Cloud için TLS sertifikası güncelleme

Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. bilgi

Sanal ana makinede veya hedef uç noktadaki/hedef sunucuda anahtar deposu ve güven deposunun adını belirtmek için kullandığınız yöntem, sertifika güncellemesini nasıl gerçekleştireceğinizi belirler. Anahtar deposunun ve güven deposunun adını aşağıdakileri kullanarak belirtebilirsiniz:

• Referanslar (tercih edilen)
• Doğrudan isimler
• Akış değişkenleri

Bu yöntemlerin her birinin, aşağıdaki tabloda açıklandığı gibi sertifika güncelleme işleminde farklı sonuçları vardır.

Yapılandırma türü	Sertifika güncelleme/değiştirme	Sanal ana makine, hedef uç nokta/hedef sunucu nasıl güncellenir?
Referans (önerilir)	Bir anahtar deposu için yeni bir ada ve eski takma adla aynı ada sahip bir takma adla yeni anahtar deposu oluşturun. Truststore için yeni bir ada sahip bir güven deposu oluşturun.	Referansı anahtar deposu veya güven deposu olarak güncelleyin. Apigee Edge Desteği ile iletişime geçmenize gerek yoktur.
Akış değişkenleri (yalnızca hedef uç nokta)	Anahtar deposu için yeni bir adla ve aynı ada veya yeni bir ada sahip bir takma adla yeni anahtar deposu oluşturun. Truststore için yeni bir ada sahip bir güven deposu oluşturun.	Her istekte yeni anahtar deposu, takma ad veya güven deposunun adıyla güncellenmiş akış değişkenini iletin. Apigee Edge Desteği ile iletişime geçmenize gerek yoktur.
Doğrudan	Yeni bir anahtar deposu, takma ad veya güven deposu oluşturun.	Sanal ana makinelerde Yönlendiricileri yeniden başlatmak üzere Apigee Edge Destek Ekibi ile iletişime geçin. Truststore bir hedef uç nokta/hedef sunucu tarafından kullanılıyorsa proxy'yi yeniden dağıtın.
Doğrudan	Anahtar deposunu veya güven deposunu silin ve aynı adla yeniden oluşturun.	Sanal ana makine güncellemesi gerekmez. Ancak yeni anahtar deposu ve takma ad ayarlanana kadar API istekleri başarısız olur. Anahtar deposu, Edge ile arka uç hizmeti arasında iki yönlü TLS için kullanılıyorsa Mesaj İşleyicileri yeniden başlatmak için Apigee Edge Destek Ekibi ile iletişime geçin.
Doğrudan	Yalnızca güven deposu için güven deposuna yeni bir sertifika yükleyin.	Sanal ana makinelerde uç yönlendiricileri yeniden başlatmak için Apigee Edge Destek Ekibi ile iletişime geçin. Truststore, bir hedef uç nokta/hedef sunucu tarafından kullanılıyorsa Mesaj İşleyicilerini yeniden başlatmak için Apigee Edge Destek Ekibi ile iletişime geçin.

Sertifikayı güncellemeden önce ve sonra test etme

Geçerli sertifikayı güncellemeden önce test etmek için aşağıdaki openssl komutlarını kullanın:

echo | openssl s_client -servername HOSTNAME -connect ORG-ENV.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

Burada HOSTNAME ana makine takma adı, ORG-ENV ise kuruluş ve ortamdır. Örneğin:

echo | openssl s_client -servername example.com -connect myOrg-prod.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

Çıkışı şu biçimde görmeniz gerekir:

notBefore=Dec 30 22:11:38 2015 GMT
notAfter=Dec 30 22:11:38 2016 GMT
subject= /OU=Domain Control Validated/CN=*.apigee.net

Sertifikayı güncelledikten sonra test etmek için aynı komutu kullanın.

Sanal ana makinenizin veya hedef uç noktanızın/hedef sunucunuzun, anahtar deposuna ve güven deposuna nasıl referans verdiğini belirleyin

1. https://enterprise.apigee.com adresinden Edge yönetim kullanıcı arayüzüne giriş yapın.
2. Edge yönetim kullanıcı arayüzü menüsünde kuruluşunuzun adını seçin.
3. Sanal ana makine için sanal ana makinenin anahtar deposunu ve güven deposunu nasıl belirttiğini belirleyin.
   1. Edge kullanıcı arayüzü sürümünüze bağlı olarak:
      1. Klasik Edge kullanıcı arayüzünü kullanıyorsanız: API'ler > Ortam Yapılandırması'nı seçin.
      2. New Edge kullanıcı arayüzünü kullanıyorsanız: Yönetici > Ortamlar'ı seçin.
   2. Virtual Hosts (Sanal Ana Makineler) sekmesini seçin.
   3. Güncellediğiniz sanal ana makinenin özelliklerini görüntülemek için Göster düğmesini seçin. Ekran aşağıdaki özellikleri içerir:
      1. Anahtar Deposu: Geçerli anahtar deposunun adı; genellikle ref://mykeystoreref öğesinde referans olarak belirtilir.
         
         Alternatif olarak, myKeystoreName biçiminde bir doğrudan adla veya {ssl.keystore} biçiminde bir akış değişkeniyle belirtilebilir.
      2. Anahtar Takma Adı. Bu özelliğin değeri, anahtar deposundaki takma addır. Yeni anahtar deponuz aynı ada sahip bir takma ad oluşturmalıdır.
      3. Trust Store: Mevcut güven deposunun adı (varsa). Genellikle ref://mytruststoreref öğesinde referans olarak belirtilir.
         
         Alternatif olarak, myTruststoreName biçiminde bir doğrudan adla veya {ssl.truststorestore} biçiminde bir akış değişkeniyle belirtilebilir.
4. Hedef uç nokta/hedef sunucu için hedef uç noktanın anahtar deposunu ve güven deposunu nasıl belirttiğini belirleyin:
   1. Edge yönetim kullanıcı arayüzü menüsünde API'ler seçeneğini belirleyin.
   2. API proxy'sinin adını seçin.
   3. Geliştirme sekmesini seçin.
   4. Hedef Uç Noktalar bölümünde varsayılan'ı seçin.
   5. Kod alanında TargetEndpoint tanımı görünür. Anahtar deposu/güvenilir deponun nasıl tanımlandığını görmek için <SSLInfo> öğesini inceleyin.
      
      Not: Hedef uç nokta, hedef sunucu kullanıyorsa hedef uç noktanın XML tanımı aşağıdaki gibi görünür. Burada <LoadBalancer> etiketi, API proxy'si tarafından kullanılan hedef sunucuları belirtir.

      <TargetEndpoint name="default">
        …
        <HTTPTargetConnection>
          <LoadBalancer>
            <Server name="target1" />
            <Server name="target2" />
          </LoadBalancer>
          <Path>/test</Path>
        </HTTPTargetConnection>
          …
      </TargetEndpoint>

      Anahtar deposunun/güvenilir deponun nasıl tanımlandığını belirlemek için hedef sunucu tanımındaki <SSLInfo> öğesini inceleyin.

Anahtar deposunda TLS sertifikası güncelleme

Anahtar deposundaki bir sertifikanın süresi dolduğunda, anahtar deposuna yeni bir sertifika yükleyemezsiniz. Bunun yerine yeni bir anahtar deposu oluşturup sertifikayı yükleyin, ardından sanal ana makinelerinizi veya hedef sunucu/hedef uç noktanızı yeni anahtar deposunu kullanacak şekilde güncelleyin.

Genellikle, geçerli sertifikanın süresi dolmadan önce yeni bir anahtar deposu oluşturur ve ardından sanal ana makinelerinizi veya hedef uç noktalarınızı yeni anahtar deposunu kullanacak şekilde güncellersiniz. Böylece, süresi dolmuş bir sertifika nedeniyle hizmet isteklerine kesinti olmadan devam edebilirsiniz. Ardından, yeni anahtar deposunun düzgün çalıştığından emin olduktan sonra eski anahtar deposunu silebilirsiniz.

Bulut tabanlı bir Edge dağıtımı için:

1. Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güven deposu oluşturma bölümünde açıklandığı gibi yeni bir anahtar deposu oluşturun ve bir sertifika ile anahtar yükleyin.

   Yeni anahtar deposunda anahtar takma adı için mevcut anahtar deposunda kullanılanla aynı adı kullandığınızdan emin olun.

2. Gelen bağlantı tarafından kullanılan sanal ana makine için, yani Edge'e yapılan bir API isteği için:
   1. Sanal ana makineniz anahtar deposuna bir başvuru kullanıyorsa referansı güncelleyin.
   2. Sanal ana makineniz anahtar deposunun doğrudan adını kullanıyorsa Apigee Edge Destek Ekibi ile iletişime geçin.
3. Giden bir bağlantı tarafından kullanılan hedef uç nokta/hedef sunucu için, yani Apigee'den arka uç sunucusuna:
   1. Hedef uç nokta/hedef sunucu, anahtar deposuna bir referans kullanıyorsa referansı güncelleyin. Proxy yeniden dağıtımına gerek yoktur.
   2. Hedef uç nokta/hedef sunucu bir akış değişkeni kullanıyorsa akış değişkenini güncelleyin. Proxy yeniden dağıtımı gerekmez.

   3. Hedef uç nokta/hedef sunucu anahtar deposunun doğrudan adını kullanıyorsa eski anahtar deposuna ve anahtar takma adına başvuran API proxy'leri için hedef uç nokta/hedef sunucu yapılandırmasını yeni anahtar deposuna ve anahtar takma adına referans verecek şekilde güncelleyin.

      Ardından proxy'yi yeniden dağıtmanız gerekir.

4. Yeni anahtar deponuzun doğru şekilde çalıştığını onayladıktan sonra süresi dolmuş sertifika ve anahtarın bulunduğu eski anahtar deposunu silin.

Güven deposunda TLS sertifikası güncelleme

Güven deposundaki bir sertifikanın süresi dolduğunda, genellikle yeni bir güven deposu oluşturup sertifikayı yüklersiniz. Ardından sanal ana makinelerinizi veya hedef sunucu/hedef uç noktanızı yeni güven deposunu kullanacak şekilde güncellersiniz.

Bir sertifika bir zincirin parçasıysa tüm sertifikaları içeren tek bir dosya oluşturup bu dosyayı tek bir takma ada yüklemeniz veya zincirdeki tüm sertifikaları, her sertifika için farklı bir takma ad kullanarak güven deposuna ayrı olarak yüklemeniz gerekir.

Genellikle, geçerli sertifikanın süresi dolmadan önce yeni bir güven deposu oluşturur ve ardından sanal ana makinelerinizi veya hedef uç noktalarınızı yeni güven deposunu kullanacak şekilde güncellersiniz. Böylece, süresi dolmuş bir sertifika nedeniyle hizmet isteklerine kesinti olmadan devam edebilirsiniz. Ardından, yeni güven deposunun doğru çalıştığından emin olduktan sonra eski güven deposunu silebilirsiniz.

Bulut tabanlı bir Edge dağıtımı için:

1. Edge kullanıcı arayüzünü kullanarak anahtar depoları ve güven deposu oluşturma bölümünde açıklandığı gibi yeni bir güven deposu oluşturun ve bir sertifika yükleyin.

   Yeni sertifikayı yeni güven deposuna yüklediğinizde takma adın önemi kalmaz.

2. Gelen bağlantı tarafından kullanılan sanal ana makine için, yani Edge'e yapılan bir API isteği için:
   1. Sanal ana makineniz güven deposuna bir referans kullanıyorsa referansı güncelleyin.
   2. Sanal ana makineniz güven deposunun doğrudan adını kullanıyorsa Apigee Edge Destek Ekibi ile iletişime geçin.
3. Giden bir bağlantı tarafından kullanılan hedef uç nokta/hedef sunucu için, yani Apigee'den arka uç sunucusuna:
   1. Hedef uç nokta/hedef sunucu, güven deposuna bir referans kullanıyorsa referansı güncelleyin. Proxy yeniden dağıtımına gerek yoktur.
   2. Hedef uç nokta/hedef sunucu bir akış değişkeni kullanıyorsa akış değişkenini güncelleyin. Proxy yeniden dağıtımı gerekmez.

   3. Hedef uç nokta/hedef sunucu güven deposunun doğrudan adını kullanıyorsa eski güven deposuna başvuruda bulunan API proxy'leri için hedef uç nokta/hedef sunucu yapılandırmasını yeni anahtar deposuna ve anahtar takma adına referans verecek şekilde güncelleyin.

      Ardından proxy'yi yeniden dağıtmanız gerekir.

4. Yeni güven deponuzun doğru çalıştığını onayladıktan sonra süresi dolmuş sertifikaya sahip eski güven deposunu silin.