Aggiornare un certificato TLS per il cloud

Stai visualizzando la documentazione di Apigee Edge.
Consulta la documentazione di Apigee X. info

Il metodo che utilizzi per specificare il nome dell'archivio chiavi e dell'archivio attendibile nell'host virtuale o nell'endpoint di destinazione/server di destinazione determina la modalità di esecuzione dell'aggiornamento del certificato. Puoi specificare il nome dell'archivio chiavi e dell'archivio attendibile utilizzando:

• Riferimenti - opzione preferita
• Nomi diretti
• Variabili di flusso

Ciascuno di questi metodi ha ripercussioni diverse sul processo di aggiornamento del certificato, come descritto in nella tabella seguente.

Testare il certificato prima e dopo l' aggiornamento

Utilizza i seguenti openssl comandi per testare il certificato attuale prima di aggiornare it:

echo | openssl s_client -servername HOSTNAME -connect ORG-ENV.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

dove HOSTNAME è l'alias host e ORG-ENV è l'organizzazione e ambiente. Ad esempio:

echo | openssl s_client -servername example.com -connect myOrg-prod.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

Dovresti visualizzare un output nel formato:

notBefore=Dec 30 22:11:38 2015 GMT
notAfter=Dec 30 22:11:38 2016 GMT
subject= /OU=Domain Control Validated/CN=*.apigee.net

Utilizza lo stesso comando dopo aver aggiornato il certificato per testarlo.

Determinare in che modo l'host virtuale o l'endpoint di destinazione/il server di destinazione fa riferimento all'archivio chiavi e all'archivio attendibile

1. Accedi all'interfaccia utente di gestione di Edge all'indirizzo https://enterprise.apigee.com.
2. Nel menu dell'interfaccia utente di gestione di Edge, seleziona il nome della tua organizzazione.
3. Per un host virtuale, determina in che modo l'host virtuale specifica l'archivio chiavi e l'archivio attendibile.
   1. A seconda della versione dell'interfaccia utente di Edge:
      1. Se utilizzi l'interfaccia utente di Edge classica: seleziona API > Configurazione ambiente.
      2. Se utilizzi la nuova interfaccia utente di Edge: seleziona Amministratore > Ambienti.
   2. Seleziona la scheda Host virtuali.
   3. Per l'host virtuale specifico che stai aggiornando, seleziona il pulsante Mostra per visualizzarne le proprietà. La visualizzazione include le seguenti proprietà:
      1. Archivio chiavi: il nome dell'archivio chiavi attuale, in genere specificato come riferimento nel formato ref://mykeystoreref.
         
         In alternativa, potrebbe essere specificato da un nome diretto, nel formato myKeystoreName, oppure da una variabile di flusso, nel formato {ssl.keystore}.
      2. Alias chiave. Il valore di questa proprietà è il nome dell'alias nell' archivio chiavi. Il nuovo archivio chiavi deve creare un alias con lo stesso nome.
      3. Archivio attendibile: il nome dell'archivio attendibile attuale, se presente, in genere specificato come riferimento nel formato ref://mytruststoreref.
         
         In alternativa, potrebbe essere specificato da un nome diretto, nel formato myTruststoreName, oppure da una variabile di flusso, nel formato {ssl.truststorestore}.
4. Per un endpoint di destinazione/server di destinazione, determina in che modo l'endpoint di destinazione specifica l'archivio chiavi e l'archivio attendibile:
   1. Nel menu dell'interfaccia utente di gestione di Edge, seleziona API.
   2. Seleziona il nome del proxy API.
   3. Seleziona la scheda Sviluppo.
   4. In Endpoint di destinazione, seleziona default.
   5. Nell'area del codice viene visualizzata la definizione di TargetEndpoint. Esamina l'elemento <SSLInfo> per vedere come viene definito l'archivio chiavi/attendibile.
      
      Nota: se l'endpoint di destinazione utilizza un server di destinazione, la definizione XML dell'endpoint di destinazione viene visualizzata come di seguito, dove il <LoadBalancer> tag specifica i server di destinazione utilizzati dal proxy API.

      <TargetEndpoint name="default">
        …
        <HTTPTargetConnection>
          <LoadBalancer>
            <Server name="target1" />
            <Server name="target2" />
          </LoadBalancer>
          <Path>/test</Path>
        </HTTPTargetConnection>
          …
      </TargetEndpoint>

      Esamina l'elemento <SSLInfo> nella definizione del server di destinazione per determinare come viene definito l'archivio chiavi/attendibile.

Aggiornare un certificato TLS in un archivio chiavi

Quando un certificato in un archivio chiavi scade, non puoi caricare un nuovo certificato nell'archivio chiavi. Devi invece creare un nuovo archivio chiavi e caricare il certificato, quindi aggiornare gli host virtuali o il server di destinazione/l'endpoint di destinazione in modo che utilizzino il nuovo archivio chiavi.

