Actualiza un certificado TLS para Cloud

Estás viendo la documentación de Apigee Edge.
Ir a la documentación de Apigee X. info

El método que usas para especificar el nombre del almacén de claves y el almacén de certificados de confianza en el host virtual o el extremo/servidor de destino determina cómo se realiza la actualización del certificado. Puedes especificar el nombre del almacén de claves y el almacén de certificados de confianza con lo siguiente:

• Referencias: preferido
• Nombres directos
• Variables de flujo

Cada uno de estos métodos tiene diferentes repercusiones en el proceso de actualización del certificado, como se describe en la siguiente tabla.

Prueba el certificado antes y después de la actualización

Usa los siguientes openssl comandos para probar el certificado actual antes de actualizar it:

echo | openssl s_client -servername HOSTNAME -connect ORG-ENV.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

En el ejemplo anterior, HOSTNAME es el alias del host y ORG-ENV es la organización y el entorno. Por ejemplo:

echo | openssl s_client -servername example.com -connect myOrg-prod.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

Deberías ver un resultado como el siguiente:

notBefore=Dec 30 22:11:38 2015 GMT
notAfter=Dec 30 22:11:38 2016 GMT
subject= /OU=Domain Control Validated/CN=*.apigee.net

Usa el mismo comando después de actualizar el certificado para probarlo.

Determina cómo el host virtual o el extremo o el servidor de destino hacen referencia al almacén de claves y al almacén de certificados de confianza

1. Accede a la IU de administración de Edge en https://enterprise.apigee.com.
2. En el menú de la IU de administración de Edge, selecciona el nombre de tu organización.
3. Para un host virtual, determina cómo el host virtual especifica el almacén de claves y el almacén de certificados de confianza.
   1. Según tu versión de la IU de Edge, haz lo siguiente:
      1. Si usas la IU clásica de Edge, selecciona APIs > Configuración del entorno.
      2. Si usas la nueva IU de Edge, selecciona Administrador > Entornos.
   2. Selecciona la pestaña Hosts virtuales.
   3. Para el host virtual específico que estás actualizando, selecciona el Mostrar botón para mostrar sus propiedades. La pantalla incluye las siguientes propiedades:
      1. Almacén de claves: Es el nombre del almacén de claves actual, que suele especificarse como una referencia en el formato ref://mykeystoreref.
         
         Como alternativa, se puede especificar con un nombre directo, en el formato myKeystoreName, o con una variable de flujo, en el formato {ssl.keystore}.
      2. Alias de clave. El valor de esta propiedad es el nombre del alias en el almacén de claves. Tu nuevo almacén de claves debe crear un alias con el mismo nombre.
      3. Almacén de confianza: Es el nombre del almacén de confianza actual, si existe, que suele especificarse como una referencia en el formato ref://mytruststoreref.
         
         Como alternativa, se puede especificar con un nombre directo, en el formato myTruststoreName, o con una variable de flujo, en el formato {ssl.truststorestore}.
4. Para un extremo o servidor de destino, determina cómo el extremo de destino especifica el almacén de claves y el almacén de certificados de confianza:
   1. En el menú de la IU de administración de Edge, selecciona APIs.
   2. Selecciona el nombre del proxy de API.
   3. Selecciona la pestaña Desarrollo.
   4. En Extremos de destino, selecciona predeterminado.
   5. En el área de código, aparece la definición de TargetEndpoint. Examine the <SSLInfo> elemento para ver cómo se define el almacén de claves o el almacén de certificados de confianza.
      
      Nota: Si el extremo de destino usa un servidor de destino, la definición XML del extremo de destino aparece como se muestra a continuación, en la que la etiqueta <LoadBalancer> especifica los servidores de destino que usa el proxy de API.

      <TargetEndpoint name="default">
        …
        <HTTPTargetConnection>
          <LoadBalancer>
            <Server name="target1" />
            <Server name="target2" />
          </LoadBalancer>
          <Path>/test</Path>
        </HTTPTargetConnection>
          …
      </TargetEndpoint>

      Examina el elemento <SSLInfo> en la definición del servidor de destino para determinar cómo se define el almacén de claves o el almacén de certificados de confianza.

Actualiza un certificado TLS en un almacén de claves

Cuando vence un certificado de un almacén de claves, no puedes subir un certificado nuevo al almacén de claves. En su lugar, crea un almacén de claves nuevo y sube el certificado. Luego, actualiza tus hosts virtuales o el extremo o el servidor de destino para usar el nuevo almacén de claves.

Por lo general, se crea un almacén de claves nuevo antes de que venza el certificado actual y, luego, se actualizan los hosts virtuales o los extremos de destino para usar el nuevo almacén de claves, de modo que puedas seguir atendiendo solicitudes sin interrupciones debido a un certificado vencido. Luego, puedes borrar el almacén de claves anterior después de asegurarte de que el nuevo almacén de claves funcione correctamente.

Para una implementación de Edge basada en la nube, haz lo siguiente:

1. Crea un almacén de claves nuevo y sube un certificado y una clave como se describe en Crea almacenes de claves y de confianza con la IU de Edge.

   En el nuevo almacén de claves, asegúrate de usar el mismo nombre para el alias de clave que se usó en el almacén de claves existente.

2. ****Para un host virtual** que usa una conexión entrante, es decir, una solicitud a la API en Edge, haz lo siguiente:**
   1. Si tu host virtual usa una referencia al almacén de claves, actualiza la referencia.
   2. Si tu host virtual usa un nombre directo del almacén de claves, comunícate con el equipo de asistencia de Apigee Edge.
3. Para un extremo o servidor de destino que usa una conexión saliente, es decir, de Apigee a un servidor de backend:
   1. Si el extremo o el servidor de destino usan referencias al almacén de claves, actualiza la referencia. No es necesario volver a implementar el proxy.
   2. Si el extremo o el servidor de destino usan una variable de flujo, actualiza la variable de flujo. No es necesario volver a implementar el proxy.

   3. Si el extremo o el servidor de destino usan un nombre directo del almacén de claves, actualiza la configuración del extremo o el servidor de destino para cualquier proxy de API que haga referencia al almacén de claves y al alias de clave anteriores para hacer referencia al nuevo almacén de claves y al alias de clave.

      Luego, debes volver a implementar el proxy.

4. Después de confirmar que tu nuevo almacén de claves funciona correctamente, borra el almacén de claves anterior con el certificado y la clave vencidos.

Actualiza un certificado TLS en un almacén de confianza

Cuando vence un certificado de un almacén de confianza, por lo general, se crea un almacén de confianza nuevo y se sube el certificado, luego, se actualizan los hosts virtuales o el extremo o el servidor de destino para usar el nuevo almacén de confianza.

Si un certificado es parte de una cadena, debes crear un solo archivo que contenga todos los certificados y subir ese archivo a un solo alias, o subir todos los certificados de la cadena por separado al almacén de confianza mediante un alias diferente para cada certificado.

Por lo general, se crea un almacén de confianza nuevo antes de que venza el certificado actual y, luego, se actualizan los hosts virtuales o los extremos de destino para usar el nuevo almacén de confianza, de modo que puedas seguir atendiendo solicitudes sin interrupciones debido a un certificado vencido. Luego, puedes borrar el almacén de certificados de confianza anterior después de asegurarte de que el nuevo almacén de certificados de confianza funcione correctamente.

Para una implementación de Edge basada en la nube, haz lo siguiente:

1. Crea un almacén de certificados de confianza nuevo y sube un certificado como se describe en Crea almacenes de claves y de confianza con la IU de Edge.

   Cuando subes el certificado nuevo al almacén de certificados de confianza nuevo, el nombre del alias no importa.

2. ****Para un host virtual** que usa una conexión entrante, es decir, una solicitud a la API en Edge, haz lo siguiente:**
   1. Si tu host virtual usa una referencia al almacén de confianza, actualiza la referencia.
   2. Si tu host virtual usa un nombre directo del almacén de confianza, comunícate con el equipo de asistencia de Apigee Edge.
3. Para un extremo o servidor de destino que usa una conexión saliente, es decir, de Apigee a un servidor de backend:
   1. Si el extremo o el servidor de destino usan referencias al almacén de certificados de confianza, actualiza la referencia. No es necesario volver a implementar el proxy.
   2. Si el extremo o el servidor de destino usan una variable de flujo, actualiza la variable de flujo. No es necesario volver a implementar el proxy.

   3. Si el extremo o el servidor de destino usan un nombre directo del almacén de certificados de confianza, actualiza la configuración del extremo o el servidor de destino para cualquier proxy de API que haga referencia al almacén de certificados de confianza anterior para hacer referencia al nuevo almacén de claves y al alias de clave.

      Luego, debes volver a implementar el proxy.

4. Después de confirmar que tu nuevo almacén de certificados de confianza funciona correctamente, borra el almacén de confianza anterior con el certificado vencido.