่เชื่อถือใหม่
     2. เพิ่มใบรับรองใหม่ไปยังที่เก็บคีย์หรือที่เก็บที่เชื่อถือใหม่
     3. อัปเดตการอ้างอิงในโฮสต์เสมือนหรือ เซิร์ฟเวอร์เป้าหมาย/ปลายทางเป้าหมายเป็น ที่เก็บคีย์หรือที่เก็บใบรับรองที่เชื่อถือได้ ดูข้อมูลเพิ่มเติมได้ที่ อัปเดตใบรับรอง TLS สำหรับ Cloud
     4. ลบอีเมลแทน หมายเหตุ: หากคุณลบนามแฝงและนามแฝงนั้น กำลังใช้โดยโฮสต์เสมือนหรือปลายทางเป้าหมาย โฮสต์เสมือนหรือ ปลายทางเป้าหมายจะล้มเหลว

สร้างคีย์สโตร์/ที่เก็บที่เชื่อถือและชื่อแทน

คุณสามารถสร้างคลังคีย์เพื่อใช้เป็นทั้งคลังคีย์ TLS หรือคลังที่เชื่อถือได้ของ TLS Keystore จะเฉพาะเจาะจงกับสภาพแวดล้อมในองค์กรของคุณ เช่น สภาพแวดล้อมการทดสอบหรือสภาพแวดล้อมการใช้งานจริง ดังนั้น หากต้องการทดสอบคลังคีย์ในสภาพแวดล้อมการทดสอบก่อนที่จะนำไปใช้ในสภาพแวดล้อมฮาร์ดแวร์และซอฟต์แวร์ คุณต้องสร้างคลังคีย์ในทั้ง 2 สภาพแวดล้อม

หากต้องการสร้างที่เก็บคีย์ในสภาพแวดล้อม คุณเพียงต้องระบุชื่อที่เก็บคีย์ หลังจากสร้างที่เก็บคีย์ที่มีชื่อในสภาพแวดล้อมแล้ว คุณจะสร้างนามแฝงและอัปโหลดคู่ใบรับรอง/คีย์ (ที่เก็บคีย์) หรืออัปโหลดเฉพาะใบรับรอง (ที่เก็บใบรับรองที่เชื่อถือได้) ไปยังนามแฝงได้

วิธีสร้างที่เก็บคีย์

1. เข้าถึงหน้าคลังคีย์ TLS
2. เลือกสภาพแวดล้อม (โดยปกติคือ prod หรือ test)
3. คลิก + คีย์สโตร์
4. ระบุชื่อที่เก็บคีย์ ชื่อต้องประกอบด้วยอักขระที่เป็นตัวอักษรและตัวเลขคละกันเท่านั้น
5. คลิกเพิ่มคีย์สโตร์ Keystore ใหม่จะปรากฏในรายการ
6. ทำตามขั้นตอนใดขั้นตอนหนึ่งต่อไปนี้เพื่อเพิ่มอีเมลแทน ดูเพิ่มเติม รูปแบบไฟล์ใบรับรองที่รองรับ
   • การสร้างอีเมลแทนจากใบรับรอง (เฉพาะ Truststore)
   • การสร้างชื่อแทนจากไฟล์ JAR (คีย์สโตร์เท่านั้น)
   • สร้างชื่อแทน จากใบรับรองและคีย์ (คีย์สโตร์เท่านั้น)
   • สร้างชื่อแทนจาก ไฟล์ PKCS12/PFX (คีย์สโตร์เท่านั้น)
   • การสร้าง ชื่อแทนจากใบรับรองที่ลงนามด้วยตนเอง (คีย์สโตร์เท่านั้น)

การสร้างนามแฝงจากใบรับรอง (เฉพาะ Truststore)

วิธีสร้างนามแฝงจากใบรับรอง

1. เข้าถึงหน้าคลังคีย์ TLS
2. วางเคอร์เซอร์เหนือที่เก็บคีย์เพื่อแสดงเมนูการดำเนินการ แล้วคลิก +
3. ระบุชื่อแทน
4. ในส่วนรายละเอียดใบรับรอง ให้เลือกใบรับรองเท่านั้นในเมนูแบบเลื่อนลงประเภท
5. คลิกเลือกไฟล์ข้างไฟล์ใบรับรอง ไปที่ ไฟล์ PEM ที่มีใบรับรอง แล้วคลิกเปิด
6. โดยค่าเริ่มต้น API จะตรวจสอบว่าใบรับรองยังไม่หมดอายุ เลือกอนุญาตใบรับรองที่หมดอายุเพื่อข้ามการตรวจสอบ (ไม่บังคับ)
7. เลือกบันทึกเพื่ออัปโหลดใบรับรองและสร้างนามแฝง

การสร้างชื่อแทนจากไฟล์ JAR (คีย์สโตร์เท่านั้น)

วิธีสร้างนามแฝงจากไฟล์ JAR

1. เข้าถึงหน้าคลังคีย์ TLS
2. วางเคอร์เซอร์เหนือที่เก็บคีย์เพื่อแสดงเมนูการดำเนินการ แล้วคลิก +
3. ระบุชื่อแทน
4. ในส่วนรายละเอียดใบรับรอง ให้เลือกไฟล์ JAR ในเมนูแบบเลื่อนลงประเภท
5. คลิกเลือกไฟล์ข้างไฟล์ JAR ไปที่ไฟล์ JAR ที่มีใบรับรองและคีย์ แล้วคลิกเปิด
6. หากคีย์มีรหัสผ่าน ให้ระบุรหัสผ่าน หากคีย์ไม่มีรหัสผ่าน ให้เว้นช่องนี้ว่างไว้
7. โดยค่าเริ่มต้น API จะตรวจสอบว่าใบรับรองยังไม่หมดอายุ เลือกอนุญาตใบรับรองที่หมดอายุเพื่อข้ามการตรวจสอบ (ไม่บังคับ)
8. เลือกบันทึกเพื่ออัปโหลดคีย์และใบรับรอง แล้วสร้างนามแฝง

การสร้างชื่อแทนจากใบรับรองและ คีย์ (คีย์สโตร์เท่านั้น)

วิธีสร้างนามแฝงจากใบรับรองและคีย์

1. เข้าถึงหน้าคลังคีย์ TLS
2. วางเคอร์เซอร์เหนือที่เก็บคีย์เพื่อแสดงเมนูการดำเนินการ แล้วคลิก +
3. ระบุชื่อแทน
4. ในส่วนรายละเอียดใบรับรอง ให้เลือกใบรับรองและคีย์ในเมนูแบบเลื่อนลงประเภท
5. คลิกเลือกไฟล์ข้างไฟล์ใบรับรอง ไปที่ไฟล์ PEM ที่มีใบรับรอง แล้วคลิกเปิด
6. หากคีย์มีรหัสผ่าน ให้ระบุรหัสผ่านของคีย์ หากคีย์ไม่มีรหัสผ่าน ให้เว้นช่องนี้ว่างไว้
7. คลิกเลือกไฟล์ข้างไฟล์คีย์ ไปที่ไฟล์ PEM ที่มีคีย์ แล้วคลิกเปิด
8. โดยค่าเริ่มต้น API จะตรวจสอบว่าใบรับรองยังไม่หมดอายุ เลือกอนุญาตใบรับรองที่หมดอายุเพื่อข้ามการตรวจสอบ (ไม่บังคับ)
9. เลือกบันทึกเพื่ออัปโหลดคีย์และใบรับรอง แล้วสร้างนามแฝง

การสร้างชื่อแทนจากไฟล์ PKCS12/PFX (คีย์สโตร์เท่านั้น)

วิธีสร้างนามแฝงจากไฟล์ PKCS12 ที่มีใบรับรองและคีย์

1. เข้าถึงหน้าคลังคีย์ TLS
2. วางเคอร์เซอร์เหนือที่เก็บคีย์เพื่อแสดงเมนูการดำเนินการ แล้วคลิก +
3. ระบุชื่อแทน
4. ในส่วนรายละเอียดใบรับรอง ให้เลือก PKCS12/PFX ในเมนูแบบเลื่อนลงประเภท
5. คลิกเลือกไฟล์ข้าง PKCS12/PFX ไปที่ ไฟล์ที่มีคีย์และใบรับรอง แล้วคลิกเปิด
6. หากคีย์มีรหัสผ่าน ให้ระบุรหัสผ่านสำหรับไฟล์ PKCS12/PFX หากคีย์ไม่มีรหัสผ่าน ให้เว้นช่องนี้ว่างไว้
7. โดยค่าเริ่มต้น API จะตรวจสอบว่าใบรับรองยังไม่หมดอายุ เลือกอนุญาตใบรับรองที่หมดอายุเพื่อข้ามการตรวจสอบ (ไม่บังคับ)
8. เลือกบันทึกเพื่ออัปโหลดไฟล์และสร้างนามแฝง

การสร้างชื่อแทนจาก ใบรับรองที่ลงนามด้วยตนเอง (คีย์สโตร์เท่านั้น)

หากต้องการสร้างนามแฝงที่ใช้ใบรับรองที่ลงนามด้วยตนเอง คุณต้องกรอกข้อมูลที่จำเป็นในแบบฟอร์ม เพื่อสร้างใบรับรอง จากนั้น Edge จะสร้างใบรับรองและคู่คีย์ส่วนตัว แล้ว อัปโหลดไปยังนามแฝง

วิธีสร้างนามแฝงจากใบรับรองที่ลงนามด้วยตนเอง

1. เข้าถึงหน้าคลังคีย์ TLS
2. วางเคอร์เซอร์เหนือที่เก็บคีย์เพื่อแสดงเมนูการดำเนินการ แล้วคลิก +
3. ระบุชื่อแทน
4. ในส่วนรายละเอียดใบรับรอง ให้เลือกใบรับรองที่ลงนามด้วยตนเองในเมนูแบบเลื่อนลงประเภท
5. กรอกแบบฟอร์มโดยใช้ตารางด้านล่าง
6. เลือกบันทึกเพื่อสร้างคู่ใบรับรองและคีย์ส่วนตัว แล้วอัปโหลดไปยัง นามแฝง

ในใบรับรองที่สร้างขึ้น คุณจะเห็นฟิลด์เพิ่มเติมต่อไปนี้

• ผู้ออก
  นิติบุคคลที่ลงนามและออกใบรับรอง สำหรับใบรับรองแบบ Self-signed นี่คือ CN ที่คุณระบุเมื่อสร้างใบรับรอง
• ความถูกต้อง
  ระยะเวลาที่ใช้งานใบรับรองได้ซึ่งแสดงเป็น 2 วันที่ ได้แก่ วันที่ระยะเวลาที่ใช้งานใบรับรองได้ เริ่มต้นและวันที่ระยะเวลาที่ใช้งานใบรับรองได้สิ้นสุด ทั้ง 2 ค่าสามารถ เข้ารหัสเป็นค่า UTCTime หรือ GeneralizedTime ได้

ตารางต่อไปนี้อธิบายช่องในแบบฟอร์ม

ทดสอบคีย์สโตร์หรือทรัสต์สโตร์

คุณสามารถทดสอบ Truststore และ Keystore ใน UI ของ Edge เพื่อยืนยันว่าได้กำหนดค่าอย่างถูกต้องแล้ว UI การทดสอบจะตรวจสอบคำขอ TLS จาก Edge ไปยังบริการแบ็กเอนด์ คุณกำหนดค่าบริการแบ็กเอนด์ ให้รองรับ TLS ทางเดียวหรือสองทางได้

วิธีทดสอบ TLS ทางเดียว

1. เข้าถึงหน้าคลังคีย์ TLS
2. เลือกสภาพแวดล้อม (โดยปกติคือ prod หรือ test)
3. วางเคอร์เซอร์เหนือที่เก็บคีย์ TLS ที่ต้องการทดสอบเพื่อแสดงเมนูการดำเนินการ แล้วคลิกทดสอบ กล่องโต้ตอบต่อไปนี้ จะปรากฏขึ้นพร้อมชื่อของ Truststore
   
4. ป้อนชื่อโฮสต์ของบริการแบ็กเอนด์
5. ป้อนหมายเลขพอร์ต TLS (โดยปกติคือ 443)
6. ระบุโปรโตคอลหรือการเข้ารหัสลับ (ไม่บังคับ)
7. เลือกทดสอบ

วิธีทดสอบ TLS แบบ 2 ทาง

1. เลือกปุ่มทดสอบสำหรับ Truststore ที่ต้องการ
2. ในกล่องโต้ตอบ ให้เลือกสองทางสำหรับประเภทการทดสอบ SSL กล่องโต้ตอบต่อไปนี้จะปรากฏขึ้น
   
3. ระบุชื่อของที่เก็บคีย์ที่ใช้ใน TLS แบบ 2 ทาง
4. ระบุชื่อแทนในที่เก็บคีย์ที่มีใบรับรองและคีย์
5. ป้อนชื่อโฮสต์ของบริการแบ็กเอนด์
6. ป้อนหมายเลขพอร์ต TLS (โดยปกติคือ 443)
7. ระบุโปรโตคอลหรือการเข้ารหัสลับ (ไม่บังคับ)
8. เลือกทดสอบ

เพิ่มใบรับรองลงใน Trust Store สำหรับ TLS แบบ 2 ทาง

เมื่อใช้ TLS แบบ 2 ทางสำหรับการเชื่อมต่อขาเข้า ซึ่งหมายถึงคำขอ API ที่เข้ามายัง Edge Truststore จะมีใบรับรองหรือเชน CA สำหรับไคลเอ็นต์แต่ละรายที่ได้รับอนุญาตให้ส่งคำขอไปยัง Edge

เมื่อกำหนดค่า Truststore ในครั้งแรก คุณจะเพิ่มใบรับรองทั้งหมดสำหรับไคลเอ็นต์ที่รู้จักได้ อย่างไรก็ตาม เมื่อเวลาผ่านไป คุณอาจต้องเพิ่มใบรับรองเพิ่มเติมลงใน Truststore เมื่อเพิ่มไคลเอ็นต์ใหม่

วิธีเพิ่มใบรับรองใหม่ลงใน Trust Store ที่ใช้สำหรับ TLS แบบ 2 ทาง

1. ตรวจสอบว่าคุณใช้การอ้างอิงไปยัง Truststore ในโฮสต์เสมือน
2. อัปโหลดใบรับรองใหม่ไปยัง Truststore ตามที่อธิบายไว้ข้างต้นใน การสร้างนามแฝงจากใบรับรอง (Truststore เท่านั้น)

3. อัปเดตการอ้างอิง Truststore เพื่อตั้งค่าให้เป็นค่าเดียวกัน การอัปเดตนี้จะทำให้ Edge โหลด Truststore และใบรับรองใหม่ซ้ำ

   ดูข้อมูลเพิ่มเติมได้ที่การแก้ไขการอ้างอิง

ลบที่เก็บคีย์/ที่เก็บที่เชื่อถือ หรือชื่อแทน

คุณต้องใช้ความระมัดระวังเมื่อลบที่เก็บคีย์/ที่เก็บที่เชื่อถือได้หรือนามแฝง หากคุณลบที่เก็บคีย์ ที่เก็บที่เชื่อถือ หรือนามแฝงที่โฮสต์เสมือน ปลายทางเป้าหมาย หรือเซิร์ฟเวอร์เป้าหมายกำลังใช้อยู่ การเรียก API ทั้งหมดผ่านโฮสต์เสมือนหรือปลายทางเป้าหมาย/เซิร์ฟเวอร์เป้าหมายจะล้มเหลว

