TLS কনফিগার করার জন্য বিকল্প

আপনি Apigee Edge-এর ডকুমেন্টেশন দেখছেন।
Apigee X ডকুমেন্টেশন .info- তে যান।

এই ডকুমেন্টে দুটি ফাংশনাল এরিয়ার জন্য Edge-এ TLS কনফিগার করার পদ্ধতির একটি সংক্ষিপ্ত বিবরণ রয়েছে:

1. এপিআই ক্লায়েন্টদের দ্বারা আপনার এপিআই প্রক্সিগুলিতে অ্যাক্সেস। TLS কনফিগার করতে এজ রাউটারে ভার্চুয়াল হোস্ট ব্যবহার করুন।
2. Edge-এর মাধ্যমে আপনার ব্যাকএন্ড পরিষেবাগুলিতে অ্যাক্সেস করুন। TLS কনফিগার করতে Edge মেসেজ প্রসেসরে টার্গেট এন্ডপয়েন্ট এবং টার্গেট সার্ভার ব্যবহার করুন।

এই উভয় অ্যাক্সেস প্রকার নিচে দেখানো হলো:

একটি ভার্চুয়াল হোস্ট বা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারে TLS অপশন সেট করা সম্পর্কে

একটি ভার্চুয়াল হোস্টকে একটি XML অবজেক্ট দ্বারা উপস্থাপন করা যেতে পারে, যা নিম্নরূপে গঠিত:

<VirtualHost name="secure">
    ...
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTruststoreRef</TrustStore> 
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
    </SSLInfo>
</VirtualHost>

ভার্চুয়াল হোস্টের যে অংশটি আপনি TLS কনফিগার করার জন্য পরিবর্তন করেন, তা <SSLInfo> ট্যাগ দ্বারা সংজ্ঞায়িত করা হয়। একটি টার্গেট এন্ডপয়েন্ট বা টার্গেট সার্ভার কনফিগার করার জন্যও আপনি একই <SSLInfo> ট্যাগ ব্যবহার করেন।

নিম্নলিখিত সারণিতে <SSLInfo> ট্যাগ দ্বারা ব্যবহৃত TLS কনফিগারেশন উপাদানগুলি বর্ণনা করা হয়েছে:

<CommonName wildcardMatch="true">*.myhost.com</CommonName>

<KeyStore> এবং <TrustStore> এলিমেন্টগুলো সেট করা সম্পর্কে

উপরের ভার্চুয়াল হোস্টের উদাহরণে, কীস্টোর এবং ট্রাস্টস্টোর রেফারেন্স ব্যবহার করে নিম্নোক্ত আকারে নির্দিষ্ট করা হয়েছে:

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

Apigee দৃঢ়ভাবে সুপারিশ করে যে আপনি সর্বদা কীস্টোর এবং ট্রাস্টস্টোরের রেফারেন্স ব্যবহার করুন। রেফারেন্স হলো এমন একটি ভেরিয়েবল যা সরাসরি কীস্টোরের নাম উল্লেখ না করে, কীস্টোর বা ট্রাস্টস্টোরের নামটি ধারণ করে। এই উদাহরণে:

• myKeystoreRef হলো একটি রেফারেন্স যা কীস্টোরের নামটি ধারণ করে। এই উদাহরণে, কীস্টোরটির নাম হলো myKeystore ।
• myTruststoreRef হলো একটি রেফারেন্স যা ট্রাস্টস্টোরের নাম ধারণ করে। এই উদাহরণে, ট্রাস্টস্টোরের নাম হলো myTruststore ।

যখন কোনো সার্টিফিকেটের মেয়াদ শেষ হয়ে যায়, তখন নতুন সার্টিফিকেট ধারণকারী কীস্টোর বা ট্রাস্টস্টোর নির্দিষ্ট করার জন্য আপনাকে ভার্চুয়াল হোস্ট অথবা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভার আপডেট করতে হবে। রেফারেন্স ব্যবহারের সুবিধা হলো, ভার্চুয়াল হোস্ট অথবা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভার নিজে পরিবর্তন না করেই, আপনি রেফারেন্সের মান পরিবর্তন করে কীস্টোর বা ট্রাস্টস্টোর পরিবর্তন করতে পারেন।

• ক্লাউড গ্রাহকদের জন্য : রেফারেন্সের মান পরিবর্তন করতে Apigee Edge Support-এর সাথে যোগাযোগ করার প্রয়োজন নেই।
• প্রাইভেট ক্লাউড গ্রাহকদের জন্য : রেফারেন্সের মান পরিবর্তন করলে রাউটার এবং মেসেজ প্রসেসরের মতো এজ কম্পোনেন্টগুলো রিস্টার্ট করার প্রয়োজন নেই।

বিকল্পভাবে, আপনি সরাসরি কীস্টোরের নাম এবং ট্রাস্টস্টোরের নাম উল্লেখ করতে পারেন:

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore> 

আপনি যদি সরাসরি কীস্টোর বা ট্রাস্টস্টোরের নাম উল্লেখ করেন, তাহলে সার্টিফিকেটটি আপডেট করার জন্য ক্লাউড গ্রাহকদের অবশ্যই Apigee Edge Support-এর সাথে যোগাযোগ করতে হবে এবং প্রাইভেট ক্লাউড গ্রাহকদের নির্দিষ্ট Edge কম্পোনেন্টগুলো রিস্টার্ট করতে হবে।

তৃতীয় একটি বিকল্প হলো, শুধুমাত্র টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারের জন্য, ফ্লো ভেরিয়েবল ব্যবহার করা:

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore> 

ফ্লো ভেরিয়েবল টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারের জন্য কাজ করে এবং রেফারেন্সের মতো কীস্টোর বা ট্রাস্টস্টোর আপডেট করার সুযোগ দেয়। তবে, এগুলি ভার্চুয়াল হোস্টের সাথে কাজ করে না এবং প্রতিটি অনুরোধে আপনাকে কীস্টোর, অ্যালিয়াস এবং ট্রাস্টস্টোর সম্পর্কিত তথ্য সরবরাহ করতে হয়।

কীস্টোর এবং ট্রাস্টস্টোরের রেফারেন্স ব্যবহারে সীমাবদ্ধতা

পেইড ক্লাউড গ্রাহক এবং TLS কনফিগারকারী সকল প্রাইভেট ক্লাউড গ্রাহকদের কীস্টোর ও ট্রাস্টস্টোরের রেফারেন্স ব্যবহার করার সময় নিম্নলিখিত সীমাবদ্ধতাটি অবশ্যই মনে রাখতে হবে:

• আপনি ভার্চুয়াল হোস্টে কীস্টোর এবং ট্রাস্টস্টোর রেফারেন্স শুধুমাত্র তখনই ব্যবহার করতে পারবেন, যদি আপনি Apigee রাউটারগুলিতে TLS টার্মিনেট করেন।

• যদি আপনার Apigee রাউটারগুলোর সামনে একটি লোড ব্যালেন্সার থাকে এবং আপনি সেই লোড ব্যালেন্সারে TLS টার্মিনেট করেন, তাহলে আপনি ভার্চুয়াল হোস্টগুলোতে কীস্টোর এবং ট্রাস্টস্টোর রেফারেন্স ব্যবহার করতে পারবেন না।

যদি আপনার বিদ্যমান ভার্চুয়াল হোস্ট একটি আক্ষরিক কীস্টোর বা ট্রাস্টস্টোর নাম ব্যবহার করে

Edge-এ বিদ্যমান ভার্চুয়াল হোস্টগুলো কীস্টোর এবং ট্রাস্টস্টোরের জন্য রেফারেন্স ব্যবহার করার জন্য কনফিগার করা নাও থাকতে পারে। এই ক্ষেত্রে, আপনি ভার্চুয়াল হোস্টটিকে একটি রেফারেন্স ব্যবহার করার জন্য আপডেট করতে পারেন।

1. ক্লাউডের জন্য এজ

   ভার্চুয়াল হোস্টকে কীস্টোরের রেফারেন্স ব্যবহার করার জন্য পরিবর্তন করতে হলে আপনাকে Apigee Edge Support-এর সাথে কাজ করতে হবে।

2. প্রাইভেট ক্লাউডের জন্য এজ

   ভার্চুয়াল হোস্টকে রেফারেন্স ব্যবহার করার জন্য রূপান্তর করতে:

   1. রেফারেন্স ব্যবহার করার জন্য ভার্চুয়াল হোস্টটি আপডেট করুন।
   2. রাউটারগুলো পুনরায় চালু করুন।
   আরও তথ্যের জন্য , প্রাইভেট ক্লাউডের জন্য একটি এপিআই-তে টিএলএস অ্যাক্সেস কনফিগার করা- এর মধ্যে "কীস্টোর এবং ট্রাস্টস্টোরের রেফারেন্স ব্যবহার করার জন্য একটি ভার্চুয়াল হোস্ট পরিবর্তন করা" অংশটি দেখুন।

Apigee ফ্রি ট্রায়াল সার্টিফিকেট এবং কী ব্যবহার সম্পর্কে

আপনার যদি একটি পেইড Edge for Cloud অ্যাকাউন্ট থাকে এবং এখনও কোনো TLS সার্টিফিকেট ও কী না থাকে, তাহলে আপনি Apigee-র ফ্রি ট্রায়াল সার্টিফিকেট ও কী ব্যবহার করে একটি ভার্চুয়াল হোস্ট তৈরি করতে পারেন। এর মানে হলো, আপনি প্রথমে কীস্টোর তৈরি না করেই ভার্চুয়াল হোস্টটি তৈরি করতে পারবেন।

Apigee-র ফ্রি ট্রায়াল সার্টিফিকেট ও কী ব্যবহার করে ভার্চুয়াল হোস্ট নির্ধারণকারী একটি XML অবজেক্টে <KeyStore> এবং <KeyAlias> এলিমেন্টগুলো বাদ দেওয়া হয় এবং সেগুলোর পরিবর্তে <UseBuiltInFreeTrialCert> এলিমেন্ট ব্যবহার করা হয়, যেমনটি নিচে দেখানো হয়েছে:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

আপনি যদি দ্বি-মুখী TLS ব্যবহার করেন, তাহলে আপনাকে অবশ্যই <ClientAuthEnabled> এলিমেন্টটিকে true তে সেট করতে হবে এবং <TrustStore> এলিমেন্টের মাধ্যমে একটি রেফারেন্স ব্যবহার করে ট্রাস্টস্টোর নির্দিষ্ট করতে হবে।

আরও তথ্যের জন্য ক্লাউডের জন্য ভার্চুয়াল হোস্ট কনফিগার করা দেখুন।

TLS কনফিগার করার বিষয়ে

দুটি প্রধান বিষয় নির্ধারণ করে যে আপনি কীভাবে TLS কনফিগারেশন করবেন:

• আপনি কি এজ ক্লাউড বা প্রাইভেট ক্লাউডের গ্রাহক?
• আপনি মেয়াদোত্তীর্ণ বা মেয়াদ শেষ হতে চলা সার্টিফিকেটগুলো কীভাবে আপডেট করবেন?

ক্লাউড এবং প্রাইভেট ক্লাউড কনফিগারেশন বিকল্পগুলি

নিম্নলিখিত সারণিতে ক্লাউড এবং প্রাইভেট ক্লাউড গ্রাহকদের জন্য বিভিন্ন কনফিগারেশন বিকল্প দেখানো হয়েছে:

প্রাইভেট ক্লাউড গ্রাহকদের ভার্চুয়াল হোস্ট এবং টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভার উভয়ের কনফিগারেশনের উপর সম্পূর্ণ নিয়ন্ত্রণ থাকে। এই নিয়ন্ত্রণের মধ্যে ভার্চুয়াল হোস্ট তৈরি ও মুছে ফেলা এবং একটি ভার্চুয়াল হোস্টের সমস্ত প্রোপার্টি সেট করার ক্ষমতা অন্তর্ভুক্ত।

সকল ক্লাউড গ্রাহক, পেইড এবং ইভ্যালুয়েশন উভয়ই, টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারের কনফিগারেশনের উপর সম্পূর্ণ নিয়ন্ত্রণ রাখেন। এছাড়াও, পেইড ক্লাউড গ্রাহকরা টিএলএস প্রোপার্টিসহ ভার্চুয়াল হোস্টের উপর সম্পূর্ণ নিয়ন্ত্রণ রাখেন।

মেয়াদোত্তীর্ণ সার্টিফিকেট পরিচালনা

যদি কোনো TLS সার্টিফিকেটের মেয়াদ শেষ হয়ে যায়, অথবা আপনার সিস্টেম কনফিগারেশন এমনভাবে পরিবর্তিত হয় যে সার্টিফিকেটটি আর বৈধ থাকে না, তাহলে আপনাকে সার্টিফিকেটটি আপডেট করতে হবে। কোনো ভার্চুয়াল হোস্ট বা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারের জন্য TLS কনফিগার করার সময়, যেকোনো কনফিগারেশন করার আগেই আপনার সিদ্ধান্ত নেওয়া উচিত যে আপনি সেই আপডেটটি কীভাবে করবেন।

যখন একটি সার্টিফিকেটের মেয়াদ শেষ হয়ে যায়

Edge-এ, আপনি দুটি জায়গার যেকোনো একটিতে সার্টিফিকেট সংরক্ষণ করেন:

• কীস্টোর - এতে টিএলএস সার্টিফিকেট এবং প্রাইভেট কী থাকে, যা টিএলএস হ্যান্ডশেকিংয়ের সময় সত্তাটিকে শনাক্ত করতে ব্যবহৃত হয়।
• ট্রাস্টস্টোর - একটি TLS ক্লায়েন্টে থাকা বিশ্বস্ত সার্টিফিকেটসমূহ ধারণ করে, যা ক্লায়েন্টের কাছে উপস্থাপিত TLS সার্ভারের সার্টিফিকেট যাচাই করতে ব্যবহৃত হয়। এই সার্টিফিকেটগুলো সাধারণত সেলফ-সাইন্ড সার্টিফিকেট, কোনো বিশ্বস্ত CA দ্বারা স্বাক্ষরিত সার্টিফিকেট, অথবা টু-ওয়ে TLS-এর অংশ হিসেবে ব্যবহৃত সার্টিফিকেট হয়ে থাকে।

যখন কোনো কীস্টোরের সার্টিফিকেটের মেয়াদ শেষ হয়ে যায় এবং আপনি সেই কীস্টোরের একটি রেফারেন্স ব্যবহার করেন , তখন আপনি কীস্টোরটিতে একটি নতুন সার্টিফিকেট আপলোড করতে পারবেন না। এর পরিবর্তে, আপনাকে যা করতে হবে তা হলো:

1. একটি নতুন কীস্টোর তৈরি করুন।
2. পুরানো কীস্টোরে ব্যবহৃত একই অ্যালিয়াস নামটি ব্যবহার করে নতুন সার্টিফিকেটটি নতুন কীস্টোরে আপলোড করুন।
3. নতুন কীস্টোরটি ব্যবহার করার জন্য আপনার ভার্চুয়াল হোস্ট অথবা টার্গেট সার্ভার/টার্গেট এন্ডপয়েন্টে রেফারেন্সটি আপডেট করুন।

যখন কোনো ট্রাস্টস্টোরের সার্টিফিকেট মেয়াদোত্তীর্ণ হয়ে যায়, এবং আপনি ট্রাস্টস্টোরটির একটি রেফারেন্স ব্যবহার করছেন , তখন আপনাকে:

1. একটি নতুন ট্রাস্টস্টোর তৈরি করুন।
2. নতুন সার্টিফিকেটটি নতুন ট্রাস্টস্টোরে আপলোড করুন। ট্রাস্টস্টোরের ক্ষেত্রে অ্যালিয়াস নামটি গুরুত্বপূর্ণ নয়। দ্রষ্টব্য : যদি কোনো সার্টিফিকেট একটি চেইনের অংশ হয়, তাহলে আপনাকে অবশ্যই হয় সমস্ত সার্টিফিকেট সম্বলিত একটি একক ফাইল তৈরি করে সেই ফাইলটি একটি একক অ্যালিয়াসে আপলোড করতে হবে, অথবা চেইনের সমস্ত সার্টিফিকেট প্রতিটি সার্টিফিকেটের জন্য আলাদা অ্যালিয়াস ব্যবহার করে ট্রাস্টস্টোরে আলাদাভাবে আপলোড করতে হবে।
3. নতুন ট্রাস্টস্টোরটি ব্যবহার করার জন্য আপনার ভার্চুয়াল হোস্ট অথবা টার্গেট সার্ভার/টার্গেট এন্ডপয়েন্টে রেফারেন্সটি আপডেট করুন।

মেয়াদোত্তীর্ণ সার্টিফিকেট হালনাগাদ করার পদ্ধতিসমূহের সারসংক্ষেপ

ভার্চুয়াল হোস্ট অথবা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারে কীস্টোর এবং ট্রাস্টস্টোরের নাম নির্দিষ্ট করার জন্য আপনি যে পদ্ধতি ব্যবহার করেন, তার উপরেই সার্টিফিকেট আপডেট করার পদ্ধতি নির্ভর করে। আপনি ব্যবহার করতে পারেন:

• তথ্যসূত্র
• সরাসরি নাম
• প্রবাহ পরিবর্তনশীল

এই পদ্ধতিগুলোর প্রত্যেকটিরই আপডেট প্রক্রিয়ার উপর ভিন্ন ভিন্ন প্রভাব রয়েছে, যা নিচের সারণীতে বর্ণনা করা হয়েছে। যেমনটি আপনি দেখতে পাচ্ছেন, রেফারেন্স পদ্ধতিটি ক্লাউড এবং প্রাইভেট ক্লাউড উভয় গ্রাহকদের জন্যই সর্বাধিক নমনীয়তা প্রদান করে: