Как обновить сертификат TLS для облака

Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация

Способ, которым вы указываете имя хранилища ключей и хранилища доверенных сертификатов в виртуальном хосте или целевой конечной точке/целевом сервере, определяет, как вы будете обновлять сертификат. Вы можете указать название хранилища ключей и хранилища доверенных сертификатов, используя:

• Ссылки – предпочтительно
• Прямые названия
• Переменные процесса

Каждый из этих методов по-разному влияет на процесс обновления сертификата, как описано в таблице ниже.

Тестирование сертификата до и после обновления

Чтобы проверить текущий сертификат перед обновлением, используйте следующие команды openssl:

echo | openssl s_client -servername HOSTNAME -connect ORG-ENV.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

где HOSTNAME – псевдоним хоста, а ORG-ENV – организация и среда. Пример:

echo | openssl s_client -servername example.com -connect myOrg-prod.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

Вы увидите результат в следующем формате:

notBefore=Dec 30 22:11:38 2015 GMT
notAfter=Dec 30 22:11:38 2016 GMT
subject= /OU=Domain Control Validated/CN=*.apigee.net

Чтобы проверить сертификат после обновления, используйте ту же команду.

Определите, как виртуальный хост или целевая конечная точка/целевой сервер ссылается на хранилище ключей и хранилище доверенных сертификатов

1. Войдите в интерфейс управления Edge на странице https://enterprise.apigee.com.
2. В меню интерфейса управления Edge выберите название организации.
3. Для виртуального хоста определите, как он указывает хранилище ключей и хранилище доверенных сертификатов.
   1. В зависимости от версии интерфейса Edge:
      1. Если вы используете классический интерфейс Edge, выберите APIs (API) > Environment Configuration (Конфигурация среды).
      2. Если вы используете новый интерфейс Edge, выберите Администратор > Среды.
   2. Откройте вкладку Виртуальные хосты.
   3. Для виртуального хоста, который вы хотите изменить, нажмите кнопку Показать, чтобы отобразить его свойства. В объекте display есть следующие свойства:
      1. Хранилище ключей. Название текущего хранилища ключей, обычно указываемое как ссылка в ref://mykeystoreref.
         
         Также его можно указать напрямую в виде myKeystoreName или с помощью переменной потока в виде {ssl.keystore}.
      2. Псевдоним ключа. Значение этого свойства – псевдоним в хранилище ключей. В новом хранилище ключей должен быть создан псевдоним с тем же именем.
      3. Хранилище доверенных сертификатов. Название текущего хранилища доверенных сертификатов, если оно есть. Обычно указывается как ссылка в ref://mytruststoreref.
         
         Также его можно указать напрямую в виде myTruststoreName или с помощью переменной потока в виде {ssl.truststorestore}.
4. Для целевой конечной точки или целевого сервера определите, как целевая конечная точка указывает на хранилище ключей и хранилище доверенных сертификатов:
   1. В меню интерфейса управления Edge выберите API.
   2. Выберите название прокси-сервера API.
   3. Выберите вкладку Разработка.
   4. В разделе Целевые конечные точки выберите default.
   5. В области кода появится определение TargetEndpoint. Изучите элемент <SSLInfo>, чтобы узнать, как определено хранилище ключей или доверенных сертификатов.
      
      Примечание. Если целевая конечная точка использует целевой сервер, то XML-определение целевой конечной точки будет выглядеть так, как показано ниже, где тег <LoadBalancer> указывает целевые серверы, используемые прокси API.

      <TargetEndpoint name="default">
        …
        <HTTPTargetConnection>
          <LoadBalancer>
            <Server name="target1" />
            <Server name="target2" />
          </LoadBalancer>
          <Path>/test</Path>
        </HTTPTargetConnection>
          …
      </TargetEndpoint>

      Изучите элемент <SSLInfo> в определении целевого сервера, чтобы узнать, как определяется хранилище ключей или доверенное хранилище.

Как обновить сертификат TLS в хранилище ключей

Когда срок действия сертификата в хранилище ключей истекает, вы не можете загрузить в него новый сертификат. Вместо этого создайте новое хранилище ключей, загрузите сертификат и обновите виртуальные хосты или целевой сервер/целевую конечную точку, чтобы использовать новое хранилище ключей.

Как правило, вы создаете новое хранилище ключей до истечения срока действия текущего сертификата, а затем обновляете виртуальные хосты или целевые конечные точки, чтобы использовать новое хранилище ключей. Это позволяет вам продолжать обрабатывать запросы без перебоев, вызванных истечением срока действия сертификата. После этого можно удалить старое хранилище ключей, убедившись, что новое работает правильно.

Для облачного развертывания Edge:

1. Создайте новое хранилище ключей и загрузите сертификат и ключ, как описано в разделе Создание хранилищ ключей и доверенных хранилищ с помощью интерфейса Edge.

   В новом хранилище ключей укажите для псевдонима ключа то же название, что и в существующем хранилище.

2. Для виртуального хоста, используемого входящим подключением, то есть запросом API в Edge:
   1. Если виртуальный хост использует ссылку на хранилище ключей, обновите ее.
   2. Если виртуальный хост использует прямое название хранилища ключей, обратитесь в службу поддержки Apigee Edge.
3. Для целевой конечной точки или целевого сервера, используемых исходящим подключением, то есть из Apigee к серверу бэкэнда:
   1. Если целевая конечная точка или целевой сервер использует ссылку на хранилище ключей, обновите ее. Повторно развертывать прокси не нужно.
   2. Если в целевой конечной точке или на целевом сервере используется переменная потока, обновите ее. Повторное развертывание прокси-сервера не требуется.

   3. Если целевая конечная точка или целевой сервер использует прямое имя хранилища ключей, обновите конфигурацию целевой конечной точки или целевого сервера для всех прокси API, которые ссылались на старое хранилище ключей и псевдоним ключа, чтобы они ссылались на новое хранилище ключей и псевдоним ключа.

      После этого необходимо повторно развернуть прокси.

4. Убедившись, что новое хранилище ключей работает правильно, удалите старое хранилище с сертификатом и ключом, срок действия которых истек.

Как обновить сертификат TLS в хранилище доверия

Когда срок действия сертификата в хранилище доверенных сертификатов истекает, вы обычно создаете новое хранилище, загружаете сертификат, а затем обновляете виртуальные хосты или целевой сервер/конечную точку, чтобы использовать новое хранилище.

Если сертификат входит в цепочку, вы можете создать один файл, содержащий все сертификаты, и загрузить его в хранилище доверенных сертификатов под одним псевдонимом или загрузить все сертификаты цепочки по отдельности, используя для каждого сертификата свой псевдоним.

Как правило, новое хранилище доверенных сертификатов создается до истечения срока действия текущего сертификата, а затем виртуальные хосты или целевые конечные точки обновляются, чтобы использовать новое хранилище. Это позволяет продолжать обрабатывать запросы без перебоев, вызванных истечением срока действия сертификата. После того как вы убедитесь, что новое хранилище работает правильно, старое можно удалить.

Для облачного развертывания Edge:

1. Создайте новое хранилище доверенных сертификатов и загрузите сертификат, как описано в разделе Создание хранилищ ключей и доверенных сертификатов с помощью интерфейса Edge.

   При загрузке нового сертификата в новое хранилище доверенных сертификатов псевдоним не имеет значения.

2. Для виртуального хоста, используемого входящим подключением, то есть запросом API в Edge:
   1. Если виртуальный хост использует ссылку на хранилище доверенных сертификатов, обновите ее.
   2. Если в виртуальном хосте используется прямое название хранилища доверенных сертификатов, обратитесь в службу поддержки Apigee Edge.
3. Для целевой конечной точки или целевого сервера, используемых исходящим подключением, то есть из Apigee к серверу бэкэнда:
   1. Если целевая конечная точка или целевой сервер использует ссылки на хранилище доверенных сертификатов, обновите ссылку. Повторно развертывать прокси не нужно.
   2. Если в целевой конечной точке или на целевом сервере используется переменная потока, обновите ее. Повторное развертывание прокси-сервера не требуется.

   3. Если целевая конечная точка или целевой сервер использует прямое имя хранилища доверенных сертификатов, обновите конфигурацию целевой конечной точки или целевого сервера для всех прокси API, которые ссылались на старое хранилище доверенных сертификатов, чтобы они ссылались на новое хранилище ключей и псевдоним ключа.

      После этого необходимо повторно развернуть прокси.

4. Убедившись, что новое хранилище доверенных сертификатов работает правильно, удалите старое хранилище с сертификатом, срок действия которого истек.