گزینه هایی برای پیکربندی TLS

شما در حال مشاهده مستندات Apigee Edge هستید.
به مستندات Apigee X مراجعه کنید . اطلاعات

این سند شامل مروری بر نحوه پیکربندی TLS در Edge برای دو حوزه عملکردی است:

1. دسترسی به پروکسی‌های API شما توسط کلاینت‌های API. از میزبان‌های مجازی روی روتر Edge برای پیکربندی TLS استفاده کنید.
2. دسترسی به سرویس‌های بک‌اند شما از طریق Edge. از نقاط پایانی و سرورهای هدف در پردازنده پیام Edge برای پیکربندی TLS استفاده کنید.

هر دو نوع دسترسی در زیر نشان داده شده است:

درباره تنظیم گزینه‌های TLS در یک میزبان مجازی یا نقطه پایانی/سرور هدف

یک میزبان مجازی می‌تواند توسط یک شیء XML به شکل زیر نمایش داده شود:

<VirtualHost name="secure">
    ...
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTruststoreRef</TrustStore> 
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
    </SSLInfo>
</VirtualHost>

ناحیه‌ای از میزبان مجازی که برای پیکربندی TLS تغییر می‌دهید، توسط برچسب <SSLInfo> تعریف می‌شود. شما از همان برچسب <SSLInfo> برای پیکربندی یک نقطه پایانی یا سرور هدف استفاده می‌کنید.

جدول زیر عناصر پیکربندی TLS مورد استفاده توسط برچسب <SSLInfo> را شرح می‌دهد:

<CommonName wildcardMatch="true">*.myhost.com</CommonName>

درباره تنظیم عناصر <KeyStore> و <TrustStore>

در مثال میزبان مجازی بالا، keystore و truststore با استفاده از references به شکل زیر مشخص شده‌اند:

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

شرکت Apigee اکیداً توصیه می‌کند که همیشه از ارجاعات به keystore و truststore استفاده کنید. ارجاع، متغیری است که نام keystore یا truststore را در خود جای می‌دهد، نه اینکه مستقیماً نام keystore را مشخص کند. در این مثال:

• myKeystoreRef مرجعی است که شامل نام keystore است. در این مثال، نام keystore، myKeystore است.
• myTruststoreRef مرجعی است که شامل نام فروشگاه اعتماد است. در این مثال، نام فروشگاه اعتماد myTruststore است.

وقتی یک گواهی منقضی می‌شود، شما باید میزبان مجازی یا نقطه پایانی/سرور هدف را به‌روزرسانی کنید تا کلید اصلی یا فروشگاه اعتماد حاوی گواهی جدید را مشخص کنید. مزیت یک مرجع این است که می‌توانید مقدار مرجع را برای تغییر کلید اصلی یا فروشگاه اعتماد بدون نیاز به تغییر خود میزبان مجازی یا نقطه پایانی/سرور هدف تغییر دهید:

• برای مشتریان ابری : تغییر مقدار مرجع نیازی به تماس با پشتیبانی Apigee Edge ندارد.
• برای مشتریان ابر خصوصی : تغییر مقدار مرجع نیازی به راه‌اندازی مجدد اجزای Edge مانند روترها و پردازنده‌های پیام ندارد.

از طرف دیگر، می‌توانید نام keystore و نام truststore را مستقیماً مشخص کنید:

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore> 

اگر مستقیماً نام keystore یا truststore را مشخص کنید، مشتریان Cloud باید با پشتیبانی Apigee Edge تماس بگیرند و مشتریان Private Cloud باید اجزای خاص Edge را برای به‌روزرسانی گواهی، مجدداً راه‌اندازی کنند.

گزینه سوم، فقط برای نقاط انتهایی/سرور هدف، استفاده از متغیرهای جریان است:

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore> 

متغیرهای جریان برای نقاط انتهایی/سرورهای هدف کار می‌کنند و به شما امکان می‌دهند تا منابع keystore یا truststore را مانند ارجاعات به‌روزرسانی کنید. با این حال، آنها با میزبان‌های مجازی کار نمی‌کنند و از شما می‌خواهند که در هر درخواست، اطلاعات مربوط به keystore، alias و truststore را ارسال کنید.

محدودیت‌های استفاده از ارجاعات به keystoreها و truststoreها

مشتریان پولی فضای ابری و تمام مشتریان فضای ابری خصوصی که TLS را پیکربندی می‌کنند، باید هنگام استفاده از ارجاعات به keystoreها و truststoreها، محدودیت‌های زیر را در نظر بگیرند:

• شما فقط در صورتی می‌توانید از ارجاعات keystore و truststore در میزبان‌های مجازی استفاده کنید که TLS را در روترهای Apigee خاتمه دهید.

• اگر یک متعادل‌کننده بار در مقابل روترهای Apigee دارید و TLS را روی متعادل‌کننده بار خاتمه می‌دهید، نمی‌توانید از ارجاعات keystore و truststore در میزبان‌های مجازی استفاده کنید.

اگر میزبان مجازی فعلی شما از یک نام keystore یا truststore تحت‌اللفظی استفاده می‌کند

ممکن است میزبان‌های مجازی موجود در Edge برای استفاده از ارجاعات برای keystoreها و truststoreها پیکربندی نشده باشند. در این حالت، می‌توانید میزبان مجازی را برای استفاده از یک ارجاع به‌روزرسانی کنید.

1. لبه برای فضای ابری

   برای تغییر میزبان مجازی برای استفاده از ارجاع به فروشگاه کلید، باید با Apigee Edge Support همکاری کنید.

2. لبه برای ابر خصوصی

   برای تبدیل میزبان مجازی به استفاده از یک مرجع:

   1. میزبان مجازی را برای استفاده از یک مرجع به‌روزرسانی کنید.
   2. روترها را مجدداً راه اندازی کنید.
   برای اطلاعات بیشتر به بخش «اصلاح یک میزبان مجازی برای استفاده از ارجاعات به کلید اصلی و ذخیره‌گاه اعتماد» در پیکربندی دسترسی TLS به یک API برای ابر خصوصی مراجعه کنید.

درباره استفاده از گواهینامه و کلید آزمایشی رایگان Apigee

اگر یک حساب کاربری پولی Edge for Cloud دارید و هنوز گواهی و کلید TLS ندارید، می‌توانید یک میزبان مجازی ایجاد کنید که از گواهی و کلید آزمایشی رایگان Apigee استفاده می‌کند. این بدان معناست که می‌توانید میزبان مجازی را بدون ایجاد اولیه یک فروشگاه کلید ایجاد کنید.

یک شیء XML که میزبان مجازی را با استفاده از گواهی و کلید آزمایشی رایگان Apigee تعریف می‌کند، عناصر <KeyStore> و <KeyAlias> را حذف کرده و آنها را با عنصر <UseBuiltInFreeTrialCert> جایگزین می‌کند، همانطور که در زیر نشان داده شده است:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

اگر TLS دوطرفه انجام می‌دهید، همچنان باید عنصر <ClientAuthEnabled> را روی true تنظیم کنید و با استفاده از ارجاع به عنصر <TrustStore> یک truststore مشخص کنید.

برای اطلاعات بیشتر به پیکربندی میزبان‌های مجازی برای ابر مراجعه کنید.

درباره پیکربندی TLS

دو عامل اصلی نحوه انجام پیکربندی TLS را تعیین می‌کنند:

• آیا شما مشتری Edge Cloud هستید یا Private Cloud؟
• چگونه می‌خواهید گواهینامه‌های منقضی شده یا در حال انقضا را به‌روزرسانی کنید؟

گزینه‌های پیکربندی فضای ابری و فضای ابری خصوصی

جدول زیر گزینه‌های مختلف پیکربندی برای مشتریان Cloud و Private Cloud را نشان می‌دهد:

مشتریان ابر خصوصی کنترل کاملی بر پیکربندی میزبان‌های مجازی و نقاط پایانی/سرورهای هدف دارند. این کنترل شامل توانایی ایجاد و حذف میزبان‌های مجازی و تنظیم تمام ویژگی‌های یک میزبان مجازی می‌شود.

همه مشتریان ابری، چه پولی و چه آزمایشی، کنترل کاملی بر پیکربندی نقاط پایانی/سرورهای هدف دارند. علاوه بر این، مشتریان ابری پولی کنترل کاملی بر میزبان‌های مجازی، از جمله ویژگی‌های TLS، دارند.

رسیدگی به گواهی‌های منقضی شده

اگر گواهی TLS منقضی شود، یا اگر پیکربندی سیستم شما به گونه‌ای تغییر کند که گواهی دیگر معتبر نباشد، باید گواهی را به‌روزرسانی کنید. هنگام پیکربندی TLS برای یک میزبان مجازی یا نقطه پایانی/سرور هدف، قبل از انجام هرگونه پیکربندی، باید تصمیم بگیرید که چگونه می‌خواهید آن به‌روزرسانی را انجام دهید.

وقتی یک گواهی منقضی می‌شود

در Edge، شما گواهی‌ها را در یکی از دو مکان زیر ذخیره می‌کنید:

• Keystore - شامل گواهی TLS و کلید خصوصی مورد استفاده برای شناسایی موجودیت در طول TLS handshaking است.
• Truststore - شامل گواهی‌های معتبر روی یک کلاینت TLS است که برای اعتبارسنجی گواهی سرور TLS ارائه شده به کلاینت استفاده می‌شود. این گواهی‌ها معمولاً گواهی‌های خودامضا، گواهی‌های امضا شده توسط یک CA معتبر یا گواهی‌هایی هستند که به عنوان بخشی از TLS دوطرفه استفاده می‌شوند.

وقتی یک گواهی در یک فروشگاه کلید منقضی می‌شود، و شما از ارجاع به فروشگاه کلید استفاده می‌کنید ، نمی‌توانید یک گواهی جدید را در فروشگاه کلید آپلود کنید. در عوض، شما:

1. یک فروشگاه کلید جدید ایجاد کنید.
2. گواهی جدید را با استفاده از همان نام مستعار موجود در فروشگاه کلید قدیمی، در فروشگاه کلید جدید بارگذاری کنید.
3. مرجع را در میزبان مجازی یا سرور/نقطه انتهایی هدف خود به‌روزرسانی کنید تا از کلید اصلی جدید استفاده کند.

وقتی یک گواهی در یک فروشگاه اعتماد منقضی می‌شود، و شما از ارجاع به فروشگاه اعتماد استفاده می‌کنید ، شما:

1. یک فروشگاه اعتماد جدید ایجاد کنید.
2. گواهی جدید را در truststore جدید آپلود کنید. نام مستعار برای truststoreها مهم نیست. توجه : اگر یک گواهی بخشی از یک زنجیره باشد، باید یا یک فایل واحد حاوی تمام گواهی‌ها ایجاد کنید و آن فایل را در یک alias واحد آپلود کنید، یا تمام گواهی‌های موجود در زنجیره را جداگانه با استفاده از یک alias متفاوت برای هر گواهی در truststore آپلود کنید.
3. مرجع را در میزبان مجازی یا سرور/نقطه انتهایی هدف خود به‌روزرسانی کنید تا از truststore جدید استفاده شود.

خلاصه‌ای از روش‌های به‌روزرسانی گواهی منقضی‌شده

روشی که شما برای مشخص کردن نام keystore و truststore در میزبان مجازی یا سرور نهایی/هدف هدف استفاده می‌کنید، نحوه انجام به‌روزرسانی گواهی را تعیین می‌کند. می‌توانید از موارد زیر استفاده کنید:

• منابع
• نام‌های مستقیم
• متغیرهای جریان

هر یک از این روش‌ها، همانطور که در جدول زیر توضیح داده شده است، تأثیرات متفاوتی بر فرآیند به‌روزرسانی دارند. همانطور که مشاهده می‌کنید، مراجع بیشترین انعطاف‌پذیری را برای مشتریان فضای ابری و فضای ابری خصوصی فراهم می‌کنند: