TLS yapılandırma seçenekleri

Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. info

Bu belgede, Edge'de TLS'yi iki işlevsel alan için nasıl yapılandıracağınıza dair genel bilgiler verilmektedir:

1. API istemcilerinin API proxy'lerinize erişimi. TLS'yi yapılandırmak için Edge Yönlendirici'de sanal ana makineleri kullanın.
2. Edge tarafından arka uç hizmetlerinize erişim. TLS'yi yapılandırmak için Edge İleti İşleyicide hedef uç noktaları ve hedef sunucuları kullanın.

Bu erişim türlerinin ikisi de aşağıda gösterilmiştir:

Sanal ana makinede veya hedef uç noktada/hedef sunucuda TLS seçeneklerini ayarlama hakkında

Sanal ana makine, aşağıdaki biçimde bir XML nesnesi ile temsil edilebilir:

<VirtualHost name="secure">
    ...
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTruststoreRef</TrustStore> 
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
    </SSLInfo>
</VirtualHost>

TLS'yi yapılandırmak için değiştirdiğiniz sanal ana makine alanı, <SSLInfo> etiketiyle tanımlanır. Hedef uç noktayı veya hedef sunucuyu yapılandırmak için aynı <SSLInfo> etiketini kullanırsınız.

Aşağıdaki tabloda, <SSLInfo> etiketi tarafından kullanılan TLS yapılandırma öğeleri açıklanmaktadır:

<CommonName wildcardMatch="true">*.myhost.com</CommonName>

<KeyStore> ve <TrustStore> öğelerini ayarlama hakkında

Yukarıdaki sanal ana makine örneğinde, anahtar deposu ve güven deposu şu şekilde referanslar kullanılarak belirtilmiştir:

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

Apigee, her zaman anahtar deposu ve güven deposu referansları kullanmanızı önemle tavsiye eder. Referans, anahtar mağazasının adını doğrudan belirtmek yerine anahtar mağazasının veya güven mağazasının adını içeren bir değişkendir. Bu örnekte:

• myKeystoreRef, anahtar deposunun adını içeren bir referanstır. Bu örnekte, anahtar deposunun adı myKeystore'dur.
• myTruststoreRef, güven mağazasının adını içeren bir referanstır. Bu örnekte, güven mağazasının adı myTruststore'dur.

Bir sertifikanın süresi dolduğunda, yeni sertifikayı içeren anahtar deposunu veya güven deposunu belirtmek için sanal ana makineyi ya da hedef uç noktayı/hedef sunucuyu güncellemeniz gerekir. Referansın avantajı, sanal ana makineyi veya hedef uç noktayı/hedef sunucuyu değiştirmek zorunda kalmadan anahtar deposunu veya güven deposunu değiştirmek için referansın değerini değiştirebilmenizdir:

• Cloud müşterileri için: Referansın değerini değiştirmek için Apigee Edge Destek Ekibi ile iletişime geçmeniz gerekmez.
• Private Cloud müşterileri için: Referansın değerini değiştirmek için yönlendiriciler ve mesaj işleyiciler gibi Edge bileşenlerini yeniden başlatmanız gerekmez.

Alternatif olarak, anahtar mağazası adını ve güven mağazası adını doğrudan belirtebilirsiniz:

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore> 

Anahtar deposunun veya güven deposunun adını doğrudan belirtirseniz Cloud müşterilerinin Apigee Edge Destek Ekibi ile iletişime geçmesi, Private Cloud müşterilerinin ise sertifikayı güncellemek için belirli Edge bileşenlerini yeniden başlatması gerekir.

Yalnızca hedef uç noktalar/hedef sunucu için üçüncü bir seçenek de akış değişkenlerini kullanmaktır:

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore> 

Akış değişkenleri, hedef uç noktalar/hedef sunucular için çalışır ve anahtar deposunu veya güven deposunu referanslar gibi güncellemenize olanak tanır. Ancak sanal ana makinelerle çalışmazlar ve her istekte anahtar deposu, takma ad ve güven deposu hakkında bilgi iletmenizi gerektirirler.

Anahtar depolarına ve güven deposuna referans vermeyle ilgili kısıtlamalar

Ücretli Cloud müşterileri ve TLS yapılandıran tüm Private Cloud müşterileri, anahtar depolarına ve güven depolarına referans verirken aşağıdaki kısıtlamayı dikkate almalıdır:

• Anahtar deposu ve güven deposu referanslarını sanal ana makinelerde yalnızca Apigee yönlendiricilerinde TLS'yi sonlandırırsanız kullanabilirsiniz.

• Apigee yönlendiricilerinin önünde bir yük dengeleyiciniz varsa ve TLS'yi yük dengeleyicide sonlandırırsanız sanal ana makinelerde anahtar deposu ve güvenilir sertifika deposu referanslarını kullanamazsınız.

Mevcut sanal ana makineniz gerçek bir anahtar mağazası veya güven mağazası adı kullanıyorsa

Edge'deki mevcut sanal ana makineler, anahtar depoları ve güven depoları referanslarını kullanacak şekilde yapılandırılmamış olabilir. Bu durumda, sanal ana makineyi referans kullanacak şekilde güncelleyebilirsiniz.

1. Edge for the Cloud

   Sanal ana makineyi, anahtar deposuna referans verecek şekilde değiştirmek için Apigee Edge Destek Ekibi ile çalışmanız gerekir.

2. Private Cloud için Edge

   Sanal ana makineyi referans kullanacak şekilde dönüştürmek için:

   1. Sanal ana makineyi referans kullanacak şekilde güncelleyin.
   2. Yönlendiricileri yeniden başlatın.
   Daha fazla bilgi için Private Cloud için bir API'ye TLS erişimini yapılandırma başlıklı makaledeki "Anahtar deposu ve güven deposu referanslarını kullanacak şekilde sanal ana makineyi değiştirme" bölümüne bakın.

Apigee ücretsiz deneme sertifikası ve anahtarının kullanımı hakkında

Ücretli bir Edge for Cloud hesabınız varsa ve henüz TLS sertifikanız ve anahtarınız yoksa Apigee ücretsiz deneme sertifika ve anahtarını kullanan bir sanal ana makine oluşturabilirsiniz. Yani, önce bir anahtar mağazası oluşturmadan sanal ana makineyi oluşturabilirsiniz.

Apigee ücretsiz deneme sertifikası ve anahtarını kullanarak sanal ana makineyi tanımlayan bir XML nesnesi, <KeyStore> ve <KeyAlias> öğelerini atlar ve bunları aşağıdaki gibi <UseBuiltInFreeTrialCert> öğesiyle değiştirir:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

İki yönlü TLS gerçekleştiriyorsanız <ClientAuthEnabled> öğesini true olarak ayarlamanız ve <TrustStore> öğesiyle bir referans kullanarak bir güven mağazası belirtmeniz gerekir.

Daha fazla bilgi için Cloud için sanal ana makineleri yapılandırma başlıklı makaleyi inceleyin.

TLS'yi yapılandırma hakkında

TLS yapılandırmasını nasıl gerçekleştireceğinizi iki ana faktör belirler:

• Edge Cloud veya Private Cloud müşterisi misiniz?
• Süresi dolmuş veya dolmak üzere olan sertifikaları nasıl güncelleyeceksiniz?

Cloud ve Private Cloud yapılandırma seçenekleri

Aşağıdaki tabloda, Cloud ve Özel Bulut müşterileri için farklı yapılandırma seçenekleri gösterilmektedir:

Private Cloud müşterileri hem sanal ana makinelerin hem de hedef uç noktaların/hedef sunucuların yapılandırması üzerinde tam kontrole sahiptir. Bu kontrol, sanal ana makine oluşturma ve silme ve sanal ana makinedeki tüm özellikleri ayarlama olanağı içerir.

Hem ücretli hem de deneme sürümünü kullanan tüm Cloud müşterileri, hedef uç noktaların/hedef sunucuların yapılandırması üzerinde tam kontrole sahiptir. Ayrıca ücretli Cloud müşterileri, TLS özellikleri dahil olmak üzere sanal ana makineler üzerinde tam kontrole sahiptir.

Süresi dolan sertifikaları işleme

Bir TLS sertifikasının süresi dolarsa veya sistem yapılandırmanız sertifikanın geçerliliğini yitirecek şekilde değişirse sertifikayı güncellemeniz gerekir. Bir sanal ana makine veya hedef uç nokta/hedef sunucu için TLS'yi yapılandırırken herhangi bir yapılandırma yapmadan önce bu güncellemeyi nasıl yapacağınıza karar vermeniz gerekir.

Sertifikanın süresi dolduğunda

Edge'de sertifikaları iki yerden birinde depolarsınız:

• Anahtar Deposu: TLS el sıkışma sırasında varlığı tanımlamak için kullanılan TLS sertifikasını ve özel anahtarı içerir.
• Truststore: TLS istemcisinde, istemciye sunulan TLS sunucusunun sertifikasını doğrulamak için kullanılan güvenilir sertifikaları içerir. Bu sertifikalar genellikle kendinden imzalı sertifikalar, güvenilir bir CA tarafından imzalanmış sertifikalar veya iki yönlü TLS'nin bir parçası olarak kullanılan sertifikalar olur.

Bir anahtar deposundaki sertifikanın süresi dolduğunda ve anahtar deposuna referans veriyorsanız anahtar deposuna yeni sertifika yükleyemezsiniz. Bunun yerine:

1. Yeni bir anahtar mağazası oluşturun.
2. Yeni sertifikayı, eski anahtar deposundakiyle aynı takma ad adını kullanarak yeni anahtar deposuna yükleyin.
3. Sanal ana makinenizdeki veya hedef sunucunuzdaki/hedef uç noktanızdaki referansı yeni anahtar deposunu kullanacak şekilde güncelleyin.

Güven mağazasındaki bir sertifikanın süresi dolduğunda ve güven mağazasına ait bir referans kullanıyorsanız:

1. Yeni bir güven mağazası oluşturun.
2. Yeni sertifikayı yeni güven deposuna yükleyin. Güven mağazaları için takma ad önemli değildir. Not: Bir sertifika bir zincirin parçasıysa tüm sertifikaları içeren tek bir dosya oluşturup bu dosyayı tek bir takma ada yüklemeniz veya zincirdeki tüm sertifikaları her sertifika için farklı bir takma ad kullanarak güven deposuna ayrı ayrı yüklemeniz gerekir.
3. Sanal ana makinenizdeki veya hedef sunucunuzdaki/hedef uç noktanızdaki referansı yeni güven mağazasını kullanacak şekilde güncelleyin.

Süresi dolmuş sertifikaları güncelleme yöntemlerinin özeti

Sanal ana makinede veya hedef uç noktada/hedef sunucuda anahtar deposunun ve güven deposunun adını belirtmek için kullandığınız yöntem, sertifika güncellemesini nasıl gerçekleştireceğinizi belirler. Şunları kullanabilirsiniz:

• Referanslar
• Doğrudan adlar
• Akış değişkenleri

Bu yöntemlerin her birinin güncelleme süreci üzerindeki etkileri aşağıdaki tabloda açıklanmıştır. Gördüğünüz gibi, referanslar hem Cloud hem de Private Cloud müşterilerine en fazla esnekliği sunar: