Хранилища ключей и доверенных сертификатов

Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация

Чтобы настроить функции, которые используют инфраструктуру открытых ключей (TLS), вам нужно создать хранилища ключей и хранилища доверенных сертификатов, содержащие необходимые ключи и цифровые сертификаты.

Подробнее…

Хранилища ключей и доверенных сертификатов

Хранилища ключей и доверия определяют репозитории сертификатов безопасности, используемых для шифрования TLS. Основное различие между ними заключается в том, на каком этапе процесса рукопожатия TLS они используются:

  • Хранилище ключей содержит сертификат TLS и закрытый ключ, используемые для идентификации объекта во время рукопожатия TLS.

    При одностороннем TLS, когда клиент подключается к конечной точке TLS на сервере, хранилище ключей сервера предоставляет клиенту сертификат сервера (открытый сертификат). Затем клиент проверяет сертификат в центре сертификации (ЦС), например Symantec или VeriSign.

    При двустороннем TLS и клиент, и сервер поддерживают хранилище ключей с собственным сертификатом и закрытым ключом, используемым для взаимной аутентификации.
  • truststore содержит сертификаты, используемые для проверки сертификатов, полученных в рамках рукопожатия TLS.

    При одностороннем TLS хранилище доверия не требуется, если сертификат подписан действительным центром сертификации. Если сертификат, полученный клиентом TLS, подписан действительным центром сертификации, клиент отправляет запрос в этот центр, чтобы аутентифицировать сертификат. Клиент TLS обычно использует хранилище доверия для проверки самозаверяющих сертификатов, полученных от сервера TLS, или сертификатов, не подписанных доверенным центром сертификации. В этом случае клиент заполняет хранилище доверенных сертификатов теми сертификатами, которым он доверяет. Когда клиент получает сертификат сервера, он проверяет его на соответствие сертификатам в хранилище доверенных сертификатов.

    Например, клиент TLS подключается к серверу TLS, на котором используется самоподписанный сертификат. Поскольку это самозаверяющий сертификат, клиент не может проверить его в ЦС. Вместо этого клиент предварительно загружает самоподписанный сертификат сервера в хранилище доверенных сертификатов. Затем, когда клиент пытается подключиться к серверу, он использует хранилище доверенных сертификатов, чтобы проверить сертификат, полученный от сервера.

    При двустороннем TLS хранилище доверия могут использовать как клиент TLS, так и сервер TLS. Хранилище доверенных сертификатов необходимо при двустороннем TLS, когда Edge выступает в качестве сервера TLS.

Сертификаты могут быть выпущены центром сертификации или подписаны самостоятельно с помощью созданного вами закрытого ключа. Если у вас есть доступ к центру сертификации, следуйте инструкциям, предоставленным этим центром, чтобы сгенерировать ключи и выпустить сертификаты. Если у вас нет доступа к центру сертификации, вы можете создать самозаверяющий сертификат с помощью одного из множества общедоступных бесплатных инструментов, например openssl.

Как использовать бесплатный пробный сертификат и ключ Apigee в облаке

Для всех организаций с бесплатным пробным периодом Cloud Apigee предоставляет бесплатный пробный сертификат и ключ. Организации, использующие бесплатную пробную версию, могут использовать этот сертификат и ключ по умолчанию для тестирования API и даже для переноса API в рабочую среду.

Организации с бесплатным пробным периодом не могут использовать собственные сертификаты и ключи. Они должны использовать сертификат и ключ, предоставленные Apigee. Собственные сертификаты и ключи можно использовать только после перехода на платный аккаунт.

Клиент Edge для облака с платным аккаунтом может создавать виртуальные хосты в организации. Все виртуальные хосты должны поддерживать TLS. Это означает, что у вас должен быть сертификат и ключ, которые нужно загрузить в хранилище ключей. Однако, если у вас платный аккаунт и у вас ещё нет сертификата и ключа TLS, вы можете создать виртуальный хост, который использует бесплатный пробный сертификат и ключ Apigee. Подробнее о настройке виртуальных хостов для облака…

Сертификат, предоставленный Apigee, нельзя использовать для двустороннего протокола TLS с внутренним сервером. Чтобы настроить двустороннее шифрование TLS с помощью внутреннего сервиса, после перехода на платный аккаунт необходимо загрузить собственные сертификаты.

Различия между облаком и частным облаком

В облачной версии Edge и версиях Private Cloud 4.18.01 и более поздних версий расширены возможности работы с хранилищами ключей и доверенными хранилищами, которые недоступны в версиях Private Cloud 4.17.09 и более ранних. Например, вы можете:

  • Как создать хранилища ключей и доверенных сертификатов с помощью интерфейса Edge
  • Используйте новый набор API для управления хранилищами ключей и доверенными хранилищами

При работе с хранилищами ключей и доверенными хранилищами используйте правильный раздел документации: