به‌روزرسانی گواهینامه «امنیت لایه انتقال» برای Cloud

درحال مشاهده اسناد Apigee Edge هستید.
به اسناد Apigee X بروید. اطلاعات

روشی که برای مشخص کردن نام انبار کلید و انبار اعتماد در میزبان مجازی یا نقطه پایانی هدف/سرور هدف استفاده می‌کنید تعیین می‌کند که چگونه به‌روزرسانی گواهینامه را انجام دهید. بااستفاده از موارد زیر می‌توانید نام انبار کلید و انبار اعتماد را مشخص کنید:

• مرجع‌ها - ترجیحی
• نام‌های مستقیم
• متغیرهای جریان

هریک از این روش‌ها پیامدهای متفاوتی بر فرایند به‌روزرسانی گواهینامه دارد، همان‌طور که در جدول زیر توضیح داده شده است.

آزمایش گواهینامه قبل و بعداز به‌روزرسانی

برای آزمایش گواهینامه فعلی قبل‌از به‌روزرسانی آن، از فرمان‌های openssl زیر استفاده کنید:

echo | openssl s_client -servername HOSTNAME -connect ORG-ENV.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

که در آن HOSTNAME نام مستعار میزبان و ORG-ENV سازمان و محیط است. برای مثال:

echo | openssl s_client -servername example.com -connect myOrg-prod.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

باید برونداد را به این شکل ببینید:

notBefore=Dec 30 22:11:38 2015 GMT
notAfter=Dec 30 22:11:38 2016 GMT
subject= /OU=Domain Control Validated/CN=*.apigee.net

پس‌از به‌روز کردن گواهینامه، از همان فرمان برای آزمایش آن استفاده کنید.

تعیین کنید که چگونه میزبان مجازی یا نقطه پایانی هدف/سرور هدف به keystore و truststore ارجاع می‌دهد

1. در https://enterprise.apigee.com به سیستم واسط کاربر مدیریت Edge وارد شوید.
2. در منو «واسط کاربر مدیریت Edge»، نام سازمانتان را انتخاب کنید.
3. برای میزبان مجازی، تعیین کنید که میزبان مجازی چگونه keystore و truststore را مشخص می‌کند.
   1. بسته به نسخه «میانای کاربر Edge» شما:
      1. اگر از واسط کاربر Classic Edge استفاده می‌کنید: APIs > Environment Configuration (میاناهای برنامه‌سازی کاربردی > پیکربندی محیط) را انتخاب کنید.
      2. اگر از واسط کاربر Edge جدید استفاده می‌کنید: سرپرست > محیط‌ها را انتخاب کنید.
   2. برگه میزبانان مجازی را انتخاب کنید.
   3. برای میزبان مجازی خاصی که درحال به‌روزرسانی آن هستید، دکمه نمایش را انتخاب کنید تا ویژگی‌های آن نمایش داده شود. نمایش شامل ویژگی‌های زیر است:
      1. Key Store (فروشگاه کلید): نام فروشگاه کلید فعلی که معمولاً به‌عنوان مرجع در ref://mykeystoreref مشخص می‌شود.
         
         یا اینکه ممکن است با نام مستقیم، به‌صورت myKeystoreName، مشخص شده باشد، یا ممکن است با متغیر جریان، به‌صورت {ssl.keystore}، مشخص شده باشد.
      2. نام مستعار کلید. مقدار این دارایی نام مستعار در انبار کلید است. انبار کلید جدید شما باید نام مستعاری با همان نام ایجاد کند.
      3. Trust Store (فروشگاه مطمئن): نام فروشگاه مطمئن فعلی، درصورت وجود، معمولاً به‌عنوان مرجع در ref://mytruststoreref مشخص می‌شود.
         
         یا اینکه ممکن است با نام مستقیم، به‌صورت myTruststoreName، مشخص شده باشد، یا ممکن است با متغیر جریان، به‌صورت {ssl.truststorestore}، مشخص شده باشد.
4. برای نقطه پایانی هدف/سرور هدف، تعیین کنید که نقطه پایانی هدف چگونه فروشگاه کلید و فروشگاه اطمینان را مشخص می‌کند:
   1. در منو «واسط کاربر مدیریت Edge»، میاناهای برنامه‌سازی کاربردی را انتخاب کنید.
   2. نام پراکسی API را انتخاب کنید.
   3. برگه توسعه را انتخاب کنید.
   4. در بخش نقطه‌های پایانی هدف، پیش‌فرض را انتخاب کنید.
   5. در ناحیه کد، تعریف TargetEndpoint ظاهر می‌شود. عنصر <SSLInfo> را بررسی کنید تا ببینید keystore/truststore چگونه تعریف شده است.
      
      توجه: اگر نقطه پایان هدف از سرور هدف استفاده می‌کند، تعریف XML نقطه پایان هدف به‌صورت زیر نشان داده می‌شود، در اینجا برچسب <LoadBalancer> سرورهای هدف مورد استفاده میانای برنامه کاربردی پروکسی را مشخص می‌کند.

      <TargetEndpoint name="default">
        …
        <HTTPTargetConnection>
          <LoadBalancer>
            <Server name="target1" />
            <Server name="target2" />
          </LoadBalancer>
          <Path>/test</Path>
        </HTTPTargetConnection>
          …
      </TargetEndpoint>

      عنصر <SSLInfo> را در تعریف سرور هدف بررسی کنید تا نحوه تعریف انبار کلید/انبار اعتماد را تعیین کنید.

به‌روزرسانی گواهینامه «امنیت لایه انتقال» در انبار کلید

وقتی گواهینامه‌ای در انبار کلید منقضی می‌شود، نمی‌توانید گواهینامه جدیدی را در انبار کلید بارگذاری کنید. درعوض، شما انبار کلید جدیدی ایجاد می‌کنید و گواهینامه را بارگذاری می‌کنید، سپس میزبان‌های مجازی یا سرور هدف/نقطه پایانی هدف را به‌روزرسانی می‌کنید تا از انبار کلید جدید استفاده کنید.

معمولاً، قبل‌از منقضی شدن گواهینامه فعلی، یک انبار کلید جدید ایجاد می‌کنید و سپس میزبان‌های مجازی یا نقطه‌های پایانی هدف را به‌روزرسانی می‌کنید تا از انبار کلید جدید استفاده کنند تا بتوانید بدون وقفه به‌دلیل منقضی شدن گواهینامه به درخواست‌های خدمات ادامه دهید. سپس می‌توانید انبار کلید قدیمی را پس‌از اطمینان از عملکرد صحیح انبار کلید جدید حذف کنید.

برای استقرار ابری Edge:

1. انبار کلید جدیدی ایجاد کنید و گواهی و کلید را همان‌طور که در ایجاد انبار کلید و انبار اعتماد بااستفاده از میانای کاربر Edge توضیح داده شده است بارگذاری کنید.

   در انبار کلید جدید، مطمئن شوید که از همان نام مستعار کلید که در انبار کلید موجود استفاده شده است استفاده می‌کنید.

2. برای میزبان مجازی که توسط اتصال ورودی استفاده می‌شود، یعنی درخواست میانای برنامه‌سازی کاربردی به Edge:
   1. اگر میزبان مجازی شما از مرجعی برای انبار کلید استفاده می‌کند، مرجع را به‌روز کنید.
   2. اگر میزبان مجازی شما از نام مستقیم انبار کلید استفاده می‌کند، با پشتیبانی Apigee Edge تماس بگیرید.
3. برای نقطه پایانی هدف/سرور هدف که توسط اتصال خروجی استفاده می‌شود، یعنی از Apigee به سرور پشتیبان:
   1. اگر نقطه پایانی مقصد/سرور مقصد از مرجع‌های فروشگاه کلید استفاده می‌کند، مرجع را به‌روز کنید. استقرار مجدد پراکسی لازم نیست.
   2. اگر نقطه پایانی هدف/سرور هدف از متغیر جاری استفاده می‌کند، متغیر جاری را به‌روز کنید. بازاستقرار کارگزار لازم نیست.

   3. اگر نقطه پایانی هدف/سرور هدف از نام مستقیم انبار کلید استفاده می‌کند، پیکربندی نقطه پایانی هدف/سرور هدف را برای هریک از پراکسی‌های میانای برنامه‌سازی کاربردی که به انبار کلید قدیمی و نام مستعار کلید ارجاع می‌دادند به‌روز کنید تا به انبار کلید جدید و نام مستعار کلید ارجاع دهند.

      سپس باید پراکسی را دوباره مستقر کنید.

4. پس‌از اینکه مطمئن شدید انبار کلید جدیدتان به‌درستی کار می‌کند، انبار کلید قدیمی را که گواهینامه و کلید منقضی‌شده دارد حذف کنید.

به‌روزرسانی گواهینامه «امنیت لایه انتقال» در مخزن اعتماد

وقتی گواهینامه‌ای در مخزن اعتماد منقضی می‌شود، معمولاً مخزن اعتماد جدیدی ایجاد می‌کنید و گواهینامه را بارگذاری می‌کنید، سپس میزبان‌های مجازی یا سرور هدف/نقطه پایان هدف را به‌روزرسانی می‌کنید تا از مخزن اعتماد جدید استفاده کنند.

اگر گواهینامه‌ای بخشی از یک زنجیره باشد، باید یا یک فایل واحد حاوی همه گواهینامه‌ها ایجاد کنید و آن فایل را در یک نام مستعار بارگذاری کنید، یا همه گواهینامه‌های زنجیره را به‌صورت جداگانه در مخزن اعتماد بارگذاری کنید و برای هر گواهینامه از نام مستعار متفاوتی استفاده کنید.

معمولاً قبل‌از منقضی شدن گواهینامه فعلی، یک truststore جدید ایجاد می‌کنید و سپس میزبان‌های مجازی یا نقاط پایانی هدف را به‌روزرسانی می‌کنید تا از truststore جدید استفاده کنند و بتوانید بدون وقفه ناشی از گواهینامه منقضی‌شده به درخواست‌های سرویس ادامه دهید. سپس می‌توانید فروشگاه امین قدیمی را پس‌از اطمینان از عملکرد صحیح فروشگاه امین جدید حذف کنید.

برای استقرار ابری Edge:

1. ‫truststore جدیدی ایجاد کنید و گواهی را همان‌طور که در ایجاد keystore و truststore بااستفاده از میانای کاربر Edge توضیح داده شده است بارگذاری کنید.

   وقتی گواهینامه جدید را در مخزن اعتماد جدید بارگذاری می‌کنید، نام مستعار مهم نیست.

2. برای میزبان مجازی که توسط اتصال ورودی استفاده می‌شود، یعنی درخواست میانای برنامه‌سازی کاربردی به Edge:
   1. اگر میزبان مجازی شما از مرجعی برای مخزن اعتماد استفاده می‌کند، مرجع را به‌روز کنید.
   2. اگر میزبان مجازی شما از نام مستقیم فروشگاه مطمئن استفاده می‌کند، با پشتیبانی Apigee Edge تماس بگیرید.
3. برای نقطه پایانی مقصد/سرور مقصد که توسط اتصال خروجی استفاده می‌شود، یعنی از Apigee به سرور پشتیبان:
   1. اگر نقطه پایانی مقصد/سرور مقصد از مرجع‌هایی به مخزن اعتماد استفاده می‌کند، مرجع را به‌روزرسانی کنید. استقرار مجدد پراکسی لازم نیست.
   2. اگر نقطه پایانی هدف/سرور هدف از متغیر جاری استفاده می‌کند، متغیر جاری را به‌روز کنید. بازاستقرار کارگزار لازم نیست.

   3. اگر نقطه پایانی هدف/سرور هدف از نام مستقیم truststore استفاده می‌کند، پیکربندی نقطه پایانی هدف/سرور هدف را برای هر پراکسی API که به truststore قدیمی ارجاع می‌دهد به‌روز کنید تا به keystore جدید و نام مستعار کلید ارجاع دهد.

      سپس باید پراکسی را دوباره مستقر کنید.

4. پس‌از اینکه مطمئن شدید مخزن اعتماد جدیدتان به‌درستی کار می‌کند، مخزن اعتماد قدیمی را که گواهینامه منقضی‌شده دارد حذف کنید.