Opcje konfiguracji TLS

Wyświetlasz dokumentację Apigee Edge.
Przejdź do dokumentacji Apigee X. info

Ten dokument zawiera omówienie sposobu konfigurowania protokołu TLS w Edge w 2 obszarach funkcjonalnych:

1. Dostęp do serwerów proxy interfejsu API przez klientów interfejsu API. Do konfigurowania protokołu TLS używaj hostów wirtualnych w routerze Edge Router.
2. Dostęp do usług backendu przez Edge. Do konfigurowania protokołu TLS używaj docelowych punktów końcowych i serwerów docelowych w procesorze komunikatów Edge.

Oba te typy dostępu są pokazane poniżej:

Ustawianie opcji TLS w hoście wirtualnym lub docelowym punkcie końcowym/serwerze docelowym

Host wirtualny może być reprezentowany przez obiekt XML w postaci:

<VirtualHost name="secure">
    ...
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTruststoreRef</TrustStore> 
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
    </SSLInfo>
</VirtualHost>

Obszar hosta wirtualnego, który modyfikujesz w celu skonfigurowania protokołu TLS, jest zdefiniowany przez tag <SSLInfo>. Tego samego tagu <SSLInfo> używasz do konfigurowania docelowego punktu końcowego lub serwera docelowego.

W tabeli poniżej opisujemy elementy konfiguracji TLS używane przez tag <SSLInfo>:

<CommonName wildcardMatch="true">*.myhost.com</CommonName>

Ustawianie elementów <KeyStore> i <TrustStore>

W powyższym przykładzie hosta wirtualnego magazyn kluczy i magazyn zaufanych certyfikatów są określone za pomocą odwołań w postaci:

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

Apigee zdecydowanie zaleca, aby zawsze używać odwołań do magazynu kluczy i magazynu zaufanych certyfikatów. Odwołanie to zmienna, która zawiera nazwę magazynu kluczy lub magazynu zaufanych certyfikatów, a nie bezpośrednio nazwę magazynu kluczy. W tym przykładzie:

• myKeystoreRef to odwołanie, które zawiera nazwę magazynu kluczy. W tym przykładzie nazwa magazynu kluczy to myKeystore.
• myTruststoreRef to odwołanie, które zawiera nazwę magazynu zaufanych certyfikatów. W tym przykładzie nazwa magazynu zaufanych certyfikatów to myTruststore.

Gdy certyfikat wygaśnie, musisz zaktualizować hosta wirtualnego lub docelowy punkt końcowy/serwer docelowy, aby określić magazyn kluczy lub magazyn zaufanych certyfikatów zawierający nowy certyfikat. Zaletą odwołania jest to, że możesz zmodyfikować jego wartość, aby zmienić magazyn kluczy lub magazyn zaufanych certyfikatów bez konieczności modyfikowania samego hosta wirtualnego lub docelowego punktu końcowego/serwera docelowego:

• W przypadku klientów korzystających z chmury: zmiana wartości odwołania nie wymaga kontaktu z zespołem pomocy Apigee Edge.
• W przypadku klientów korzystających z Private Cloud: zmiana wartości odwołania nie wymaga ponownego uruchamiania komponentów Edge, takich jak routery i procesory wiadomości.

Możesz też bezpośrednio określić nazwę magazynu kluczy i magazynu zaufanych certyfikatów:

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore> 

Jeśli bezpośrednio określisz nazwę magazynu kluczy lub magazynu zaufanych certyfikatów, klienci korzystający z chmury muszą skontaktować się z zespołem pomocy Apigee Edge i klienci korzystający z Private Cloud muszą ponownie uruchomić niektóre komponenty Edge, aby zaktualizować certyfikat.

Trzecia opcja, dostępna tylko w przypadku docelowych punktów końcowych i serwerów docelowych, to użycie zmiennych przepływu:

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore> 

Zmienne przepływu działają w przypadku docelowych punktów końcowych i serwerów docelowych oraz umożliwiają aktualizowanie magazynu kluczy lub magazynu zaufanych certyfikatów podobnie jak odwołania. Nie działają jednak w przypadku hostów wirtualnych i wymagają przekazywania informacji o magazynie kluczy, aliasie i magazynie zaufanych certyfikatów w każdym żądaniu.

Ograniczenia dotyczące używania odwołań do magazynów kluczy i magazynów zaufanych certyfikatów

Płatni klienci korzystający z chmury i wszyscy klienci korzystający z Private Cloud, którzy konfigurują protokół TLS, muszą wziąć pod uwagę to ograniczenie podczas używania odwołań do magazynów kluczy i magazynów zaufanych certyfikatów:

• Odwołań do magazynu kluczy i magazynu zaufanych certyfikatów możesz używać w hostach wirtualnych tylko wtedy, gdy kończysz połączenie TLS na routerach Apigee.

• Jeśli masz system równoważenia obciążenia przed routerami Apigee i kończysz połączenie TLS w systemie równoważenia obciążenia, nie możesz używać odwołań do magazynu kluczy i magazynu zaufanych certyfikatów w hostach wirtualnych.

Jeśli Twój dotychczasowy host wirtualny używa nazwy magazynu kluczy lub magazynu zaufanych certyfikatów

Dotychczasowe hosty wirtualne w Edge mogą nie być skonfigurowane do używania odwołań do magazynów kluczy i magazynów zaufanych certyfikatów. W takim przypadku możesz zaktualizować hosta wirtualnego, aby używał odwołania.

1. Edge for the Cloud

   Aby zmienić hosta wirtualnego tak, aby używał odwołania do magazynu kluczy, musisz skontaktować się z zespołem pomocy Apigee Edge.

2. Edge for the Private Cloud

   Aby przekonwertować hosta wirtualnego tak, aby używał odwołania:

   1. Zaktualizuj hosta wirtualnego, aby używał odwołania.
   2. Uruchom ponownie routery.
   Więcej informacji znajdziesz w sekcji „Modyfikowanie hosta wirtualnego, aby używał odwołań do magazynu kluczy i magazynu zaufanych certyfikatów” w artykule Konfigurowanie dostępu TLS do interfejsu API w Private Cloud.

Używanie bezpłatnego certyfikatu i klucza próbnego Apigee

Jeśli masz płatne konto Edge for Cloud i nie masz jeszcze certyfikatu ani klucza TLS, możesz utworzyć hosta wirtualnego, który używa bezpłatnego certyfikatu i klucza próbnego Apigee. Oznacza to, że możesz utworzyć hosta wirtualnego bez konieczności wcześniejszego utworzenia magazynu kluczy.

Obiekt XML, który definiuje hosta wirtualnego za pomocą bezpłatnego certyfikatu i klucza próbnego Apigee, pomija elementy <KeyStore> i <KeyAlias> i zastępuje je elementem <UseBuiltInFreeTrialCert>, jak pokazano poniżej:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

Jeśli używasz dwukierunkowego protokołu TLS, musisz ustawić element <ClientAuthEnabled> na true, i określić magazyn zaufanych certyfikatów za pomocą odwołania z elementem <TrustStore>.

Więcej informacji znajdziesz w artykule Konfigurowanie hostów wirtualnych w chmurze.

Konfigurowanie protokołu TLS

Sposób konfigurowania protokołu TLS zależy od 2 głównych czynników:

• Czy korzystasz z Edge Cloud czy Private Cloud?
• Jak zamierzasz aktualizować wygasłe lub wygasające certyfikaty?

Opcje konfiguracji w chmurze i Private Cloud

W tabeli poniżej znajdziesz różne opcje konfiguracji dla klientów korzystających z chmury i Private Cloud:

Klienci korzystający z Private Cloud mają pełną kontrolę nad konfiguracją hostów wirtualnych oraz docelowych punktów końcowych i serwerów docelowych. Ta kontrola obejmuje możliwość tworzenia i usuwania hostów wirtualnych oraz ustawiania wszystkich właściwości hosta wirtualnego.

Wszyscy klienci korzystający z chmury, zarówno płatni, jak i testowi, mają pełną kontrolę nad konfiguracją docelowych punktów końcowych i serwerów docelowych. Ponadto płatni klienci korzystający z chmury mają pełną kontrolę nad hostami wirtualnymi, w tym nad właściwościami TLS.

Obsługa wygasłych certyfikatów

Jeśli certyfikat TLS wygaśnie lub jeśli konfiguracja systemu ulegnie zmianie w taki sposób, że certyfikat nie będzie już ważny, musisz go zaktualizować. Podczas konfigurowania protokołu TLS dla hosta wirtualnego lub docelowego punktu końcowego/serwera docelowego przed rozpoczęciem konfiguracji musisz zdecydować, jak przeprowadzisz aktualizację.

Gdy certyfikat wygaśnie

W Edge certyfikaty są przechowywane w jednym z 2 miejsc:

• Magazyn kluczy – zawiera certyfikat TLS i klucz prywatny używane do identyfikowania podmiotu podczas uzgadniania połączenia TLS.
• Magazyn zaufanych certyfikatów – zawiera zaufane certyfikaty na kliencie TLS używane do weryfikowania certyfikatu serwera TLS przedstawionego klientowi. Są to zwykle certyfikaty z podpisem własnym, certyfikaty podpisane przez zaufany urząd certyfikacji lub certyfikaty używane w ramach dwukierunkowego protokołu TLS.

Gdy certyfikat w magazynie kluczy wygaśnie i używasz odwołania do magazynu kluczy, nie możesz przesłać nowego certyfikatu do magazynu kluczy. Zamiast tego:

1. Utwórz nowy magazyn kluczy.
2. Prześlij nowy certyfikat do nowego magazynu kluczy pod tym samym aliasem co w starym magazynie kluczy.
3. Zaktualizuj odwołanie w hoście wirtualnym lub serwerze docelowym/docelowym punkcie końcowym, aby używać nowego magazynu kluczy.

Gdy certyfikat w magazynie zaufanych certyfikatów wygaśnie i używasz odwołania do magazynu zaufanych certyfikatów, wykonaj te czynności:

1. Utwórz nowy magazyn zaufanych certyfikatów.
2. Prześlij nowy certyfikat do nowego magazynu zaufanych certyfikatów. Nazwa aliasu nie ma znaczenia w przypadku magazynów zaufanych certyfikatów. Uwaga: jeśli certyfikat jest częścią łańcucha, musisz utworzyć jeden plik zawierający wszystkie certyfikaty i przesłać go do jednego aliasu lub przesłać wszystkie certyfikaty w łańcuchu osobno do magazynu zaufanych certyfikatów, używając innego aliasu dla każdego certyfikatu.
3. Zaktualizuj odwołanie w hoście wirtualnym lub serwerze docelowym/docelowym punkcie końcowym, aby używać nowego magazynu zaufanych certyfikatów.

Podsumowanie metod aktualizowania wygasłego certyfikatu

Metoda, której używasz do określania nazwy magazynu kluczy i magazynu zaufanych certyfikatów w hoście wirtualnym lub docelowym punkcie końcowym/serwerze docelowym, określa sposób aktualizacji certyfikatu. Możesz użyć:

• Odwołania
• Nazwy bezpośrednie
• Zmienne przepływu

Każda z tych metod ma inne konsekwencje dla procesu aktualizacji, jak opisano w tabeli poniżej. Jak widać, odwołania zapewniają największą elastyczność zarówno klientom korzystającym z chmury, jak i Private Cloud: