Configura TLS para la API de administración

De forma predeterminada, TLS está inhabilitado para la API de Management, y puedes acceder a la API de Edge Management a través de HTTP con la dirección IP del nodo del servidor de administración y el puerto 8080. Por ejemplo:

http://ms_IP:8080

También puedes configurar el acceso TLS a la API de Management para que puedas acceder a ella de la siguiente manera:

https://ms_IP:8443

En este ejemplo, configuras el acceso TLS para usar el puerto 8443. Sin embargo, Edge no requiere ese número de puerto . Puedes configurar el servidor de administración para que use otros valores de puerto. El único requisito es que tu firewall permita el tráfico a través del puerto especificado.

Para garantizar el encriptado del tráfico hacia y desde tu API de Management, configura los parámetros en el /opt/apigee/customer/application/management-server.properties archivo.

Además de la configuración de TLS, también puedes controlar la validación de contraseñas (longitud y seguridad de la contraseña) si modificas el archivo management-server.properties.

Asegúrate de que tu puerto TLS esté abierto

El procedimiento de esta sección configura TLS para usar el puerto 8443 en el servidor de administración. Independientemente del puerto que uses, debes asegurarte de que esté abierto en el servidor de administración. Por ejemplo, puedes usar el siguiente comando para abrirlo:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

Configura TLS

Edita el archivo /opt/apigee/customer/application/management-server.properties para controlar el uso de TLS en el tráfico hacia y desde tu API de Management. Si este archivo no existe, créalo.

Para configurar el acceso TLS a la API de Management, haz lo siguiente:

  1. Genera el archivo JKS de almacén de claves que contiene tu certificación TLS y clave privada. Para obtener más información, consulta Configura TLS/SSL para Edge para la nube privada.
  2. Copia el archivo JKS de almacén de claves en un directorio del nodo del servidor de administración, como /opt/apigee/customer/application.
  3. Cambia la propiedad del archivo JKS al usuario "apigee": 
    chown apigee:apigee keystore.jks

    En el que keystore.jks es el nombre de tu archivo de almacén de claves.

  4. Edita /opt/apigee/customer/application/management-server.properties para establecer las siguientes propiedades. Si ese archivo no existe, créalo: 
    conf_webserver_ssl.enabled=true
# Leave conf_webserver_http.turn.off set to false
# because many Edge internal calls use HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
# Enter the obfuscated keystore password below.
conf_webserver_keystore.password=OBF:obfuscatedPassword

    En el que keyStore.jks es tu archivo de almacén de claves y obfuscatedPassword es tu contraseña de almacén de claves ofuscada. Consulta Configura TLS/SSL para Edge para la nube privada para obtener información sobre cómo generar una contraseña ofuscada.

  5. Reinicia el servidor de administración de Edge con el siguiente comando: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

La API de Management ahora admite el acceso a través de TLS.

Configura la IU de New Edge para usar TLS para acceder a la API de Edge

En el procedimiento anterior, Apigee recomendó dejar conf_webserver_http.turn.off=false para que la IU de New Edge pueda seguir realizando llamadas a la API de Edge a través de HTTP.

Usa el siguiente procedimiento para configurar la IU de New Edge para que realice estas llamadas solo a través de HTTPS:

  1. Configura el acceso TLS a la API de Management como se describió anteriormente.
  2. Después de confirmar que TLS funciona para la API de Management, edita /opt/apigee/customer/application/management-server.properties para establecer la siguiente propiedad: 
    conf_webserver_http.turn.off=true
  3. Reinicia el servidor de administración de Edge con el siguiente comando: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
  4. Actualiza la configuración de la IU de New Edge para conectarte al servidor de administración a través de HTTPS. Establece las siguientes propiedades en el archivo de configuración de la IU de New Edge: 
    APIGEE_PORT_HTTP_MS=port
MS_SCHEME=https

    En el que port es el puerto especificado anteriormente por conf_webserver_ssl.port (por ejemplo, 8443).

  5. Aplica la configuración actualizada a la IU de New Edge: 
    /opt/apigee/apigee-setup/bin/setup.sh -p ue -f configFile

    Para obtener más detalles sobre el archivo de configuración de la IU de New Edge, consulta Configura la IU de New Edge. Para configurar el acceso HTTPS a la IU de New Edge, consulta Configura TLS para la IU de New Edge.

Propiedades de TLS para el servidor de administración

En la siguiente tabla, se enumeran todas las propiedades de TLS/SSL que puedes establecer en management-server.properties:

Propiedades Descripción

conf_webserver_http.port=8080

El valor predeterminado es 8080.

conf_webserver_ssl.enabled=false

Para habilitar o inhabilitar TLS/SSL. Con TLS/SSL habilitado (true), también debes establecer las propiedades ssl.port y keystore.path.

conf_webserver_http.turn.off=true

Para habilitar o inhabilitar http junto con https. Si quieres usar solo HTTPS, deja el valor predeterminado en true.

conf_webserver_ssl.port=8443

El puerto TLS/SSL.

Es obligatorio cuando TLS/SSL está habilitado (conf_webserver_ssl.enabled=true).

conf_webserver_keystore.path=path

La ruta de acceso a tu archivo de almacén de claves.

Es obligatorio cuando TLS/SSL está habilitado (conf_webserver_ssl.enabled=true).

conf_webserver_keystore.password=password

Usa una contraseña ofuscada en este formato: OBF:xxxxxxxxxx

conf_webserver_cert.alias=alias

Alias de certificado de almacén de claves opcional

conf_webserver_keymanager.password=password

Si tu administrador de claves tiene una contraseña, ingresa una versión ofuscada de la contraseña en este formato:

OBF:xxxxxxxxxx

conf_webserver_trust.all=[false | true]

conf_webserver_trust.store.path=path

conf_webserver_trust.store.password=password

Configura los parámetros de tu almacén de confianza. Determina si deseas aceptar todos los certificados TLS/SSL (por ejemplo, para aceptar tipos no estándar). El valor predeterminado es false. Proporciona la ruta de acceso a tu almacén de confianza y, luego, ingresa una contraseña de almacén de confianza ofuscada en este formato:

OBF:xxxxxxxxxx

conf_http_HTTPTransport.ssl.cipher.suites.blacklist=CIPHER_SUITE_1, CIPHER_SUITE_2

conf_http_HTTPTransport.ssl.cipher.suites.whitelist=

Indica cualquier conjunto de algoritmos de cifrado que desees incluir o excluir. Por ejemplo, si descubres una vulnerabilidad en un algoritmo de cifrado, puedes excluirla aquí. Separa varios algoritmos de cifrado con comas.

Los algoritmos de cifrado que quitas con la lista negra tienen prioridad sobre los algoritmos de cifrado incluidos en la lista blanca.

Nota: De forma predeterminada, si no se especifica una lista negra o blanca, los algoritmos de cifrado que coinciden con la siguiente expresión regular de Java se excluyen de forma predeterminada.

^.*_(MD5|SHA|SHA1)$
^TLS_RSA_.*$
^SSL_.*$
^.*_NULL_.*$
^.*_anon_.*$

Sin embargo, si especificas una lista negra, se anula este filtro y debes incluir en la lista negra todos los algoritmos de cifrado de forma individual.

Para obtener información sobre los conjuntos de algoritmos de cifrado y la arquitectura de criptografía, consulta la documentación de los proveedores de Oracle de la arquitectura de criptografía de Java para JDK 8.

conf_webserver_ssl.session.cache.size=

conf_webserver_ssl.session.timeout=

Números enteros que determinan lo siguiente:

  • El tamaño de la caché de sesión TLS/SSL (en bytes) para almacenar información de sesión para varios clientes.
  • La cantidad de tiempo que pueden durar las sesiones TLS/SSL antes de que se agote el tiempo de espera (en milisegundos)