Cloud için TLS sertifikası güncelleme

Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. bilgi

Sanal ana makinede veya hedef uç noktada/hedef sunucuda anahtar deposunun ve güvenilen sertifika deposunun adını belirtmek için kullandığınız yöntem, sertifika güncellemesini nasıl yapacağınızı belirler. Aşağıdaki yöntemleri kullanarak anahtar deposunun ve güven deposunun adını belirtebilirsiniz:

• Referanslar - tercih edilen
• Doğrudan adlar
• Akış değişkenleri

Bu yöntemlerin her birinin, aşağıdaki tabloda açıklandığı gibi, sertifika güncelleme süreci üzerinde farklı etkileri vardır.

Güncellemeden önce ve sonra sertifikayı test etme

Mevcut sertifikayı güncellemeden önce test etmek için aşağıdaki openssl komutlarını kullanın:

echo | openssl s_client -servername HOSTNAME -connect ORG-ENV.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

Burada HOSTNAME, ana makine takma adı, ORG-ENV ise kuruluş ve ortamdır. Örneğin:

echo | openssl s_client -servername example.com -connect myOrg-prod.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

Şu biçimde bir çıkış görürsünüz:

notBefore=Dec 30 22:11:38 2015 GMT
notAfter=Dec 30 22:11:38 2016 GMT
subject= /OU=Domain Control Validated/CN=*.apigee.net

Sertifikayı güncelledikten sonra test etmek için aynı komutu kullanın.

Sanal ana makinenizin veya hedef uç noktanızın/hedef sunucunuzun anahtar deposuna ve güven deposuna nasıl referans verdiğini belirleyin.

1. https://enterprise.apigee.com adresinden Edge yönetim kullanıcı arayüzüne giriş yapın.
2. Edge yönetim kullanıcı arayüzü menüsünde kuruluşunuzun adını seçin.
3. Sanal ana makine için, sanal ana makinenin anahtar deposunu ve güvenilen sertifika deposunu nasıl belirlediğini belirleyin.
   1. Edge kullanıcı arayüzü sürümünüze bağlı olarak:
      1. Klasik Edge kullanıcı arayüzünü kullanıyorsanız: API'ler > Ortam Yapılandırması'nı seçin.
      2. Yeni Edge kullanıcı arayüzünü kullanıyorsanız: Yönetici > Ortamlar'ı seçin.
   2. Sanal Ana Makineler sekmesini seçin.
   3. Güncellediğiniz belirli sanal ana makine için Göster düğmesini seçerek özelliklerini görüntüleyin. Ekranda aşağıdaki özellikler yer alır:
      1. Anahtar deposu: Genellikle ref://mykeystoreref içinde referans olarak belirtilen mevcut anahtar deposunun adı.
         
         Alternatif olarak, myKeystoreName biçiminde doğrudan bir adla veya {ssl.keystore} biçiminde bir akış değişkeniyle belirtilebilir.
      2. Anahtar takma adı Bu özelliğin değeri, anahtar deposundaki takma addır. Yeni anahtar deponuz aynı ada sahip bir takma ad oluşturmalıdır.
      3. Güvenilir Sertifika Deposu: Varsa mevcut güvenilir sertifika deposunun adı. Genellikle ref://mytruststoreref öğesinden referans olarak belirtilir.
         
         Alternatif olarak, myTruststoreName biçiminde doğrudan bir adla veya {ssl.truststorestore} biçiminde bir akış değişkeniyle belirtilebilir.
4. Hedef uç nokta/hedef sunucu için, hedef uç noktanın anahtar deposunu ve güven deposunu nasıl belirttiğini belirleyin:
   1. Edge yönetim kullanıcı arayüzü menüsünde API'ler'i seçin.
   2. API proxy'sinin adını seçin.
   3. Geliştirme sekmesini seçin.
   4. Hedef Uç Noktalar bölümünde varsayılan'ı seçin.
   5. Kod alanında TargetEndpoint tanımı görünür. Anahtar deposunun/güven deposunun nasıl tanımlandığını görmek için <SSLInfo> öğesini inceleyin.
      
      Not: Hedef uç nokta bir hedef sunucu kullanıyorsa hedef uç noktanın XML tanımı aşağıda gösterildiği gibi görünür. Burada <LoadBalancer> etiketi, API proxy'si tarafından kullanılan hedef sunucuları belirtir.

      <TargetEndpoint name="default">
        …
        <HTTPTargetConnection>
          <LoadBalancer>
            <Server name="target1" />
            <Server name="target2" />
          </LoadBalancer>
          <Path>/test</Path>
        </HTTPTargetConnection>
          …
      </TargetEndpoint>

      Anahtar deposunun/güven deposunun nasıl tanımlandığını belirlemek için hedef sunucu tanımındaki <SSLInfo> öğesini inceleyin.

Anahtar deposundaki TLS sertifikasını güncelleme

Bir anahtar deposundaki sertifikanın süresi dolduğunda anahtar deposuna yeni bir sertifika yükleyemezsiniz. Bunun yerine, yeni bir anahtar deposu oluşturup sertifikayı yüklersiniz. Ardından, sanal ana makinelerinizi veya hedef sunucunuzu/hedef uç noktanızı yeni anahtar deposunu kullanacak şekilde güncellersiniz.

Genellikle, mevcut sertifikanın süresi dolmadan önce yeni bir anahtar deposu oluşturur ve ardından sanal ana bilgisayarlarınızı veya hedef uç noktalarınızı yeni anahtar deposunu kullanacak şekilde güncellersiniz. Böylece, süresi dolmuş bir sertifika nedeniyle hizmet isteklerine kesintisiz olarak yanıt vermeye devam edebilirsiniz. Yeni anahtar deposunun doğru şekilde çalıştığından emin olduktan sonra eski anahtar deposunu silebilirsiniz.

Edge'in bulut tabanlı dağıtımı için:

1. Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güvenilir anahtar deposu oluşturma bölümünde açıklandığı şekilde yeni bir anahtar deposu oluşturun ve sertifika ile anahtar yükleyin.

   Yeni anahtar deposunda, anahtar takma adı için mevcut anahtar deposunda kullanılan adın aynısını kullandığınızdan emin olun.

2. Gelen bağlantı tarafından kullanılan bir sanal ana makine için (yani Edge'e yapılan bir API isteği):
   1. Sanal ana makineniz anahtar deposuna referans kullanıyorsa referansı güncelleyin.
   2. Sanal ana makineniz, anahtar deposunun doğrudan adını kullanıyorsa Apigee Edge Destek Ekibi ile iletişime geçin.
3. Giden bağlantı tarafından kullanılan hedef uç nokta/hedef sunucu için (yani Apigee'den bir arka uç sunucusuna):
   1. Hedef uç nokta/hedef sunucu, anahtar deposuna referans kullanıyorsa referansı güncelleyin. Proxy'nin yeniden dağıtılması gerekmez.
   2. Hedef uç nokta/hedef sunucu bir akış değişkeni kullanıyorsa akış değişkenini güncelleyin. Proxy'nin yeniden dağıtılması gerekmez.

   3. Hedef uç nokta/hedef sunucu, anahtar deposunun doğrudan adını kullanıyorsa eski anahtar deposuna ve anahtar takma adına referans veren tüm API proxy'leri için hedef uç nokta/hedef sunucu yapılandırmasını yeni anahtar deposuna ve anahtar takma adına referans verecek şekilde güncelleyin.

      Ardından proxy'yi yeniden dağıtmanız gerekir.

4. Yeni anahtar deponuzun düzgün çalıştığını onayladıktan sonra, süresi dolmuş sertifika ve anahtarı içeren eski anahtar deposunu silin.

Güvenilirlik deposundaki TLS sertifikasını güncelleme

Bir güvenli depoda bulunan sertifikanın süresi dolduğunda genellikle yeni bir güvenli depo oluşturup sertifikayı yüklersiniz. Ardından, sanal ana makinelerinizi veya hedef sunucunuzu/hedef uç noktanızı yeni güvenli depoyu kullanacak şekilde güncellersiniz.

Bir sertifika zincirin parçasıysa tüm sertifikaları içeren tek bir dosya oluşturup bu dosyayı tek bir takma ada yüklemeniz veya zincirdeki tüm sertifikaları ayrı ayrı yüklemeniz gerekir. Bu durumda, her sertifika için farklı bir takma ad kullanarak güvenli depoya yükleme yapabilirsiniz.

Genellikle, mevcut sertifikanın süresi dolmadan önce yeni bir güven deposu oluşturursunuz ve ardından sanal ana makinelerinizi veya hedef uç noktalarınızı yeni güven deposunu kullanacak şekilde güncellersiniz. Böylece, süresi dolmuş bir sertifika nedeniyle kesinti yaşamadan istekleri işlemeye devam edebilirsiniz. Yeni güven deposunun doğru şekilde çalıştığından emin olduktan sonra eski güven deposunu silebilirsiniz.

Edge'in bulut tabanlı dağıtımı için:

1. Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güvenilir anahtar deposu oluşturma bölümünde açıklandığı gibi yeni bir güvenilir anahtar deposu oluşturun ve sertifika yükleyin.

   Yeni sertifikayı yeni güvenli depoya yüklediğinizde diğer adın önemi yoktur.

2. Gelen bağlantı tarafından kullanılan bir sanal ana makine için (yani Edge'e yapılan bir API isteği):
   1. Sanal ana makineniz güvenli depoya referans veriyorsa referansı güncelleyin.
   2. Sanal ana makineniz güvenli depolama alanının doğrudan adını kullanıyorsa Apigee Edge Destek Ekibi ile iletişime geçin.
3. Giden bağlantı tarafından kullanılan hedef uç nokta/hedef sunucu için (yani Apigee'den bir arka uç sunucusuna):
   1. Hedef uç nokta/hedef sunucu, güvenli anahtar deposuna referans kullanıyorsa referansı güncelleyin. Proxy'nin yeniden dağıtılması gerekmez.
   2. Hedef uç nokta/hedef sunucu bir akış değişkeni kullanıyorsa akış değişkenini güncelleyin. Proxy'nin yeniden dağıtılması gerekmez.

   3. Hedef uç nokta/hedef sunucu, güvenilirlik deposunun doğrudan adını kullanıyorsa eski güvenilirlik deposuna referans veren tüm API proxy'leri için hedef uç nokta/hedef sunucu yapılandırmasını yeni anahtar deposuna ve anahtar takma adına referans verecek şekilde güncelleyin.

      Ardından proxy'yi yeniden dağıtmanız gerekir.

4. Yeni güvenli depolama alanınızın doğru şekilde çalıştığını onayladıktan sonra, süresi dolmuş sertifikayı içeren eski güvenli depolama alanını silin.