โดยปกติแล้ว กระบวนการที่คุณใช้ในการลบคลังคีย์/คลังที่เชื่อถือได้หรือนามแฝงคือ

1. สร้างที่เก็บคีย์/ที่เก็บที่เชื่อถือได้หรือนามแฝงใหม่ตามที่อธิบายไว้ข้างต้น
2. สำหรับการเชื่อมต่อขาเข้า ซึ่งหมายถึงคำขอ API ที่เข้ามาใน Edge ให้อัปเดต การกำหนดค่าโฮสต์เสมือนเพื่ออ้างอิงคีย์สโตร์และนามแฝงคีย์ใหม่
3. สำหรับการเชื่อมต่อขาออก ซึ่งหมายถึงจาก Apigee ไปยังเซิร์ฟเวอร์แบ็กเอนด์ ให้ทำดังนี้
   1. อัปเดตการกำหนดค่า TargetEndpoint สำหรับพร็อกซี API ที่อ้างอิง ที่เก็บคีย์และนามแฝงคีย์เก่าเพื่ออ้างอิงที่เก็บคีย์และนามแฝงคีย์ใหม่ หาก TargetEndpoint อ้างอิง TargetServer ให้อัปเดตคำจำกัดความของ TargetServer เพื่ออ้างอิงคีย์สโตร์ และนามแฝงคีย์ใหม่
   2. หากมีการอ้างอิง Keystore และ Truststore โดยตรงจากคำจำกัดความ TargetEndpoint คุณจะต้องติดตั้งใช้งานพร็อกซีอีกครั้ง หาก TargetEndpoint อ้างอิงถึงคำจำกัดความ TargetServer และคำจำกัดความ TargetServer อ้างอิงถึง Keystore และ Truststore ก็ไม่จำเป็นต้องติดตั้งใช้งานพร็อกซีอีกครั้ง
4. ยืนยันว่าพร็อกซี API ทำงานอย่างถูกต้อง
5. ลบที่เก็บคีย์/ที่เก็บที่เชื่อถือได้หรือชื่อแทน

ลบคีย์สโตร์

คุณลบที่เก็บคีย์หรือที่เก็บใบรับรองที่เชื่อถือได้โดยวางเคอร์เซอร์เหนือที่เก็บคีย์หรือที่เก็บใบรับรองที่เชื่อถือได้ในรายการเพื่อแสดงเมนูการดำเนินการ แล้วคลิก หากคุณลบที่เก็บคีย์หรือที่เก็บที่เชื่อถือได้ที่โฮสต์เสมือนหรือปลายทางเป้าหมาย/เซิร์ฟเวอร์เป้าหมายกำลังใช้ การเรียก API ทั้งหมดผ่านโฮสต์เสมือน หรือปลายทางเป้าหมาย/เซิร์ฟเวอร์เป้าหมายจะล้มเหลว

ข้อควรระวัง: คุณไม่ควรลบคลังคีย์จนกว่าจะแปลงโฮสต์เสมือนและปลายทางเป้าหมาย/เซิร์ฟเวอร์เป้าหมายให้ใช้คลังคีย์ใหม่

ลบอีเมลแทน

คุณลบชื่อแทนได้โดยวางเคอร์เซอร์เหนือชื่อแทนในรายการเพื่อแสดงเมนูการดำเนินการ แล้วคลิก หากคุณลบนามแฝงที่โฮสต์เสมือนหรือปลายทางเป้าหมาย/เซิร์ฟเวอร์เป้าหมายใช้อยู่ การเรียก API ทั้งหมดผ่านโฮสต์เสมือนหรือปลายทางเป้าหมาย/เซิร์ฟเวอร์เป้าหมายจะล้มเหลว

ข้อควรระวัง: คุณไม่ควรลบชื่อแทนจนกว่าจะแปลงโฮสต์เสมือน และปลายทางเป้าหมาย/เซิร์ฟเวอร์เป้าหมายให้ใช้ที่เก็บคีย์และชื่อแทนใหม่