Apigee mTLS 功能可為 Private Cloud 叢集 Edge 中元件之間的通訊增加安全性。提供了業界標準的設定及安裝服務網格方式。支援套件管理和設定自動化。
架構總覽
為了提供元件之間的安全通訊，Apigee mTLS 會使用服務網格，在元件之間建立安全、相互驗證的 TLS 連線。
下圖顯示 Apigee mTLS 保護的 Apigee 元件 (in red) 之間的連結。圖中顯示的通訊埠為範例。如需每個元件可使用的範圍清單，請參閱「通訊埠用量」。
(請注意，標有「M」的通訊埠是用來管理元件，而且必須在元件上開啟，才能供管理伺服器存取)。
如上圖所示，Apigee mTLS 能夠為叢集內大多數元件之間的連線新增安全性，包括：
| 來源 | 目的地 | |
|---|---|---|
| 管理伺服器 | 路由器、MP、QPid、LDAP、Postgres、Zookeeper 和 Cassandra 節點 | |
| 路由器 | 回送；Qpid、Zookeeper 和 Cassandra 節點 | |
| 訊息處理器 | 回送；Qpid、Zookeeper 和 Cassandra 節點 | |
| ZooKeeper 和 Cassandra | 其他 Zookeeper 和 Cassandra 節點 | |
| Edge UI | SMTP (僅適用於外部 IdP) | |
| Postgres | 其他 Postgres、Zookeeper 和 Cassandra 節點 |
郵件加密/解密
Apigee mTLS 服務網格由在叢集中的每個 ZooKeeper 節點上執行的 Consul 伺服器，以及叢集內每個節點上下列 Consul 服務運作：
- 「輸出 Proxy」，在主機節點上攔截外寄郵件。這項服務會先將傳出的訊息加密，再傳送至目的地。
- 「Ingress Proxy」，這個 Proxy 會在主機節點上攔截傳入的訊息。這項服務會先將收到的訊息解密，然後再將其傳送至最終目的地。
舉例來說，管理伺服器傳送訊息至路由器時，輸出 Proxy 服務會攔截並加密傳出訊息，然後再將其傳送至路由器。路由器節點收到訊息時，輸入 Proxy 服務會將訊息解密，然後將訊息傳送至路由器元件進行處理。
這所有作業都會公開向 Edge 元件執行，因為它們不知道 Consul Proxy 服務執行的加密和解密程序。
此外，Apigee mTLS 使用 iptables 公用程式，是管理流量重新導向的 Linux 防火牆服務。
需求條件
您的環境必須符合下列規定，才能安裝 Apigee mTLS：
以下各節將詳細說明這些規定。
拓撲需求
Apigee mTLS 要求環境的拓撲必須包含至少三個 Zookeeper 節點。因此，您只能在使用 5、9、12 (多資料中心) 或 13 個節點的拓撲中安裝 Apigee mTLS。詳情請參閱「安裝拓撲」。
公用程式/套件
開始使用 Apigee mTLS 之前，您必須在叢集內的每部機器 (包括管理機器) 上安裝並啟用下列套件：
| 公用事業/套件 | 說明 | 安裝完成後確定要移除嗎？ |
|---|---|---|
base64 |
在安裝指令碼中驗證資料。 | |
gnu-bashgnu-sedgnu-grep |
由安裝指令碼和其他常見工具所使用。 | |
iptables |
取代預設防火牆 firewalld。 |
|
iptables-services |
提供 iptables 公用程式的功能。 |
|
lsof |
供安裝指令碼使用。 | |
nc |
驗證 iptables 路線。 |
|
openssl |
在初始啟動程序期間，在本機簽署憑證。 |
在安裝期間，您也可以在管理機器上安裝 Consul 套件，以便產生憑證和加密金鑰。
apigee-mtls 套件會安裝並設定 Consul 伺服器，包括叢集中 ZooKeeper 節點的輸入和輸出 Proxy。
使用者帳戶權限
在安裝前，請先建立新的使用者帳戶，或確認您有權存取具有進階權限的帳戶。
在叢集內每個節點執行 Apigee mTLS 安裝作業的帳戶必須能夠：
- 啟動、停止、重新啟動及初始化 Apigee 元件
- 設定防火牆規則
- 建立新的 OS/系統使用者帳戶
- 透過
systemctl啟用、停用、啟動、停止及遮蓋服務
管理機器 (建議)
Apigee 建議叢集內有一個節點，可用於執行本文所述的各種管理工作，包括：
- 安裝 HashiCorp Consul 1.6.2。
- 產生並發布憑證/金鑰組和八位元加密金鑰。
- 更新並發布設定檔。
設定管理機器時：
- 確認您具備這項權限的根存取權。
- 按照「安裝 Edge apigee-setup 公用程式」的說明，下載並安裝
apigee-service和apigee-setup公用程式。 - 確保您可以使用
scp/ssh從管理機器存取叢集中的所有節點。以便發布設定檔和憑證。
通訊埠使用情形和指派
本節說明通訊埠用量和通訊埠指派，以支援 Consul 與 Apigee mTLS 之間的通訊。
通訊埠用量：所有執行 apigee-mtls 的節點
在叢集中使用 apigee-mtls 服務的所有節點，都必須允許來自 localhost (127.0.0.1) 上服務的連線。這可讓 Consul Proxy 在處理傳入和傳出訊息時，與其他服務進行通訊。
通訊埠用量：Consul 伺服器節點 (執行 ZooKeeper 的節點)
您必須在 Consul 伺服器節點 (執行 ZooKeeper 的節點) 上開啟下列大部分通訊埠，才能接受叢集中所有節點發出的要求：
| 節點 | Consul 伺服器通訊埠 | 說明 | 通訊協定 | 允許外部 mtls-agents * |
|---|---|---|---|---|
| Consul 伺服器 (ZooKeeper 節點) | 8300 |
連線至叢集中的所有 Consul 伺服器。 | RPC | |
8301 |
處理叢集內的成員資格和廣播訊息。 | UDP/TCP | ||
8302 |
以多資料中心設定處理成員資格和廣播訊息的 WAN 通訊埠。 | UDP/TCP | ||
8500 |
處理從相同節點上程序連至 Consul Server API 的 HTTP 連線。 這個通訊埠不會用於遠端通訊或協調，只會在本機主機上監聽。 |
HTTP | ||
8502 |
處理叢集內其他節點與 Consul Server API 之間的 gRPC+HTTPS 連線。 | gRPC+HTTPS | ||
8503 |
處理從叢集內其他節點到 Consul Server API 的 HTTPS 連線。 | HTTPS | ||
8600 |
處理 Consul 伺服器的 DNS。 | UDP/TCP | ||
* Apigee 建議將傳入要求限制為僅限叢集成員 (包括跨資料儲存庫)。方法是使用 iptables。 |
||||
如上表所示，執行 consul-server 元件 (ZooKeeper 節點) 的節點必須對執行 apigee-mtls 服務的叢集「所有」成員開啟通訊埠 8301、8302、8502 和 8503，甚至是跨資料中心。非執行 ZooKeeper 的節點不需要開啟這些通訊埠。
所有 Consul 節點的通訊埠指派作業 (包括執行 ZooKeeper 的節點)
為支援 Consul 通訊，執行下列 Apigee 元件的節點必須允許下列範圍內的通訊埠外部連線：
| Apigee 元件 | 範圍 | 每個節點所需的通訊埠數量 |
|---|---|---|
| Apigee mTLS | 10700 至 10799 | 1 |
| Cassandra | 10100 至 10199 | 2 |
| 訊息處理器 | 10500 至 10599 | 2 |
| OpenLDAP | 10200 至 10299 | 1 |
| Postgres | 10300 至 10399 | 3 |
| Qpid | 10400 至 10499 | 2 |
| 路由器 | 10600 至 10699 | 2 |
| ZooKeeper | 10000 至 10099 | 3 |
Consul 以簡單的線性方式指派通訊埠。舉例來說，如果您的叢集有兩個 Postgres 節點，第一個節點會使用兩個通訊埠，因此 Consul 會指派通訊埠 10300 和 10301。第二個節點也會使用兩個通訊埠，因此 Consol 會將 10302 和 10303 指派給該節點。這適用於所有元件類型。
如您所見，實際通訊埠數量視拓撲而定：如果您的叢集有兩個 Postgres 節點，您就必須開啟四個通訊埠 (兩個節點乘以兩個通訊埠)。
注意事項：
- Consul Proxy 無法監聽與 Apigee 服務相同的通訊埠。
- Consul 只有一個通訊埠位址空間。在包含資料中心的叢集中，Consul Proxy 通訊埠指派作業不得重複。這表示如果主機 A 上的 Proxy A 在通訊埠 15000 上監聽，則主機 B 上的 Proxy B 就無法監聽通訊埠 15000。
- 如上所述，使用的通訊埠數量會因拓撲而異。
在多資料中心設定中，所有執行 mTLS 的主機也必須開啟通訊埠 8302。
您可以自訂 Apigee mTLS 使用的預設通訊埠。如要瞭解操作方式，請參閱「自訂 Proxy 通訊埠範圍」一文。
限制
Apigee mTLS 有下列限制：
- 不會加密節點間 Cassandra 通訊 (通訊埠 7000)
- 組態和設定不是冪等的。也就是說，如果您在一個節點上進行一項變更，就必須在所有節點上進行相同的變更，系統不會對任何其他節點套用該項變更。詳情請參閱變更現有的 apigee-mtls 設定。
術語
本節使用下列術語：
| 字詞 | 定義 |
|---|---|
| 叢集 | 構成私有雲安裝邊緣的機器群組。 |
| Consul | Apigee mTLS 使用的服務網格。如要瞭解 Consul 如何保護私人雲端通訊，請參閱 Consul 的安全性模型。 |
| mTLS | 經過雙向驗證的傳輸層安全標準 (TLS)。 |
| 服務網格 | 「疊加層」網路 (或網路中的網路)。 |
| TLS | 交易層安全性。用於安全通訊的業界標準驗證通訊協定。 |