Standardmäßig ist TLS für die Verwaltungs-API deaktiviert und Sie greifen über HTTP mithilfe der IP-Adresse des Verwaltungsserver-Knotens und des Ports 8080 über HTTP auf die Edge-Verwaltungs-API zu. Beispiel:
http://ms_IP:8080
Alternativ können Sie den TLS-Zugriff auf die Verwaltungs-API so konfigurieren, dass Sie folgendermaßen darauf zugreifen können:
https://ms_IP:8443
In diesem Beispiel konfigurieren Sie den TLS-Zugriff für die Verwendung von Port 8443. Diese Portnummer ist für Edge jedoch nicht erforderlich – Sie können den Management Server so konfigurieren, dass andere Portwerte verwendet werden. Die einzige Voraussetzung besteht darin, dass Ihre Firewall Traffic über den angegebenen Port zulässt.
Konfigurieren Sie die Einstellungen in der Datei /opt/apigee/customer/application/management-server.properties
, um die Trafficverschlüsselung zu und von Ihrer Verwaltungs-API sicherzustellen.
Zusätzlich zur TLS-Konfiguration können Sie auch die Passwortvalidierung (Passwortlänge und -stärke) steuern, indem Sie die Datei management-server.properties
ändern.
Achten Sie darauf, dass Ihr TLS-Port offen ist
Mit der Anleitung in diesem Abschnitt wird TLS für die Verwendung von Port 8443 auf dem Verwaltungsserver konfiguriert. Unabhängig vom verwendeten Port muss der Port auf dem Verwaltungsserver offen sein. Sie können sie beispielsweise mit dem folgenden Befehl öffnen:
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose
TLS konfigurieren
Bearbeiten Sie die Datei /opt/apigee/customer/application/management-server.properties
, um die Verwendung von TLS für den Traffic zu und von Ihrer Verwaltungs-API zu steuern. Wenn diese Datei nicht vorhanden ist, erstellen Sie sie.
So konfigurieren Sie den TLS-Zugriff auf die Verwaltungs-API:
- Generieren Sie die JKS-Datei für den Schlüsselspeicher, die Ihre TLS-Zertifizierung und Ihren privaten Schlüssel enthält. Weitere Informationen finden Sie unter TLS/SSL für lokale Edge-Geräte konfigurieren.
- Kopieren Sie die Schlüsselspeicher-JKS-Datei in ein Verzeichnis auf dem Verwaltungsserver-Knoten wie
/opt/apigee/customer/application
. - Ändern Sie die Eigentümerschaft der JKS-Datei in den Nutzer „apigee“:
chown apigee:apigee keystore.jks
Dabei ist keystore.jks der Name Ihrer Schlüsselspeicherdatei.
- Bearbeiten Sie
/opt/apigee/customer/application/management-server.properties
, um die folgenden Attribute festzulegen. Wenn die Datei nicht vorhanden ist, erstellen Sie sie:conf_webserver_ssl.enabled=true # Leave conf_webserver_http.turn.off set to false # because many Edge internal calls use HTTP. conf_webserver_http.turn.off=false conf_webserver_ssl.port=8443 conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks # Enter the obfuscated keystore password below. conf_webserver_keystore.password=OBF:obfuscatedPassword
Dabei ist keyStore.jks Ihre Schlüsselspeicherdatei und obfuscatedPassword Ihr verschleiertes Schlüsselspeicherpasswort. Informationen zum Generieren eines verschleierten Passworts finden Sie unter TLS/SSL für lokale Edge-Geräte konfigurieren.
- Starten Sie den Edge-Verwaltungsserver mit dem folgenden Befehl neu:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
Die Management API unterstützt jetzt den Zugriff über TLS.
Konfigurieren Sie die Edge-Benutzeroberfläche so, dass für den Zugriff auf die Edge API TLS verwendet wird
Im obigen Verfahren empfahl Apigee, conf_webserver_http.turn.off=false
beizubehalten, damit die Edge-Benutzeroberfläche weiterhin Edge-API-Aufrufe über HTTP ausführen kann.
Verwenden Sie das folgende Verfahren, um die Edge-Benutzeroberfläche so zu konfigurieren, dass diese Aufrufe nur über HTTPS erfolgen:
- Konfigurieren Sie den TLS-Zugriff auf die Verwaltungs-API wie oben beschrieben.
- Nachdem Sie bestätigt haben, dass TLS für die Verwaltungs-API funktioniert, bearbeiten Sie
/opt/apigee/customer/application/management-server.properties
, um das folgende Attribut festzulegen:conf_webserver_http.turn.off=true
- Starten Sie den Edge-Management-Server neu, indem Sie den folgenden Befehl ausführen:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
- Bearbeiten Sie
/opt/apigee/customer/application/ui.properties
, um die folgende Eigenschaft für die Edge-Benutzeroberfläche festzulegen:conf_apigee_apigee.mgmt.baseurl="https://FQ_domain_name:port/v1"
Dabei ist FQ_domain_name der vollständige Domainname gemäß Ihrer Zertifikatsadresse des Verwaltungsservers und port der oben in
conf_webserver_ssl.port
angegebene Port.Wenn ui.properties nicht vorhanden ist, wird sie erstellt.
- Nur wenn Sie beim Konfigurieren des TLS-Zugriffs auf die Verwaltungs-API oben ein selbst signiertes Zertifikat verwendet haben (in einer Produktionsumgebung nicht empfohlen) fügen Sie
ui.properties
das folgende Attribut hinzu:conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true
Andernfalls lehnt die Edge-Benutzeroberfläche ein selbst signiertes Zertifikat ab.
- Starten Sie die Edge-Benutzeroberfläche neu, indem Sie den folgenden Befehl ausführen:
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart
TLS-Attribute für den Verwaltungsserver
In der folgenden Tabelle sind alle TLS/SSL-Attribute aufgeführt, die Sie in management-server.properties
festlegen können:
Attribute | Beschreibung |
---|---|
|
Der Standardwert ist 8080. |
|
Zum Aktivieren/Deaktivieren von TLS/SSL. Wenn TLS/SSL aktiviert ist (true), müssen Sie auch die Attribute „ssl.port“ und „keystore.path“ festlegen. |
|
Zum Aktivieren/Deaktivieren von HTTP zusammen mit HTTPS. Wenn Sie nur HTTPS verwenden möchten, behalten Sie den Standardwert |
|
Der TLS/SSL-Port. Erforderlich, wenn TLS/SSL aktiviert ist ( |
|
Der Pfad zu Ihrer Schlüsselspeicherdatei. Erforderlich, wenn TLS/SSL aktiviert ist ( |
|
Verwenden Sie ein verschleiertes Passwort im folgenden Format: OBF:xxxxxxxxxx |
|
Optionaler Alias für Schlüsselspeicherzertifikat |
|
Wenn Ihr Schlüsselmanager ein Passwort hat, geben Sie eine verschleierte Version des Passworts in diesem Format ein: OBF:xxxxxxxxxx |
|
Konfigurieren Sie die Einstellungen für Ihren Trust Store. Legen Sie fest, ob Sie alle TLS/SSL-Zertifikate akzeptieren möchten (z. B. nicht standardmäßige Typen). Der Standardwert ist OBF:xxxxxxxxxx |
|
Geben Sie alle Chiffresammlungen an, die Sie ein- oder ausschließen möchten. Wenn Sie beispielsweise eine Sicherheitslücke in einer Chiffre entdecken, können Sie diese hier ausschließen. Trennen Sie mehrere Chiffren durch Kommas. Alle Chiffren, die Sie über die schwarze Liste entfernen, haben Vorrang vor allen Chiffren, die auf der weißen Liste enthalten sind. Hinweis:Wenn keine schwarze oder weiße Liste angegeben ist, werden Chiffren, die mit dem folgenden regulären Java-Ausdruck übereinstimmen, standardmäßig ausgeschlossen. ^.*_(MD5|SHA|SHA1)$ ^TLS_RSA_.*$ ^SSL_.*$ ^.*_NULL_.*$ ^.*_anon_.*$ Wenn Sie jedoch eine schwarze Liste angeben, wird dieser Filter überschrieben und Sie müssen alle Chiffren einzeln auf die Sperrliste setzen. Informationen zu Cypher Suites und zur Kryptografiearchitektur finden Sie in der Dokumentation zu Oracle Providers für Java Cryptography Architecture for JDK 8. |
|
Ganzzahlen, die Folgendes bestimmen:
|