TLS কনফিগার করার বিকল্প

আপনি Apigee Edge ডকুমেন্টেশন দেখছেন।
Apigee X ডকুমেন্টেশন দেখুন। তথ্য

এই ডকুমেন্টে দুটি কার্যকরী এলাকার জন্য Edge-এ কীভাবে TLS কনফিগার করবেন তার একটি ওভারভিউ দেওয়া আছে:

1. API ক্লায়েন্টদের দ্বারা আপনার API প্রক্সি অ্যাক্সেস করা। TLS কনফিগার করতে Edge রাউটারে ভার্চুয়াল হোস্ট ব্যবহার করুন।
2. Edge-এর মাধ্যমে আপনার ব্যাকএন্ড পরিষেবা অ্যাক্সেস করা। TLS কনফিগার করতে Edge Message Processor-এ টার্গেট এন্ডপয়েন্ট ও টার্গেট সার্ভার ব্যবহার করুন।

এই দুটি অ্যাক্সেস নিচে দেখানো হল:

ভার্চুয়াল হোস্ট বা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারে TLS বিকল্প সেট করা সম্পর্কে

ভার্চুয়াল হোস্টকে XML অবজেক্টের মাধ্যমে এই ফর্ম্যাটে দেখানো যেতে পারে:

<VirtualHost name="secure">
    ...
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTruststoreRef</TrustStore> 
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
    </SSLInfo>
</VirtualHost>

ভার্চুয়াল হোস্টের যে অংশটি আপনি TLS কনফিগার করার জন্য পরিবর্তন করেন, সেটি <SSLInfo> ট্যাগ দ্বারা সংজ্ঞায়িত করা হয়। আপনি টার্গেট এন্ডপয়েন্ট বা টার্গেট সার্ভার কনফিগার করতে একই <SSLInfo> ট্যাগ ব্যবহার করেন।

<SSLInfo> ট্যাগে ব্যবহৃত TLS কনফিগারেশন এলিমেন্ট সম্পর্কে নিম্নলিখিত সারণীতে বর্ণনা করা হয়েছে:

<CommonName wildcardMatch="true">*.myhost.com</CommonName>

<KeyStore> ও <TrustStore> এলিমেন্ট সেট করা সম্পর্কে

উপরের ভার্চুয়াল হোস্টের উদাহরণে, কীস্টোর ও ট্রাস্টস্টোরকে রেফারেন্স ব্যবহার করে নির্দিষ্ট করা হয়েছে, এই ফর্ম্যাটে:

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

Apigee দৃঢ়ভাবে সাজেস্ট করে যে আপনি সবসময় কীস্টোর ও ট্রাস্টস্টোরের রেফারেন্স ব্যবহার করুন। সরাসরি কীস্টোরের নাম উল্লেখ না করে, কীস্টোর বা ট্রাস্টস্টোরের নাম ধারণকারী ভেরিয়েবলকে রেফারেন্স বলা হয়। এই উদাহরণে:

• myKeystoreRef হল একটি রেফারেন্স যাতে কীস্টোরের নাম আছে। এই উদাহরণে, কীস্টোরের নাম হল myKeystore.
• myTruststoreRef হল এমন একটি রেফারেন্স যাতে ট্রাস্টস্টোরের নাম থাকে। এই উদাহরণে, ট্রাস্টস্টোরের নাম হল myTruststore.

কোনও সার্টিফিকেট মেয়াদোত্তীর্ণ হয়ে গেলে, নতুন সার্টিফিকেট থাকা কীস্টোর বা ট্রাস্টস্টোর নির্দিষ্ট করতে আপনাকে ভার্চুয়াল হোস্ট বা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভার আপডেট করতে হবে। রেফারেন্সের সুবিধা হল যে আপনি ভার্চুয়াল হোস্ট বা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভার পরিবর্তন না করেই কিস্টোর বা ট্রাস্টস্টোর পরিবর্তন করতে রেফারেন্সের ভ্যালু পরিবর্তন করতে পারবেন:

• ক্লাউড গ্রাহকদের জন্য: রেফারেন্সের ভ্যালু পরিবর্তন করার জন্য আপনাকে Apigee Edge সহায়তা টিমের সাথে যোগাযোগ করতে হবে না।
• প্রাইভেট ক্লাউড গ্রাহকদের জন্য: রেফারেন্সের ভ্যালু পরিবর্তন করার জন্য আপনাকে রাউটার ও মেসেজ প্রসেসরের মতো Edge কম্পোনেন্ট রিস্টার্ট করতে হবে না।

অথবা, আপনি সরাসরি কীস্টোর ও ট্রাস্টস্টোরের নাম উল্লেখ করতে পারেন:

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore> 

আপনি সরাসরি কীস্টোর বা ট্রাস্টস্টোরের নাম উল্লেখ করলে, Cloud গ্রাহকদের অবশ্যই Apigee Edge সহায়তা টিমের সাথে যোগাযোগ করতে হবে এবং প্রাইভেট ক্লাউড গ্রাহকদের অবশ্যই cert আপডেট করার জন্য নির্দিষ্ট Edge কম্পোনেন্ট রিস্টার্ট করতে হবে।

টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারের জন্য শুধুমাত্র একটি থার্ড-পার্টি বিকল্প হল ফ্লো ভেরিয়েবল ব্যবহার করা:

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore> 

ফ্লো ভেরিয়েবল টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারের জন্য কাজ করে এবং আপনাকে রেফারেন্সের মতো কীস্টোর বা ট্রাস্টস্টোর আপডেট করতে দেয়। তবে, এগুলি ভার্চুয়াল হোস্টের সাথে কাজ করে না এবং প্রতিটি অনুরোধে আপনাকে কীস্টোর, অ্যালিয়াস ও ট্রাস্টস্টোর সংক্রান্ত তথ্য দিতে হবে।

কীস্টোর ও ট্রাস্টস্টোর সম্পর্কিত রেফারেন্স ব্যবহার করার বিধিনিষেধ

পেড Cloud গ্রাহক এবং TLS কনফিগার করা সমস্ত প্রাইভেট Cloud গ্রাহকদের অবশ্যই কীস্টোর ও ট্রাস্টস্টোরের রেফারেন্স ব্যবহার করার সময় নিম্নলিখিত বিধিনিষেধ বিবেচনা করতে হবে:

• আপনি ভার্চুয়াল হোস্টে শুধুমাত্র কীস্টোর ও ট্রাস্টস্টোর রেফারেন্স ব্যবহার করতে পারবেন, যদি Apigee রাউটারে TLS বন্ধ করেন।

• Apigee রাউটারের আগে কোনও লোড ব্যালেন্সার থাকলে এবং আপনি লোড ব্যালেন্সারে TLS বন্ধ করে দিলে, ভার্চুয়াল হোস্টের মধ্যে কীস্টোর ও ট্রাস্টস্টোর রেফারেন্স ব্যবহার করতে পারবেন না।

আপনার আগে থেকে থাকা ভার্চুয়াল হোস্ট যদি আক্ষরিক কীস্টোর বা ট্রাস্টস্টোর নাম ব্যবহার করে

Edge-এ আগে থেকে থাকা ভার্চুয়াল হোস্ট, কীস্টোর ও ট্রাস্টস্টোরের রেফারেন্স ব্যবহার করার জন্য কনফিগার করা নাও থাকতে পারে। এই ক্ষেত্রে, রেফারেন্স ব্যবহার করার জন্য আপনি ভার্চুয়াল হোস্ট আপডেট করতে পারবেন।

1. ক্লাউডের জন্য Edge

   কীস্টোরের রেফারেন্স ব্যবহার করার জন্য ভার্চুয়াল হোস্ট পরিবর্তন করতে, আপনাকে অবশ্যই Apigee Edge সহায়তা টিমের সাথে কাজ করতে হবে।

2. প্রাইভেট ক্লাউডের জন্য Edge

   রেফারেন্স ব্যবহার করার জন্য ভার্চুয়াল হোস্টকে কনভার্ট করতে:

   1. রেফারেন্স ব্যবহার করতে ভার্চুয়াল হোস্ট আপডেট করুন।
   2. রাউটার রিস্টার্ট করুন।
   আরও জানতে, প্রাইভেট ক্লাউডের জন্য API-তে TLS অ্যাক্সেস কনফিগার করা নিবন্ধে "কীস্টোর ও ট্রাস্টস্টোরের রেফারেন্স ব্যবহার করতে ভার্চুয়াল হোস্ট পরিবর্তন করা" দেখুন।

Apigee ফ্রি ট্রায়াল cert ও কী ব্যবহার করা সম্পর্কে

আপনার যদি Edge for Cloud-এর পেমেন্ট করা অ্যাকাউন্ট থাকে এবং এখনও TLS সার্টিফিকেট ও কী না থাকে, তাহলে আপনি Apigee ফ্রি ট্রায়াল সার্টিফিকেট ও কী ব্যবহার করে একটি ভার্চুয়াল হোস্ট তৈরি করতে পারবেন। এর অর্থ হল, আপনি প্রথমে কীস্টোর তৈরি না করেই ভার্চুয়াল হোস্ট তৈরি করতে পারবেন।

Apigee ফ্রি ট্রায়াল cert ও কী ব্যবহার করে ভার্চুয়াল হোস্টকে ডিফাইন করে এমন XML অবজেক্ট <KeyStore> ও <KeyAlias> এলিমেন্ট বাদ দেয় এবং সেগুলিকে নিচে দেখানো <UseBuiltInFreeTrialCert> এলিমেন্ট দিয়ে পরিবর্তন করে:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

আপনি টু-ওয়ে TLS পারফর্ম করলে, আপনাকে অবশ্যই <ClientAuthEnabled> এলিমেন্টকে true হিসেবে সেট করতে হবে এবং <TrustStore> এলিমেন্টের সাথে রেফারেন্স ব্যবহার করে একটি ট্রাস্টস্টোর নির্দিষ্ট করতে হবে।

আরও জানতে ক্লাউডের জন্য ভার্চুয়াল হোস্ট কনফিগার করা লিঙ্ক দেখুন।

TLS কনফিগার করা সম্পর্কে

TLS কনফিগারেশন কীভাবে করবেন তা দুটি প্রধান বিষয় নির্ধারণ করে:

• আপনি কি Edge Cloud বা প্রাইভেট ক্লাউডের গ্রাহক?
• মেয়াদ শেষ হয়ে যাওয়া বা হতে চলা সার্টিফিকেট আপনি কীভাবে আপডেট করবেন?

ক্লাউড ও প্রাইভেট ক্লাউড কনফিগারেশন বিকল্প

নিচের সারণীতে Cloud ও Private Cloud গ্রাহকদের জন্য বিভিন্ন কনফিগারেশন বিকল্প দেখানো হয়েছে:

প্রাইভেট ক্লাউড গ্রাহকদের ভার্চুয়াল হোস্ট এবং টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভার, দুটিরই কনফিগারেশনের উপর সম্পূর্ণ নিয়ন্ত্রণ থাকে। এই কন্ট্রোলের মধ্যে ভার্চুয়াল হোস্ট তৈরি ও মুছে দেওয়া এবং ভার্চুয়াল হোস্টের সব প্রপার্টি সেট করার ক্ষমতা অন্তর্ভুক্ত।

পেড ও মূল্যায়ন, উভয় ধরনের Cloud গ্রাহকদেরই টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারের কনফিগারেশনের উপর সম্পূর্ণ নিয়ন্ত্রণ থাকে। এছাড়াও, পেড Cloud গ্রাহকদের ভার্চুয়াল হোস্টের উপর সম্পূর্ণ নিয়ন্ত্রণ থাকে, যার মধ্যে TLS প্রপার্টিও অন্তর্ভুক্ত।

মেয়াদ শেষ হয়ে যাওয়া সার্টিফিকেট ম্যানেজ করা

TLS সার্টিফিকেটের মেয়াদ শেষ হয়ে গেলে অথবা আপনার সিস্টেম কনফিগারেশনে এমন পরিবর্তন হলে যে সার্টিফিকেট আর বৈধ থাকে না, তাহলে আপনাকে সার্টিফিকেট আপডেট করতে হবে। ভার্চুয়াল হোস্ট বা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারের জন্য TLS কনফিগার করার সময়, আপনাকে সিদ্ধান্ত নিতে হবে যে কোনও কনফিগারেশন করার আগে আপনি কীভাবে সেই আপডেটটি পারফর্ম করতে চলেছেন।

সার্টিফিকেটের মেয়াদ শেষ হয়ে গেলে

Edge-এ, আপনি দুটি জায়গার মধ্যে একটিতে সার্টিফিকেট সেভ করেন:

• কীস্টোর - TLS হ্যান্ডশেকিংয়ের সময় এন্টিটি শনাক্ত করতে ব্যবহৃত TLS সার্টিফিকেট ও প্রাইভেট কী থাকে এতে।
• ট্রাস্টস্টোর - TLS ক্লায়েন্টে ব্যবহৃত বিশ্বস্ত সার্টিফিকেট থাকে যা ক্লায়েন্টকে দেখানো TLS সার্ভারের সার্টিফিকেট যাচাই করতে ব্যবহৃত হয়। এইসব সার্টিফিকেট সাধারণত সেল্ফ-সাইন করা সার্টিফিকেট, বিশ্বস্ত CA-এর সাইন করা সার্টিফিকেট অথবা টু-ওয়ে TLS-এর অংশ হিসেবে ব্যবহার করা সার্টিফিকেট হয়।

কিস্টোরে কোনও সার্টিফিকেটের মেয়াদ শেষ হয়ে গেলে এবং আপনি যদি কিস্টোরের রেফারেন্স ব্যবহার করেন, তাহলে কিস্টোরে নতুন সার্টিফিকেট আপলোড করতে পারবেন না। পরিবর্তে, আপনি:

1. নতুন কীস্টোর তৈরি করুন।
2. পুরনো কীস্টোরে যে ছদ্মনাম ব্যবহার করা হয়েছে, সেই একই ছদ্মনাম ব্যবহার করে নতুন কীস্টোরে নতুন সার্টিফিকেট আপলোড করুন।
3. নতুন কীস্টোর ব্যবহার করতে, আপনার ভার্চুয়াল হোস্ট বা টার্গেট সার্ভার/টার্গেট এন্ডপয়েন্টে রেফারেন্স আপডেট করুন।

ট্রাস্টস্টোরে থাকা কোনও সার্টিফিকেটের মেয়াদ ফুরিয়ে গেলে এবং আপনি যদি ট্রাস্টস্টোরের রেফারেন্স ব্যবহার করেন, তাহলে আপনাকে:

1. নতুন ট্রাস্টস্টোর তৈরি করুন।
2. নতুন ট্রাস্টস্টোরে নতুন সার্টিফিকেট আপলোড করুন। ট্রাস্টস্টোরের ক্ষেত্রে ছদ্মনাম কোনও ব্যাপার নয়। মনে রাখবেন: কোনও সার্টিফিকেট চেনের অংশ হলে, আপনাকে অবশ্যই হয় সব সার্টিফিকেট সহ একটি ফাইল তৈরি করে সেই ফাইলটি একটি অ্যালায়াসে আপলোড করতে হবে অথবা চেনের সব সার্টিফিকেট আলাদা আলাদা অ্যালায়াস ব্যবহার করে ট্রাস্টস্টোরে আপলোড করতে হবে।
3. নতুন ট্রাস্টস্টোর ব্যবহার করতে, আপনার ভার্চুয়াল হোস্ট বা টার্গেট সার্ভার/টার্গেট এন্ডপয়েন্টে রেফারেন্স আপডেট করুন।

মেয়াদ শেষ হয়ে যাওয়া সার্টিফিকেট আপডেট করার পদ্ধতির সারসংক্ষেপ

ভার্চুয়াল হোস্ট বা টার্গেট এন্ডপয়েন্ট/টার্গেট সার্ভারে কীস্টোর ও ট্রাস্টস্টোরের নাম নির্দিষ্ট করার জন্য আপনি যে পদ্ধতি ব্যবহার করেন, তা নির্ধারণ করে যে কীভাবে আপনি সার্টিফিকেট আপডেট করবেন। আপনি এগুলি ব্যবহার করতে পারবেন:

• রেফারেন্স
• ডিরেক্টরের নাম
• ফ্লো ভেরিয়েবল

এইসব পদ্ধতির প্রত্যেকটির আপডেট প্রসেসের উপর আলাদা আলাদা প্রভাব পড়ে, যা নিচের টেবিলে বর্ণনা করা হয়েছে। আপনি যেমন দেখতে পাচ্ছেন, রেফারেন্স Cloud এবং প্রাইভেট ক্লাউড গ্রাহক উভয়ের জন্যই সবচেয়ে বেশি নমনীয়তা প্রদান করে: