خيارات ضبط بروتوكول أمان طبقة النقل

يتم الآن عرض مستندات Apigee Edge.
انتقِل إلى مستند Apigee X. المعلومات

يتضمّن هذا المستند نظرة عامة حول كيفية ضبط بروتوكول أمان طبقة النقل (TLS) على Edge لمجالَين وظيفيين:

1. وصول عملاء واجهة برمجة التطبيقات إلى الخوادم الوكيلة لواجهة برمجة التطبيقات. استخدِم المضيفات الافتراضية على جهاز توجيه Edge لضبط بروتوكول أمان طبقة النقل (TLS).
2. الوصول إلى خدمات الخلفية من خلال Edge استخدِم نقاط النهاية المستهدفة والخوادم المستهدفة في "معالج رسائل Edge" لضبط بروتوكول أمان طبقة النقل (TLS).

في ما يلي نوعان من أذونات الوصول:

لمحة عن إعداد خيارات بروتوكول أمان طبقة النقل (TLS) في مضيف افتراضي أو خادم نقطة نهاية/هدف مستهدف

يمكن تمثيل المضيف الظاهري بكائن XML على النحو التالي:

<VirtualHost name="secure">
    ...
    <SSLInfo> 
        <Enabled>true</Enabled> 
        <ClientAuthEnabled>true</ClientAuthEnabled> 
        <KeyStore>ref://myKeystoreRef</KeyStore> 
        <KeyAlias>myKeyAlias</KeyAlias> 
        <TrustStore>ref://myTruststoreRef</TrustStore> 
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
    </SSLInfo>
</VirtualHost>

يتم تحديد منطقة المضيف الافتراضي التي تعدِّلها لضبط بروتوكول أمان طبقة النقل (TLS) من خلال العلامة <SSLInfo>. ويمكنك استخدام العلامة <SSLInfo> نفسها لضبط نقطة النهاية المستهدفة أو الخادم الهدف.

يوضِّح الجدول التالي عناصر ضبط بروتوكول أمان طبقة النقل (TLS) التي تستخدمها العلامة <SSLInfo>:

<CommonName wildcardMatch="true">*.myhost.com</CommonName>

لمحة عن إعداد العنصرَين <KeyStore> و <TrustStore>

في مثال المضيف الافتراضي أعلاه، يتم تحديد ملف تخزين المفاتيح وملف Truststore باستخدام references، بالصيغة التالية:

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

تنصح Apigee بشدة باستخدام المراجع إلى ملف تخزين المفاتيح وTruststore دائمًا. المرجع هو متغيّر يحتوي على اسم ملف تخزين المفاتيح أو ملف تخزين الثقة، بدلاً من تحديد اسم ملف تخزين المفاتيح مباشرةً. في هذا المثال:

• myKeystoreRef هو مرجع يحتوي على اسم ملف تخزين المفاتيح. في هذا المثال، يكون اسم ملف تخزين المفاتيح هو myKeystore.
• إنّ myTruststoreRef هي مرجع يحتوي على اسم Truststore. في هذا المثال، يكون اسم متجر Truststore هو myTruststore.

عند انتهاء صلاحية الشهادة، يجب تعديل المضيف الافتراضي أو خادم نقطة النهاية/الهدف المستهدف لتحديد ملف تخزين المفاتيح أو ملف تخزين الثقة الذي يحتوي على الشهادة الجديدة. وتكمن ميزة المرجع في أنّه يمكنك تعديل قيمة المرجع لتغيير ملف تخزين المفاتيح أو ملف تخزين الثقة بدون الحاجة إلى تعديل المضيف الافتراضي أو نقطة النهاية/الخادم المستهدف نفسه:

• بالنسبة إلى عملاء Cloud: لا يتطلب تغيير قيمة المرجع التواصل مع فريق دعم Apigee Edge.
• بالنسبة إلى عملاء Private Cloud: لا يتطلب تغيير قيمة المرجع إعادة تشغيل مكوّنات Edge، مثل أجهزة التوجيه ومعالجات الرسائل.

بدلاً من ذلك، يمكنك تحديد اسم ملف تخزين المفاتيح واسم ملف الثقة مباشرةً:

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore> 

إذا حددت بشكل مباشر اسم ملف تخزين المفاتيح أو ملف تخزين الثقة، على عملاء Cloud التواصل مع فريق دعم Apigee Edge، وعلى عملاء Private Cloud إعادة تشغيل بعض مكوّنات Edge لتعديل الشهادة.

هناك الخيار الثالث، بالنسبة إلى نقاط النهاية المستهدفة/الخادم المستهدف فقط، هو استخدام متغيرات التدفق:

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore> 

تعمل متغيّرات التدفق مع نقاط النهاية/الخوادم المستهدفة وتتيح لك تعديل ملف تخزين المفاتيح أو ملف الثقة مثل المراجع. ومع ذلك، فإنّ هذه البرامج لا تعمل مع المضيفات الافتراضية وتطلب منك تقديم معلومات حول ملف تخزين المفاتيح والاسم المستعار ومخزن الثقة في كل طلب.

القيود المفروضة على استخدام الإشارات إلى ملفات تخزين المفاتيح وتخزين الثقة

على عملاء السحابة الإلكترونية المدفوعة وجميع عملاء Private Cloud الذين يضبطون بروتوكول أمان طبقة النقل (TLS)، مراعاة القيود التالية عند استخدام مراجع لملفات تخزين المفاتيح ومخازن الثقة:

• لا يمكنك استخدام مراجع ملف تخزين المفاتيح وملف تخزين الثقة في المضيفات الافتراضية إلا في حال إنهاء بروتوكول أمان طبقة النقل (TLS) في أجهزة توجيه Apigee.

• إذا كان لديك جهاز موازنة التحميل أمام أجهزة توجيه Apigee، وتم إنهاء بروتوكول أمان طبقة النقل (TLS) على جهاز موازنة التحميل، لن تتمكّن من استخدام مراجع ملف تخزين المفاتيح وملف Truststore في المضيفات الافتراضية.

إذا كان المضيف الافتراضي الحالي يستخدم اسمًا حرفيًا لملف تخزين المفاتيح أو ملف موثوق به

قد لا يتم ضبط المضيفات الافتراضية الحالية على Edge لاستخدام مراجع لملفات تخزين المفاتيح ومخازن الثقة. في هذه الحالة، يمكنك تحديث المضيف الظاهري لاستخدام مرجع.

1. شبكة الحافة للسحابة الإلكترونية

   لتغيير المضيف الافتراضي لاستخدام مرجع إلى ملف تخزين المفاتيح، يجب العمل مع فريق دعم Apigee Edge.

2. الحد الأقصى للسحابة الإلكترونية الخاصة

   لتحويل المضيف الافتراضي إلى مرجع:

   1. يُرجى تعديل المضيف الظاهري لاستخدام مرجع.
   2. أعِد تشغيل أجهزة التوجيه.
   يمكنك الاطّلاع على "تعديل مضيف افتراضي لاستخدام مراجع إلى ملف تخزين المفاتيح وملف Truststore" في ضبط الوصول عبر بروتوكول أمان طبقة النقل (TLS) إلى واجهة برمجة تطبيقات في السحابة الإلكترونية الخاصة لمزيد من المعلومات.

لمحة عن استخدام مفتاح وشهادة الفترة التجريبية المجانية من Apigee

إذا كان لديك حساب مدفوع على Edge على Cloud ولم يكن لديك حتى الآن شهادة ومفتاح TLS، يمكنك إنشاء مضيف افتراضي يستخدم شهادة ومفتاح الفترة التجريبية المجانية من Apigee. وهذا يعني أنّه يمكنك إنشاء المضيف الافتراضي بدون إنشاء ملف تخزين أولاً.

إنّ عنصر XML الذي يحدّد المضيف الافتراضي باستخدام مفتاح وشهادة الإصدار التجريبي المجاني من Apigee يتم استبعاد العنصرَين <KeyStore> و<KeyAlias> واستبدالهما بالعنصر <UseBuiltInFreeTrialCert>، كما هو موضّح أدناه:

<VirtualHost name="myTLSVHost">
    <HostAliases>
        <HostAlias>myapi.apigee.net</HostAlias>
    </HostAliases>
    <Port>443</Port>
    <SSLInfo>
        <Enabled>true</Enabled>
        <ClientAuthEnabled>false</ClientAuthEnabled>
    </SSLInfo>
    <UseBuiltInFreeTrialCert>true</UseBuiltInFreeTrialCert>
</VirtualHost>

إذا كنت تنفّذ بروتوكول أمان طبقة النقل (TLS) الثنائي الاتجاه، يجب ضبط العنصر <ClientAuthEnabled> على true، وتحديد مخزن الثقة باستخدام مرجع مع العنصر <TrustStore>.

راجع إعداد المضيفات الافتراضية في السحابة الإلكترونية لمزيد من المعلومات.

لمحة عن ضبط بروتوكول أمان طبقة النقل (TLS)

هناك عاملان رئيسيان يحدّدان كيفية تنفيذ ضبط بروتوكول أمان طبقة النقل (TLS):

• هل أنت عميل Edge Cloud أو Private Cloud؟
• كيف سيتم تعديل الشهادات المنتهية الصلاحية أو المنتهية الصلاحية؟

خيارات إعداد Cloud و Private Cloud

يعرض الجدول التالي خيارات الضبط المختلفة لعملاء Cloud و Private Cloud الخاصَّين:

يمكن لعملاء Private Cloud التحكّم بشكل كامل في إعدادات كل من المضيفين الافتراضيين والخوادم المستهدفة/النقاط النهائية. ويشمل عنصر التحكم هذا إمكانية إنشاء مضيفات افتراضية وحذفها، وتعيين كل الخصائص على مضيف افتراضي.

يتحكّم جميع عملاء Cloud، سواء كانت مدفوعة أو تقييمية، في ضبط إعدادات نقاط النهاية/الخوادم المستهدفة. بالإضافة إلى ذلك، يتمتع عملاء Cloud الذين يدفعون مقابل الخدمة بالتحكم الكامل في المضيفات الافتراضية، بما في ذلك مواقع بروتوكول أمان طبقة النقل (TLS).

التعامل مع الشهادات المنتهية الصلاحية

إذا انتهت صلاحية شهادة بروتوكول أمان طبقة النقل (TLS)، أو إذا تغيّرت إعدادات النظام ولم تعُد الشهادة صالحة، عليك تعديل الشهادة. عند ضبط بروتوكول أمان طبقة النقل لمضيف افتراضي أو خادم نقطة نهاية/هدف مستهدف، يجب أن تحدّد طريقة تنفيذ هذا التحديث قبل ضبط أي إعدادات.

عند انتهاء صلاحية الشهادة

على Edge، يتم تخزين الشهادات في مكان من مكانين:

• ملف تخزين المفاتيح: يحتوي على شهادة بروتوكول أمان طبقة النقل (TLS) والمفتاح الخاص اللذان يُستخدمان لتحديد الكيان أثناء عملية تأكيد الاتصال من خلال بروتوكول أمان طبقة النقل (TLS).
• Truststore: يحتوي على شهادات موثوق بها على عميل بروتوكول أمان طبقة النقل (TLS) يتم استخدامه للتحقّق من صحة شهادة خادم بروتوكول أمان طبقة النقل (TLS) المقدّمة للعميل. وتكون هذه الشهادات عادةً شهادات موقَّعة ذاتيًا أو شهادات موقَّعة من مرجع تصديق موثوق به أو شهادات يتم استخدامها كجزء من بروتوكول أمان طبقة النقل (TLS) الثنائي الاتجاه.

عندما تنتهي صلاحية شهادة في ملف تخزين المفاتيح، وكنت تستخدم مرجعًا إلى ملف تخزين المفاتيح، لا يمكنك تحميل شهادة جديدة إلى ملف تخزين المفاتيح. بدلاً من ذلك، يمكنك:

1. أنشِئ ملف تخزين مفاتيح جديدًا.
2. حمِّل الشهادة الجديدة إلى ملف تخزين المفاتيح الجديد باستخدام الاسم البديل نفسه لملف تخزين المفاتيح القديم.
3. عدِّل المرجع في المضيف الافتراضي أو الخادم الهدف/نقطة النهاية المستهدفة لاستخدام ملف تخزين المفاتيح الجديد.

عندما تنتهي صلاحية شهادة في Truststore وكنت تستخدم مرجعًا إلى Truststore، عليك:

1. أنشِئ متجرًا موثوقًا به جديدًا.
2. حمِّل الشهادة الجديدة إلى Truststore الجديد. لا يُعدّ الاسم المستعار للبريد الإلكتروني مهمًا لمتاجر الثقة. ملاحظة: إذا كانت الشهادة جزءًا من سلسلة، عليك إما إنشاء ملف واحد يحتوي على جميع الشهادات وتحميل هذا الملف إلى اسم مستعار واحد، أو تحميل جميع الشهادات الموجودة في السلسلة بشكل منفصل إلى Truststore باستخدام اسم مستعار مختلف لكل شهادة.
3. عدِّل المرجع في المضيف الافتراضي أو الخادم الهدف/نقطة النهاية المستهدفة لاستخدام Truststore الجديد.

ملخّص طرق تعديل شهادة منتهية الصلاحية

إنّ الطريقة التي تستخدمها لتحديد اسم ملف تخزين المفاتيح وملف Truststore في المضيف الافتراضي أو خادم نقطة النهاية/الوجهة المستهدفة تحدِّد طريقة إجراء تحديث الشهادة. يمكنك استخدام:

• المراجع
• الأسماء المباشرة
• متغيرات التدفق

لكل طريقة من هذه الطرق تداعيات مختلفة على عملية التحديث، كما هو موضّح في الجدول التالي. كما يتّضح مما سبق، توفّر المراجع أكبر قدر من المرونة لعملاء Cloud و Private Cloud: