TLS को कॉन्फ़िगर करने के विकल्प

यह Apigee Edge के दस्तावेज़ हैं.
पर जाएं Apigee X दस्तावेज़. info

इस दस्तावेज़ में, Edge पर TLS को कॉन्फ़िगर करने के तरीके की खास जानकारी दी गई है. इसमें दो फ़ंक्शनल एरिया शामिल हैं:

1. एपीआई क्लाइंट की मदद से, आपके एपीआई प्रॉक्सी को ऐक्सेस करना. TLS को कॉन्फ़िगर करने के लिए, Edge Router पर वर्चुअल होस्ट का इस्तेमाल करना.
2. Edge की मदद से, बैकएंड सेवाओं को ऐक्सेस करना. TLS को कॉन्फ़िगर करने के लिए, Edge Message Processor पर टारगेट एंडपॉइंट और टारगेट सर्वर का इस्तेमाल करना.

यहां, दोनों तरह के ऐक्सेस के बारे में बताया गया है:

वर्चुअल होस्ट या टारगेट एंडपॉइंट/टारगेट सर्वर में TLS के विकल्प सेट करने के बारे में जानकारी

वर्चुअल होस्ट को एक्सएमएल ऑब्जेक्ट के तौर पर दिखाया जा सकता है. इसका फ़ॉर्मैट यह होता है:

<VirtualHost name="secure">
    ...
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTruststoreRef</TrustStore> 
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
    </SSLInfo>
</VirtualHost>

TLS को कॉन्फ़िगर करने के लिए, वर्चुअल होस्ट के जिस एरिया में बदलाव किया जाता है उसे <SSLInfo> टैग से तय किया जाता है. टारगेट एंडपॉइंट या टारगेट सर्वर को कॉन्फ़िगर करने के लिए, एक ही <SSLInfo> टैग का इस्तेमाल किया जाता है.

यहां दी गई टेबल में, <SSLInfo> टैग में इस्तेमाल किए जाने वाले TLS कॉन्फ़िगरेशन एलिमेंट के बारे में बताया गया है:

<CommonName wildcardMatch="true">*.myhost.com</CommonName>

<KeyStore> और <TrustStore> एलिमेंट सेट करने के बारे में जानकारी

ऊपर दिए गए वर्चुअल होस्ट के उदाहरण में, कीस्टोर और ट्रस्टस्टोर को रेफ़रंस का इस्तेमाल करके तय किया गया है. इसका फ़ॉर्मैट यह होता है:

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

Apigee का सुझाव है कि कीस्टोर और ट्रस्टस्टोर के लिए हमेशा रेफ़रंस का इस्तेमाल करें. रेफ़रंस एक वैरिएबल होता है. इसमें कीस्टोर या ट्रस्टस्टोर का नाम होता है. इसमें कीस्टोर का नाम सीधे तौर पर तय नहीं किया जाता. इस उदाहरण में:

• myKeystoreRef एक रेफ़रंस है. इसमें कीस्टोर का नाम होता है. इस उदाहरण में, कीस्टोर का नाम myKeystore है.
• myTruststoreRef एक रेफ़रंस है. इसमें ट्रस्टस्टोर का नाम होता है. इस उदाहरण में, ट्रस्टस्टोर का नाम myTruststore है.

सर्टिफ़िकेट की समयसीमा खत्म होने पर, आपको वर्चुअल होस्ट या टारगेट एंडपॉइंट/टारगेट सर्वर को अपडेट करना होगा, ताकि नए सर्टिफ़िकेट वाले कीस्टोर या ट्रस्टस्टोर को तय किया जा सके. रेफ़रंस का फ़ायदा यह है कि कीस्टोर या ट्रस्टस्टोर को बदलने के लिए, रेफ़रंस की वैल्यू में बदलाव किया जा सकता है. इसके लिए, वर्चुअल होस्ट या टारगेट एंडपॉइंट/टारगेट सर्वर में बदलाव करने की ज़रूरत नहीं होती:

• Cloud के ग्राहकों के लिए: रेफ़रंस की वैल्यू बदलने के लिए, Apigee Edge की सहायता टीम से संपर्क करने की ज़रूरत नहीं होती.
• Private Cloud के ग्राहकों के लिए: रेफ़रंस की वैल्यू बदलने के लिए, Edge के कॉम्पोनेंट (जैसे, राऊटर और मैसेज प्रोसेसर) को रीस्टार्ट करने की ज़रूरत नहीं होती.

इसके अलावा, कीस्टोर का नाम और ट्रस्टस्टोर का नाम सीधे तौर पर तय किया जा सकता है:

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore> 

अगर कीस्टोर या ट्रस्टस्टोर का नाम सीधे तौर पर तय किया जाता है, तो Cloud के ग्राहकों को Apigee Edge की सहायता टीम से संपर्क करना होगा. वहीं, Private Cloud के ग्राहकों को सर्टिफ़िकेट अपडेट करने के लिए, Edge के कुछ कॉम्पोनेंट रीस्टार्ट करने होंगे.

टारगेट एंडपॉइंट/टारगेट सर्वर के लिए, तीसरा विकल्प फ़्लो वैरिएबल का इस्तेमाल करना है:

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore> 

फ़्लो वैरिएबल, टारगेट एंडपॉइंट/टारगेट सर्वर के लिए काम करते हैं. इनकी मदद से, रेफ़रंस की तरह कीस्टोर या ट्रस्टस्टोर को अपडेट किया जा सकता है. हालांकि, ये वर्चुअल होस्ट के साथ काम नहीं करते. साथ ही, हर अनुरोध पर आपको कीस्टोर, एलियास, और ट्रस्टस्टोर के बारे में जानकारी देनी होती है.

कीस्टोर और ट्रस्टस्टोर के लिए रेफ़रंस इस्तेमाल करने पर पाबंदियां

पैसे चुकाकर Cloud का इस्तेमाल करने वाले ग्राहकों और Private Cloud का इस्तेमाल करने वाले सभी ग्राहकों को TLS कॉन्फ़िगर करते समय, कीस्टोर और ट्रस्टस्टोर के लिए रेफ़रंस इस्तेमाल करने पर लगी इन पाबंदियों का ध्यान रखना होगा:

• वर्चुअल होस्ट में, कीस्टोर और ट्रस्टस्टोर के रेफ़रंस का इस्तेमाल सिर्फ़ तब किया जा सकता है, जब Apigee Router पर TLS को खत्म किया जाता है.

• अगर Apigee Router के सामने लोड बैलेंसर है और लोड बैलेंसर पर TLS को खत्म किया जाता है, तो वर्चुअल होस्ट में, कीस्टोर और ट्रस्टस्टोर के रेफ़रंस का इस्तेमाल नहीं किया जा सकता.

अगर आपके मौजूदा वर्चुअल होस्ट में, कीस्टोर या ट्रस्टस्टोर का नाम सीधे तौर पर तय किया गया है

हो सकता है कि Edge पर मौजूद वर्चुअल होस्ट, कीस्टोर और ट्रस्टस्टोर के लिए रेफ़रंस का इस्तेमाल करने के लिए कॉन्फ़िगर न किए गए हों. ऐसे में, रेफ़रंस का इस्तेमाल करने के लिए, वर्चुअल होस्ट को अपडेट किया जा सकता है.

1. Cloud के लिए Edge

   कीस्टोर के लिए रेफ़रंस का इस्तेमाल करने के लिए, वर्चुअल होस्ट को बदलने के लिए, आपको Apigee Edge की सहायता टीम से संपर्क करना होगा.

2. Private Cloud के लिए Edge

   रेफ़रंस का इस्तेमाल करने के लिए, वर्चुअल होस्ट को बदलने के लिए:

   1. रेफ़रंस का इस्तेमाल करने के लिए, वर्चुअल होस्ट को अपडेट करें.
   2. राउटर रीस्टार्ट करें.
   ज़्यादा जानकारी के लिए, Private Cloud के लिए किसी एपीआई को TLS ऐक्सेस कॉन्फ़िगर करना लेख में, "कीस्टोर और ट्रस्टस्टोर के लिए रेफ़रंस का इस्तेमाल करने के लिए, वर्चुअल होस्ट में बदलाव करना" सेक्शन देखें.

Apigee के मुफ़्त में आज़माने की अवधि वाले सर्टिफ़िकेट और पासकोड का इस्तेमाल करने के बारे में जानकारी

अगर आपके पास Cloud के लिए Edge का ऐसा खाता है जिसके लिए पैसे चुकाए जाते हैं और आपके पास अब तक TLS सर्टिफ़िकेट और पासकोड नहीं है, तो ऐसा वर्चुअल होस्ट बनाया जा सकता है जिसमें Apigee के मुफ़्त में आज़माने की अवधि वाले सर्टिफ़िकेट और पासकोड का इस्तेमाल किया जाता है. इसका मतलब है कि कीस्टोर बनाए बिना, वर्चुअल होस्ट बनाया जा सकता है.

Apigee के मुफ़्त में आज़माने की अवधि वाले सर्टिफ़िकेट और पासकोड का इस्तेमाल करके, वर्चुअल होस्ट को तय करने वाले एक्सएमएल ऑब्जेक्ट में <KeyStore> और <KeyAlias> एलिमेंट शामिल नहीं होते. इनकी जगह, <UseBuiltInFreeTrialCert> एलिमेंट का इस्तेमाल किया जाता है. जैसा कि यहां दिखाया गया है:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

अगर दोतरफ़ा TLS का इस्तेमाल किया जा रहा है, तो आपको <ClientAuthEnabled> एलिमेंट को true पर सेट करना होगा. साथ ही, <TrustStore> एलिमेंट के साथ रेफ़रंस का इस्तेमाल करके, ट्रस्टस्टोर तय करना होगा.

ज़्यादा जानकारी के लिए, Cloud के लिए वर्चुअल होस्ट कॉन्फ़िगर करना लेख पढ़ें.

TLS को कॉन्फ़िगर करने के बारे में जानकारी

TLS को कॉन्फ़िगर करने का तरीका तय करने में, इन दो मुख्य फ़ैक्टर की भूमिका होती है:

• क्या आप Edge Cloud या Private Cloud के ग्राहक हैं?
• समयसीमा खत्म हो चुके या खत्म होने वाले सर्टिफ़िकेट को कैसे अपडेट किया जाएगा?

Cloud और Private Cloud के लिए कॉन्फ़िगरेशन के विकल्प

यहां दी गई टेबल में, Cloud और Private Cloud के ग्राहकों के लिए, कॉन्फ़िगरेशन के अलग-अलग विकल्पों के बारे में बताया गया है:

Private Cloud के ग्राहकों के पास, वर्चुअल होस्ट और टारगेट एंडपॉइंट/टारगेट सर्वर, दोनों के कॉन्फ़िगरेशन पर पूरा कंट्रोल होता है. इस कंट्रोल में, वर्चुअल होस्ट बनाने और मिटाने की सुविधा शामिल होती है. साथ ही, वर्चुअल होस्ट पर सभी प्रॉपर्टी सेट की जा सकती हैं.

Cloud के सभी ग्राहकों (पैसे चुकाकर इस्तेमाल करने वाले और मुफ़्त में आज़माने की अवधि वाले), दोनों के पास टारगेट एंडपॉइंट/टारगेट सर्वर के कॉन्फ़िगरेशन पर पूरा कंट्रोल होता है. इसके अलावा, पैसे चुकाकर Cloud का इस्तेमाल करने वाले ग्राहकों के पास, वर्चुअल होस्ट पर पूरा कंट्रोल होता है. इसमें TLS प्रॉपर्टी भी शामिल हैं.

समयसीमा खत्म हो चुके सर्टिफ़िकेट को मैनेज करना

अगर किसी TLS सर्टिफ़िकेट की समयसीमा खत्म हो जाती है या आपके सिस्टम के कॉन्फ़िगरेशन में ऐसा बदलाव होता है कि the सर्टिफ़िकेट अब मान्य नहीं रहता, तो आपको सर्टिफ़िकेट अपडेट करना होगा. वर्चुअल होस्ट या टारगेट एंडपॉइंट/टारगेट सर्वर के लिए TLS को कॉन्फ़िगर करते समय, आपको कोई भी कॉन्फ़िगरेशन करने से पहले यह तय करना होगा कि अपडेट कैसे किया जाएगा.

सर्टिफ़िकेट की समयसीमा खत्म होने पर

Edge पर, सर्टिफ़िकेट को इन दो जगहों में से किसी एक पर सेव किया जाता है:

• कीस्टोर - इसमें TLS सर्टिफ़िकेट और निजी पासकोड होता है. इसका इस्तेमाल, TLS हैंडशेकिंग के दौरान, इकाई की पहचान करने के लिए किया जाता है.
• ट्रस्टस्टोर - इसमें TLS क्लाइंट पर भरोसेमंद सर्टिफ़िकेट होते हैं. इनका इस्तेमाल, क्लाइंट को दिखाए गए TLS सर्वर के सर्टिफ़िकेट की पुष्टि करने के लिए किया जाता है. ये सर्टिफ़िकेट आम तौर पर सेल्फ़-साइन किए गए सर्टिफ़िकेट, भरोसेमंद सीए से साइन किए गए सर्टिफ़िकेट या दोतरफ़ा TLS के हिस्से के तौर पर इस्तेमाल किए गए सर्टिफ़िकेट होते हैं.

अगर कीस्टोर में मौजूद किसी सर्टिफ़िकेट की समयसीमा खत्म हो जाती है और कीस्टोर के लिए रेफ़रंस का इस्तेमाल किया जा रहा है , तो कीस्टोर पर नया सर्टिफ़िकेट अपलोड नहीं किया जा सकता. इसके बजाय, आपको ये काम करने होंगे:

1. नया कीस्टोर बनाएं.
2. नए कीस्टोर पर नया सर्टिफ़िकेट अपलोड करें. इसके लिए, वही एलियास नाम इस्तेमाल करें जो पुराने कीस्टोर में इस्तेमाल किया गया था.
3. वर्चुअल होस्ट या टारगेट सर्वर/टारगेट एंडपॉइंट में मौजूद रेफ़रंस को अपडेट करें, ताकि नए कीस्टोर का इस्तेमाल किया जा सके.

अगर ट्रस्टस्टोर में मौजूद किसी सर्टिफ़िकेट की समयसीमा खत्म हो जाती है और ट्रस्टस्टोर के लिए रेफ़रंस का इस्तेमाल किया जा रहा है, तो आपको ये काम करने होंगे:

1. नया ट्रस्टस्टोर बनाएं.
2. नए ट्रस्टस्टोर पर नया सर्टिफ़िकेट अपलोड करें. ट्रस्टस्टोर के लिए, एलियास नाम मायने नहीं रखता. ध्यान दें: अगर कोई सर्टिफ़िकेट, चेन का हिस्सा है, तो आपको या तो सभी सर्टिफ़िकेट वाली एक फ़ाइल बनानी होगी और उस फ़ाइल को किसी एक एलियास पर अपलोड करना होगा या चेन में मौजूद सभी सर्टिफ़िकेट को ट्रस्टस्टोर पर अलग-अलग एलियास का इस्तेमाल करके अपलोड करना होगा.
3. वर्चुअल होस्ट या टारगेट सर्वर/टारगेट एंडपॉइंट में मौजूद रेफ़रंस को अपडेट करें, ताकि नए ट्रस्टस्टोर का इस्तेमाल किया जा सके.

समयसीमा खत्म हो चुके सर्टिफ़िकेट को अपडेट करने के तरीकों की खास जानकारी

वर्चुअल होस्ट या टारगेट एंडपॉइंट/टारगेट सर्वर में, कीस्टोर और ट्रस्टस्टोर का नाम तय करने के लिए इस्तेमाल किए जाने वाले तरीके से यह तय होता है कि सर्टिफ़िकेट को कैसे अपडेट किया जाएगा. इन तरीकों का इस्तेमाल किया जा सकता है:

• रेफ़रंस
• सीधे तौर पर नाम
• फ़्लो वैरिएबल

इनमें से हर तरीके का, अपडेट की प्रोसेस पर अलग-अलग असर पड़ता है. इसके बारे में, यहां दी गई टेबल में बताया गया है. जैसा कि देखा जा सकता है, रेफ़रंस, Cloud और Private Cloud के ग्राहकों, दोनों के लिए सबसे ज़्यादा फ़्लेक्सिबिलिटी देते हैं: