Atualizar um certificado TLS para a nuvem privada

Esta é a documentação do Apigee Edge.
Acesse Documentação da Apigee X. informações

O método usado para especificar o nome do keystore e truststore no host virtual ou no endpoint de destino/servidor de destino determina como você executa a atualização do certificado. É possível especificar nome do keystore e do truststore usando:

  • Referências (preferido)
  • Nomes diretos
  • Variáveis de fluxo

Cada um desses métodos tem repercussões diferentes na atualização de certificados, conforme descrito em na tabela a seguir.

Tipo de configuração Como atualizar/substituir um certificado Como atualizar o host virtual e o endpoint/servidor de destino
Referência (recomendado) No caso de keystore, crie um novo keystore com um novo nome e um alias com mesmo nome do antigo.

Para uma truststore, crie um truststore com um novo nome.

 Atualize a referência do keystore ou truststore.

Não é necessário reiniciar o Roteador ou o Processador de mensagens.
Variáveis de fluxo (somente endpoint de destino) Para um keystore, crie um novo keystore com um novo nome e um alias com o mesmo nome ou com um novo nome.

Para uma truststore, crie um truststore com um novo nome.

 Transmita o var de fluxo atualizado em cada solicitação com o nome do novo keystore, alias ou truststore.

Não é necessário reiniciar o Roteador ou o Processador de mensagens.
Direto Crie um novo keystore, alias, truststore. Atualize o host virtual e reinicie os roteadores.

Se o truststore for usado por um endpoint/servidor de destino, reimplante o proxy.
Direto Exclua o repositório de chaves ou o truststore e recrie-o com o mesmo nome. Não é necessário atualizar o host virtual nem reiniciar o roteador. No entanto, as solicitações de API falham até que o novo keystore e o alias sejam definidos.

Se o keystore for usado para TLS bidirecional entre o Edge e o serviço de back-end, reinicie os processadores de mensagens.
Direto Apenas para truststore, faça upload de um novo certificado para o truststore. Se o truststore for usado por um host virtual, reinicie os Roteadores.

Se o truststore for usado por um endpoint/servidor de destino de destino, reinicie a mensagem Processadores.

Teste o certificado antes e depois do atualizar

Use os comandos openssl a seguir para testar o certificado atual antes de atualizar. ele:

echo | openssl s_client -servername hostAlias -connect hostAlias.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

Em que hostAlias é o alias de host do host virtual ou do endereço IP. Exemplo:

echo | openssl s_client -servername api.myCompany.com -connect api.myCompany.com:443 2>/dev/null | openssl x509 -noout -dates -subject

Você verá a saída no formulário:

notBefore=Dec 30 22:11:38 2015 GMT
notAfter=Dec 30 22:11:38 2016 GMT
subject= /OU=Domain Control Validated/CN=*.apigee.net

Use o mesmo comando depois de atualizar o certificado para testá-lo.

Atualizar um certificado TLS em um keystore

Para uma implantação local do Edge:

  1. Crie um novo keystore e faça upload de um certificado e uma chave conforme descrito em Keystores e Truststores. No novo keystore, use o mesmo nome do alias de chave que foi usado no repositório de chaves atual.

    Observação: é possível excluir o keystore atual e criar um novo com o mesmo e alias. Não é necessário reiniciar o roteador. No entanto, as solicitações de API falham até que o novo keystore e alias forem definidos.
  2. Para um host virtual usado por conexões de entrada, ou seja, uma solicitação de API no Edge:
    1. Se o host virtual usar uma referência ao keystore, atualize a referência como descritas em Trabalho com referências.
    2. Se o host virtual usar um nome direto do keystore:
      1. Atualize os hosts virtuais que faziam referência ao keystore e ao alias de chave antigos para referenciar o novo keystore e o alias da chave.
      2. Reinicie os roteadores, um de cada vez. Observe que, se você excluiu o keystore antigo e criar um novo keystore com o mesmo nome, não será necessário reiniciar o roteador.

        Nenhuma reimplantação do proxy é necessária.
  3. Para um endpoint/servidor de destino usado por conexões de saída, ou seja, da Apigee para um servidor de back-end:
    1. Se o endpoint/servidor de destino usar referências ao keystore, atualize o conforme descrito em Como trabalhar com referências. Nenhuma reimplantação do proxy é necessária.
    2. Se o endpoint/servidor de destino usar uma variável de fluxo, atualize essa variável. Não e uma reimplantação do proxy será necessária.
    3. Se o endpoint/servidor de destino usar um nome direto do keystore:
      1. Atualize a configuração do endpoint/servidor de destino para todos os proxies de API que fez referência ao keystore e ao alias de chave antigos para referenciar o novo keystore e a chave alias.
      2. Para qualquer proxy de API que faça referência ao keystore de uma definição de TargetEndpoint, reimplante o proxy.

        Se o TargetEndpoint se referir a uma definição de TargetServer, e o TargetServer referência fizer referência ao keystore, nenhuma reimplantação do proxy será necessária.
      3. Se o keystore for usado para TLS bidirecional entre o Edge e o serviço de back-end e você excluiu/recriou o keystore com o mesmo nome, terá que reiniciar o Edge Processadores de mensagens
  4. Depois de confirmar que seu novo keystore está funcionando corretamente, exclua o antigo com o certificado e a chave expirados, conforme descrito acima.

Atualizar um certificado TLS em um truststore

Se você estiver usando referências ao truststore, o processo de atualização de um certificado em um truststore é o mesmo que para um keystore mostrado acima. As únicas diferenças são:

  • Quando você faz upload do novo certificado para o novo truststore, o nome do alias não importa para truststores.
  • Se um certificado fizer parte de uma cadeia, você precisará criar um único arquivo contendo todas as e faça upload desse arquivo para um único alias ou faça upload de todos os certificados na cadeia separadamente para o truststore usando um alias diferente para cada certificado.

Se você estiver usando nomes diretos dos seus keystores e truststores:

  1. Faça upload de um novo certificado para o truststore conforme descrito em Keystores e Truststores. Não é necessário excluir o certificado antigo.
  2. Para um host virtual usado por conexões de entrada, ou seja, uma solicitação de API ao Edge, reinicie um roteador de cada vez.
  3. No caso de um endpoint/servidor de destino usado por conexões de saída, da Apigee para um servidor de back-end, reinicie os processadores de mensagens de borda, um de cada vez, tempo de resposta.
  4. Confirme se o novo truststore está funcionando corretamente.