In genere, crei un nuovo archivio chiavi prima della scadenza del certificato attuale, quindi aggiorni gli host virtuali o gli endpoint di destinazione in modo che utilizzino il nuovo archivio chiavi, in modo da poter continuare a gestire le richieste senza interruzioni dovute a un certificato scaduto. Puoi quindi eliminare il vecchio archivio chiavi dopo aver verificato che il nuovo archivio chiavi funzioni correttamente.

Per un deployment di Edge basato su cloud:

1. Crea un nuovo archivio chiavi e carica un certificato e una chiave come descritto in Creare archivi chiavi e archivi attendibili utilizzando l'interfaccia utente di Edge.

   Nel nuovo archivio chiavi, assicurati di utilizzare lo stesso nome per l'alias della chiave utilizzato in quello esistente.

2. Per un host virtuale utilizzato da una connessa in entrata, ovvero una richiesta API in Edge:
   1. Se l'host virtuale utilizza un riferimento all'archivio chiavi, aggiorna il riferimento.
   2. Se l'host virtuale utilizza un nome diretto dell'archivio chiavi, contatta l'assistenza di Apigee Edge.
3. Per un endpoint di destinazione/server di destinazione utilizzato da una connessione in uscita, ovvero da Apigee a un server di backend:
   1. Se l'endpoint di destinazione/il server di destinazione utilizza un riferimento all'archivio chiavi, aggiorna il riferimento. Non è necessario eseguire di nuovo il deployment del proxy.
   2. Se l'endpoint di destinazione/il server di destinazione utilizza una variabile di flusso, aggiorna la variabile di flusso. Non è necessario eseguire di nuovo il deployment del proxy.

   3. Se l'endpoint di destinazione/il server di destinazione utilizza un nome diretto dell'archivio chiavi, aggiorna la configurazione dell'endpoint di destinazione/del server di destinazione per tutti i proxy API che fanno riferimento al vecchio archivio chiavi e all'alias della chiave in modo che facciano riferimento al nuovo archivio chiavi e all'alias della chiave.

      A questo punto, devi eseguire di nuovo il deployment del proxy.

4. Dopo aver verificato che il nuovo archivio chiavi funzioni correttamente, elimina il vecchio archivio chiavi con il certificato e la chiave scaduti.

Aggiornare un certificato TLS in un archivio attendibile

Quando un certificato in un archivio attendibile scade, in genere crei un nuovo archivio attendibile e carichi il certificato, quindi aggiorni gli host virtuali o il server di destinazione/l'endpoint di destinazione in modo che utilizzino il nuovo archivio attendibile.

Se un certificato fa parte di una catena, devi creare un singolo file contenente tutti i certificati e caricarlo in un singolo alias oppure caricare tutti i certificati nella catena separatamente nell'archivio attendibile utilizzando un alias diverso per ogni certificato.

In genere, crei un nuovo archivio attendibile prima della scadenza del certificato attuale, quindi aggiorni gli host virtuali o gli endpoint di destinazione in modo che utilizzino il nuovo archivio attendibile, in modo da poter continuare a gestire le richieste senza interruzioni dovute a un certificato scaduto. Puoi quindi eliminare il vecchio archivio attendibile dopo aver verificato che il nuovo archivio attendibile funzioni correttamente.

Per un deployment di Edge basato su cloud:

1. Crea un nuovo archivio attendibile e carica un certificato come descritto in Creare archivi chiavi e archivi attendibili utilizzando l'interfaccia utente di Edge.

   Quando carichi il nuovo certificato nel nuovo archivio attendibile, il nome dell'alias non ha importanza.

2. Per un host virtuale utilizzato da una connessa in entrata, ovvero una richiesta API in Edge:
   1. Se l'host virtuale utilizza un riferimento all'archivio attendibile, aggiorna il riferimento.
   2. Se l'host virtuale utilizza un nome diretto dell'archivio attendibile, contatta l'assistenza di Apigee Edge.
3. Per un endpoint di destinazione/server di destinazione utilizzato da una connessione in uscita, ovvero da Apigee a un server di backend:
   1. Se l'endpoint di destinazione/il server di destinazione utilizza un riferimento all'archivio attendibile, aggiorna il riferimento. Non è necessario eseguire di nuovo il deployment del proxy.
   2. Se l'endpoint di destinazione/il server di destinazione utilizza una variabile di flusso, aggiorna la variabile di flusso. Non è necessario eseguire di nuovo il deployment del proxy.

   3. Se l'endpoint di destinazione/il server di destinazione utilizza un nome diretto dell'archivio attendibile, aggiorna la configurazione dell'endpoint di destinazione/del server di destinazione per tutti i proxy API che fanno riferimento al vecchio archivio attendibile in modo che facciano riferimento al nuovo archivio chiavi e all'alias della chiave.

      A questo punto, devi eseguire di nuovo il deployment del proxy.

4. Dopo aver verificato che il nuovo archivio attendibile funzioni correttamente, elimina il vecchio archivio attendibile con il certificato scaduto.