خيارات ضبط بروتوكول أمان طبقة النقل (TLS)

أنت الآن بصدد الاطّلاع على مستندات Apigee Edge.
انتقِل إلىمستندات Apigee X. info

تحتوي هذه المستندات على نظرة عامة حول كيفية ضبط بروتوكول أمان طبقة النقل (TLS) على Edge لمنطقتَين وظيفيتَين:

1. وصول عملاء واجهة برمجة التطبيقات إلى خوادم وكيل واجهة برمجة التطبيقات. استخدِم المضيفات الافتراضية على جهاز توجيه Edge لضبط بروتوكول أمان طبقة النقل (TLS).
2. وصول Edge إلى خدماتك في الخلفية. استخدِم نقاط النهاية المستهدَفة والخوادم المستهدَفة على معالج رسائل Edge لضبط بروتوكول أمان طبقة النقل (TLS).

يظهر كلا نوعَي الوصول هذين أدناه:

لمحة عن ضبط خيارات بروتوكول أمان طبقة النقل (TLS) في مضيف افتراضي أو نقطة نهاية مستهدَفة/خادم مستهدَف

يمكن تمثيل المضيف الافتراضي بكائن XML، على النحو التالي:

<VirtualHost name="secure">
    ...
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTruststoreRef</TrustStore> 
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
    </SSLInfo>
</VirtualHost>

تحدّد علامة <SSLInfo> المنطقة التي تعدّلها في المضيف الافتراضي لضبط بروتوكول أمان طبقة النقل (TLS). يمكنك استخدام العلامة <SSLInfo> نفسها لضبط نقطة نهاية مستهدَفة أو خادم مستهدَف.

يصف الجدول التالي عناصر ضبط بروتوكول أمان طبقة النقل (TLS) التي تستخدمها العلامة <SSLInfo>:

<CommonName wildcardMatch="true">*.myhost.com</CommonName>

لمحة عن ضبط العنصرَين <KeyStore> و <TrustStore>

في مثال المضيف الافتراضي أعلاه، يتم تحديد ملف تخزين المفاتيح وملف تخزين شهادات الجذر الموثوق بها باستخدام مراجع ، على النحو التالي:

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

تنصحك Apigee بشدة باستخدام مراجع لملف تخزين المفاتيح وملف تخزين شهادات الجذر الموثوق بها دائمًا. المرجع هو متغيّر يحتوي على اسم ملف تخزين المفاتيح أو ملف تخزين شهادات الجذر الموثوق بها، بدلاً من تحديد اسم ملف تخزين المفاتيح مباشرةً. في هذا المثال:

• myKeystoreRef هو مرجع يحتوي على اسم ملف تخزين المفاتيح. في هذا المثال، اسم ملف تخزين المفاتيح هو myKeystore.
• myTruststoreRef هو مرجع يحتوي على اسم ملف تخزين شهادات الجذر الموثوق بها. في هذا المثال، اسم ملف تخزين شهادات الجذر الموثوق بها هو myTruststore.

عند انتهاء صلاحية شهادة، عليك تعديل المضيف الافتراضي أو نقطة النهاية المستهدَفة/الخادم المستهدَف لـ تحديد ملف تخزين المفاتيح أو ملف تخزين شهادات الجذر الموثوق بها الذي يحتوي على الشهادة الجديدة. تكمن ميزة المرجع في أنّه يمكنك تعديل قيمة المرجع لتغيير ملف تخزين المفاتيح أو ملف تخزين شهادات الجذر الموثوق بها بدون الحاجة إلى تعديل المضيف الافتراضي أو نقطة النهاية المستهدَفة/الخادم المستهدَف نفسه:

• بالنسبة إلى عملاء Cloud: لا يتطلّب تغيير قيمة المرجع التواصل مع فريق دعم Apigee Edge.
• بالنسبة إلى عملاء السحابة الإلكترونية الخاصة: لا يتطلّب تغيير قيمة المرجع إعادة تشغيل مكوّنات Edge، مثل أجهزة التوجيه ومعالجات الرسائل.

بدلاً من ذلك، يمكنك تحديد اسم ملف تخزين المفاتيح واسم ملف تخزين شهادات الجذر الموثوق بها مباشرةً:

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore> 

إذا حدّدت اسم ملف تخزين المفاتيح أو اسم ملف تخزين شهادات الجذر الموثوق بها مباشرةً، على عملاء Cloud التواصل مع فريق دعم Apigee Edge وعلى عملاء السحابة الإلكترونية الخاصة إعادة تشغيل مكوّنات معيّنة في Edge لتعديل الشهادة.

هناك خيار ثالث، لنقاط النهاية المستهدَفة/الخادم المستهدَف فقط، وهو استخدام متغيّرات المسار:

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore> 

تعمل متغيّرات المسار مع نقاط النهاية المستهدَفة/الخوادم المستهدَفة وتتيح لك تعديل ملف تخزين المفاتيح أو ملف تخزين شهادات الجذر الموثوق بها مثل المراجع. ومع ذلك، لا تعمل هذه المتغيّرات مع المضيفات الافتراضية، وتتطلّب منك تمرير معلومات حول ملف تخزين المفاتيح والاسم المستعار وملف تخزين شهادات الجذر الموثوق بها في كل طلب.

القيود المفروضة على استخدام المراجع لملفات تخزين المفاتيح وملفات تخزين شهادات الجذر الموثوق بها

على عملاء Cloud المدفوعين وجميع عملاء السحابة الإلكترونية الخاصة الذين يضبطون بروتوكول أمان طبقة النقل (TLS) مراعاة القيد التالي عند استخدام المراجع لملفات تخزين المفاتيح وملفات تخزين شهادات الجذر الموثوق بها:

• لا يمكنك استخدام مراجع ملفات تخزين المفاتيح وملفات تخزين شهادات الجذر الموثوق بها في المضيفات الافتراضية إلا إذا أوقفت بروتوكول أمان طبقة النقل (TLS) على أجهزة توجيه Apigee.

• إذا كان لديك موازن حمل أمام أجهزة توجيه Apigee، وأوقفت بروتوكول أمان طبقة النقل (TLS) على الـ موازن الحمل، لا يمكنك استخدام مراجع ملفات تخزين المفاتيح وملفات تخزين شهادات الجذر الموثوق بها في المضيفات الافتراضية.

في حال كان المضيف الافتراضي الحالي يستخدم اسمًا حرفيًا لملف تخزين المفاتيح أو ملف تخزين شهادات الجذر الموثوق بها

قد لا يتم ضبط المضيفات الافتراضية الحالية على Edge لاستخدام مراجع لملفات تخزين المفاتيح وملفات تخزين شهادات الجذر الموثوق بها. في هذه الحالة، يمكنك تعديل المضيف الافتراضي لاستخدام مرجع.

1. Edge for the Cloud

   لتغيير المضيف الافتراضي لاستخدام مرجع لملف تخزين المفاتيح، عليك التواصل مع فريق دعم Apigee Edge.

2. Edge for the Private Cloud

   لتحويل المضيف الافتراضي لاستخدام مرجع:

   1. عدِّل المضيف الافتراضي لاستخدام مرجع.
   2. أعِد تشغيل أجهزة التوجيه.
   لمزيد من المعلومات، يُرجى الاطّلاع على القسم "تعديل مضيف افتراضي لاستخدام مراجع لملف تخزين المفاتيح وملف تخزين شهادات الجذر الموثوق بها" في مقالة ضبط إذن الوصول عبر بروتوكول أمان طبقة النقل (TLS) إلى واجهة برمجة تطبيقات للسحابة الإلكترونية الخاصة.

لمحة عن استخدام شهادة ومفتاح الفترة التجريبية المجانية من Apigee

إذا كان لديك حساب مدفوع على Edge for Cloud ولم يكن لديك بعد شهادة ومفتاح بروتوكول أمان طبقة النقل (TLS)، يمكنك إنشاء مضيف افتراضي يستخدم شهادة ومفتاح الفترة التجريبية المجانية من Apigee. يعني ذلك أنّه يمكنك إنشاء المضيف الافتراضي بدون إنشاء ملف تخزين مفاتيح أولاً.

يحذف كائن XML الذي يحدّد المضيف الافتراضي باستخدام شهادة ومفتاح الفترة التجريبية المجانية من Apigee العنصرَين <KeyStore> و<KeyAlias>، ويستبدلهما بالعنصر <UseBuiltInFreeTrialCert>، كما هو موضّح أدناه:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

إذا كنت تجري بروتوكول أمان طبقة النقل (TLS) ثنائي الاتجاه، عليك ضبط العنصر <ClientAuthEnabled> على true، وتحديد ملف تخزين شهادات الجذر الموثوق بها باستخدام مرجع مع العنصر <TrustStore>.

لمزيد من المعلومات، يُرجى الاطّلاع على مقالة ضبط المضيفات الافتراضية للسحابة الإلكترونية.

لمحة عن ضبط بروتوكول أمان طبقة النقل (TLS)

هناك عاملان رئيسيان يحدّدان كيفية ضبط بروتوكول أمان طبقة النقل (TLS):

• هل أنت أحد عملاء Edge Cloud أو السحابة الإلكترونية الخاصة؟
• كيف ستعدّل الشهادات المنتهية الصلاحية أو التي ستنتهي صلاحيتها؟

خيارات الضبط في Cloud والسحابة الإلكترونية الخاصة

يوضّح الجدول التالي خيارات الضبط المختلفة لعملاء Cloud والسحابة الإلكترونية الخاصة:

يتمتّع عملاء السحابة الإلكترونية الخاصة بتحكّم كامل في ضبط كل من المضيفات الافتراضية و نقاط النهاية المستهدَفة/الخوادم المستهدَفة. يتضمّن هذا التحكّم القدرة على إنشاء المضيفات الافتراضية وحذفها، وضبط جميع الخصائص في المضيف الافتراضي.

يتمتّع جميع عملاء Cloud، المدفوعون والتجريبيون، بتحكّم كامل في ضبط نقاط النهاية المستهدَفة/الخوادم المستهدَفة. بالإضافة إلى ذلك، يتمتّع عملاء Cloud المدفوعون بتحكّم كامل في المضيفات الافتراضية، بما في ذلك خصائص بروتوكول أمان طبقة النقل (TLS).

التعامل مع الشهادات المنتهية الصلاحية

إذا انتهت صلاحية شهادة بروتوكول أمان طبقة النقل (TLS)، أو إذا تغيّرت إعدادات نظامك بحيث لم تعُد الشهادة صالحة، عليك تعديل الشهادة. عند ضبط بروتوكول أمان طبقة النقل (TLS) لـ مضيف افتراضي أو نقطة نهاية مستهدَفة/خادم مستهدَف، عليك تحديد كيفية إجراء هذا التعديل قبل إجراء أي عملية ضبط.

عند انتهاء صلاحية شهادة

على Edge، يمكنك تخزين الشهادات في أحد المكانَين التاليَين:

• ملف تخزين المفاتيح : يحتوي على شهادة بروتوكول أمان طبقة النقل (TLS) والمفتاح الخاص اللذَين يُستخدمان لتحديد الكيان أثناء عملية تبادل بيانات بروتوكول أمان طبقة النقل (TLS).
• ملف تخزين شهادات الجذر الموثوق بها : يحتوي على شهادات موثوق بها على عميل بروتوكول أمان طبقة النقل (TLS) تُستخدم للتحقّق من شهادة خادم بروتوكول أمان طبقة النقل (TLS) المقدَّمة إلى العميل. عادةً ما تكون هذه الشهادات شهادات مُوقَّعة ذاتيًا أو شهادات مُوقَّعة من مرجع تصديق موثوق به أو شهادات تُستخدم كجزء من بروتوكول أمان طبقة النقل (TLS) ثنائي الاتجاه.

عند انتهاء صلاحية شهادة في ملف تخزين مفاتيح، وكنت تستخدم مرجعًا لـ ملف تخزين المفاتيح، لا يمكنك تحميل شهادة جديدة إلى ملف تخزين المفاتيح. بدلاً من ذلك، يمكنك إجراء ما يلي:

1. إنشاء ملف تخزين مفاتيح جديد
2. تحميل الشهادة الجديدة إلى ملف تخزين المفاتيح الجديد باستخدام الاسم المستعار نفسه كما في ملف تخزين المفاتيح القديم
3. تعديل المرجع في المضيف الافتراضي أو الخادم المستهدَف/نقطة النهاية المستهدَفة لاستخدام ملف تخزين المفاتيح الجديد

عند انتهاء صلاحية شهادة في ملف تخزين شهادات الجذر الموثوق بها، وكنت تستخدم مرجعًا لـ ملف تخزين شهادات الجذر الموثوق بها، يمكنك إجراء ما يلي:

1. إنشاء ملف تخزين شهادات الجذر الموثوق بها جديد
2. تحميل الشهادة الجديدة إلى ملف تخزين شهادات الجذر الموثوق بها الجديد لا يهم اسم الاسم المستعار لملفات تخزين شهادات الجذر الموثوق بها. ملاحظة: إذا كانت الشهادة جزءًا من سلسلة، عليك إما إنشاء ملف واحد يحتوي على جميع الشهادات وتحميل هذا الملف إلى اسم مستعار واحد، أو تحميل جميع الشهادات في السلسلة بشكل منفصل إلى ملف تخزين شهادات الجذر الموثوق بها باستخدام اسم مستعار مختلف لكل شهادة.
3. تعديل المرجع في المضيف الافتراضي أو الخادم المستهدَف/نقطة النهاية المستهدَفة لاستخدام ملف تخزين شهادات الجذر الموثوق بها الجديد

ملخّص طرق تعديل شهادة منتهية الصلاحية

تحدّد الطريقة التي تستخدمها لتحديد اسم ملف تخزين المفاتيح واسم ملف تخزين شهادات الجذر الموثوق بها في المضيف الافتراضي أو نقطة النهاية المستهدَفة/الخادم المستهدَف كيفية إجراء تعديل الشهادة. يمكنك استخدام:

• المراجع
• الأسماء المباشرة
• متغيّرات المسار

لكل طريقة من هذه الطرق آثار مختلفة على عملية التعديل، كما هو موضّح في الجدول التالي. كما ترى، توفّر المراجع أكبر قدر من المرونة لكل من عملاء Cloud وعملاء السحابة الإلكترونية الخاصة: