پیکربندی «امنیت لایه انتقال» برای میانای برنامه‌سازی کاربردی مدیریت

Edge for Private Cloud نسخه ۴.۱۶.۰۵

به‌طور پیش‌فرض، TLS برای Management API غیرفعال است و بااستفاده از نشانی IP گره «سرور مدیریت» و درگاه ۸۰۸۰ ازطریق HTTP به Edge Management API دسترسی پیدا می‌کنید. برای مثال:

http://ms_IP:8080

یا می‌توانید دسترسی «امنیت لایه انتقال» را به «میانای برنامه‌سازی کاربردی مدیریت» پیکربندی کنید تا بتوانید به آن در قالب زیر دسترسی داشته باشید:

https://ms_IP:8443

در این مثال، دسترسی «امنیت لایه انتقال» را پیکربندی می‌کنید تا از درگاه ۸۴۴۳ استفاده کند. بااین‌حال، Edge به آن شماره درگاه نیاز ندارد - می‌توانید «سرور مدیریت» را پیکربندی کنید تا از مقادیر درگاه دیگر استفاده کند. تنها شرط لازم این است که دیوار آتش شما اجازه دهد ترافیک ازطریق درگاه مشخص‌شده عبور کند.

برای اطمینان از رمزگذاری ترافیک به و از «میانای برنامه‌سازی کاربردی مدیریت»، تنظیمات را در فایل /<install_dir>/apigee/customer/application/management-server.properties پیکربندی کنید.

علاوه‌بر پیکربندی TLS، می‌توانید با اصلاح فایل management-server.properties، درستی‌سنجی گذرواژه (طول و قدرت گذرواژه) را نیز کنترل کنید.

مطمئن شوید که درگاه TLS باز باشد

روال این بخش TLS را پیکربندی می‌کند تا از درگاه ۸۴۴۳ در «سرور مدیریت» استفاده کند. صرف‌نظر از درگاهی که استفاده می‌کنید، باید مطمئن شوید که درگاه در «سرور مدیریت» باز باشد. برای مثال، می‌توانید از فرمان زیر برای باز کردن آن استفاده کنید:

$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

پیکربندی «امنیت لایه انتقال»

فایل /<install_dir>/apigee/customer/application/management-server.properties را ویرایش کنید تا استفاده از TLS را در ترافیک به و از «میانای برنامه‌سازی کاربردی مدیریت» کنترل کنید. اگر این فایل وجود ندارد، آن را ایجاد کنید.

از روش زیر برای پیکربندی دسترسی «امنیت لایه انتقال» به «میانای برنامه‌سازی کاربردی مدیریت» استفاده کنید:

  1. فایل keystore JKS حاوی گواهی TLS و کلید خصوصی‌تان را تولید کنید. برای اطلاعات بیشتر، پیکربندی «امنیت لایه انتقال»/ SSL برای Edge On Premises را ببینید.
  2. فایل JKS keystore را در دایرکتوری گره «سرور مدیریت» کپی کنید، مثلاً /tmp.
  3. مالکیت فایل JKS را به apigee تغییر دهید:
    $ chown apigee:apigee keystore.jks

    که در آن keystore.jks نام فایل انبار کلید شما است.
  4. برای تنظیم ویژگی‌های زیر، /<install_dir>/apigee/customer/application/management-server.properties را ویرایش کنید. اگر این فایل وجود ندارد، آن را ایجاد کنید:
    conf_webserver_ssl.enabled=true
    # اگر همه ارتباطات باید ازطریق HTTPS باشد، این تنظیم را روی true قرار دهید.
    # توصیه نمی‌شود زیرا بسیاری از تماس‌های داخلی Edge از HTTP استفاده می‌کنند.
    conf_webserver_http.turn.off=false
    conf_webserver_ssl.port=8443
    conf_webserver_keystore.path=/tmp/keystore.jks
    # گذرواژه مبهم‌سازی‌شده انبار کلید را در زیر وارد کنید.
    conf_webserver_keystore.password=OBF:obfuscatedPassword
    conf_webserver_cert.alias=apigee-devtest

    که در آن keyStore.jks فایل انبار کلید شما است، و obfuscatedPassword گذرواژه انبار کلید مبهم‌سازی‌شده شما است. برای کسب اطلاعات درباره تولید گذرواژه مبهم، به پیکربندی «امنیت لایه انتقال»/ SSL برای Edge On Premises مراجعه کنید.
  5. «سرور مدیریت Edge» را بااستفاده از این فرمان بازراه‌اندازی کنید:
    $ /<install_dir>/apigee/apigee-service/bin/apigee-service edge-management-server restart

میانای برنامه‌سازی کاربردی مدیریت اکنون از دسترسی ازطریق «امنیت لایه انتقال» پشتیبانی می‌کند.

«میانای کاربری Edge» را پیکربندی کنید تا از «امنیت لایه انتقال» برای دسترسی به «میانای برنامه‌سازی کاربردی Edge» استفاده کند

در رویه بالا، Apigee توصیه کرد که conf_webserver_http.turn.off=false را بدون تغییر بگذارید تا «میانای کاربری Edge» بتواند همچنان ازطریق HTTP با Edge API تماس برقرار کند. از روش زیر برای پیکربندی کردن «میانای کاربر Edge» استفاده کنید تا این تماس‌ها فقط ازطریق HTTPS برقرار شوند:

  1. دسترسی «امنیت لایه انتقال» به «میانای برنامه‌سازی کاربردی مدیریت» را طبق توضیحات بالا پیکربندی کنید.
  2. پس‌از تأیید اینکه «امنیت لایه انتقال» برای «میانای برنامه‌سازی کاربردی مدیریت» کار می‌کند، /<install_dir>/apigee/customer/application/management-server.properties را ویرایش کنید تا دارایی زیر را تنظیم کنید:
    conf_webserver_http.turn.off=true
  3. «سرور مدیریت Edge» را بااستفاده از این فرمان بازراه‌اندازی کنید:
    $ /<install_dir>/apigee/apigee-service/bin/apigee-service edge-management-server restart
  4. برای تنظیم دارایی زیر برای «واسط کاربر Edge»، /<install_dir>/apigee/customer/application/ui.properties را ویرایش کنید. اگر این فایل وجود ندارد، آن را ایجاد کنید:
    conf_apigee_apigee.mgmt.baseurl="https://MS_IP:8443/v1"

    که در آن MS_IP نشانی IP «سرور مدیریت» است و شماره درگاه درگاهی است که در بالا با conf_webserver_ssl.port مشخص شده است.
  5. فقط درصورتی‌که هنگام پیکربندی دسترسی «امنیت لایه انتقال» به «میانای برنامه‌سازی کاربردی» مدیریت بالا از گواهینامه خودامضایی استفاده کرده‌اید، دارایی زیر را به ui.properties اضافه کنید:
    conf/application.conf+ws.acceptAnyCertificate=true

    درغیراین‌صورت، «واسط کاربر Edge» گواهینامه خودامضایی را رد می‌کند.
  6. بااستفاده از فرمان زیر، «میانای کاربری Edge» را بازراه‌اندازی کنید:
    $ /<install_dir>/apigee/apigee-service/bin/apigee-service edge-ui restart

خصوصیات «امنیت لایه انتقال» برای «سرور مدیریت»

جدول زیر فهرستی از همه دارایی‌های TLS/SSL را که می‌توانید در management-server.properties تنظیم کنید ارائه می‌دهد:

مشخصه‌ها

شرح

conf_webserver_http.port=8080

پیش‌فرض ۸۰۸۰ است.

conf_webserver_ssl.enabled=false

برای فعال/غیرفعال کردن TLS/SSL. با فعال بودن TLS/SSL (صحیح)، باید ویژگی‌های ssl.port و keystore.path را نیز تنظیم کنید.

conf_webserver_http.turn.off=true

برای فعال/غیرفعال کردن http همراه با https. اگر می‌خواهید فقط از HTTPS استفاده کنید، مقدار پیش‌فرض را روی درست بگذارید.

conf_webserver_ssl.port=8443

درگاه TLS/SSL.

وقتی TLS/SSL فعال باشد (conf_webserver_ssl.enabled=true) الزامی است.

conf_webserver_keystore.path=<path>

مسیر فایل انبار کلید.

وقتی TLS/SSL فعال باشد (conf_webserver_ssl.enabled=true) الزامی است.

conf_webserver_keystore.password=

از گذرواژه مبهم در این قالب استفاده کنید: OBF:xxxxxxxxxx

conf_webserver_cert.alias=

نام مستعار اختیاری گواهینامه انبار کلید

conf_webserver_keymanager.password=

اگر مدیر کلید شما گذرواژه دارد، نسخه مبهمی از گذرواژه را در این قالب وارد کنید: OBF:xxxxxxxxxx

conf_webserver_trust.all= <false | true>

conf_webserver_trust.store.path=<path>

conf_webserver_trust.store.password=

تنظیمات فروشگاه مورداعتمادتان را پیکربندی کنید. تعیین کنید که آیا می‌خواهید همه گواهینامه‌های TLS/SSL را بپذیرید (برای مثال، برای پذیرفتن انواع غیرمعمول). پیش‌فرض false است. مسیر فروشگاه مطمئن خود را ارائه دهید و گذرواژه فروشگاه مطمئن مبهم‌سازی‌شده را در این قالب وارد کنید: OBF:xxxxxxxxxx

conf_webserver_exclude.cipher.suites=<CIPHER_SUITE_1 CIPHER_SUITE_2>

conf_webserver_include.cipher.suites=

هر مجموعه رمزنگاری را که می‌خواهید اضافه یا حذف کنید مشخص کنید. برای مثال، اگر آسیب‌پذیری در یک رمز پیدا کردید، می‌توانید آن را در اینجا مستثنا کنید. چندین رمز را با فاصله از هم جدا کنید.

برای کسب اطلاعات درباره مجموعه‌های رمز و معماری رمزنگاری، به موارد زیر مراجعه کنید:

http://docs.oracle.com/javase/8/docs/technotes/
guides/security/SunProviders.html#SunJSSE

conf_webserver_ssl.session.cache.size=

conf_webserver_ssl.session.timeout=

اعداد صحیحی که تعیین می‌کنند:

  • اندازه حافظه نهان جلسه «امنیت لایه انتقال/پوسته ایمن» (برحسب بایت) برای ذخیره اطلاعات جلسه برای چندین کارخواه.
  • مدت زمانی که جلسات TLS/SSL می‌توانند قبل‌از اتمام زمانشان ادامه یابند (به میلی‌ثانیه).