Edge para nuvem privada v. 4.16.05
Por padrão, o TLS está desativado para a API Management, e você acessa a API Management do Edge por HTTP usando o endereço IP do nó do servidor de gerenciamento e a porta 8080. Exemplo:
http://ms_IP:8080
Como alternativa, é possível configurar o acesso TLS à API Management para que você possa acessá-la no formulário:
https://ms_IP:8443
Neste exemplo, você configura o acesso TLS para usar a porta 8443. No entanto, esse número de porta não é exigido pelo Edge. É possível configurar o Management Server para usar outros valores de porta. O único requisito é que o firewall permita o tráfego pela porta especificada.
Para garantir a criptografia de tráfego de e para a API Management, defina as configurações no arquivo /<install_dir>/apigee/customer/application/management-server.properties.
Além da configuração do TLS, também é possível controlar a validação de senha (comprimento e força da senha) modificando o arquivo management-server.properties.
Verifique se a porta TLS está aberta
O procedimento nesta seção configura o TLS para usar a porta 8443 no servidor de gerenciamento. Independentemente da porta usada, é preciso garantir que ela esteja aberta no servidor de gerenciamento. Por exemplo, use o seguinte comando para abri-lo:
$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose
Configurar a TLS
Edite o arquivo /<install_dir>/apigee/customer/application/management-server.properties para controlar o uso de TLS no tráfego de entrada e saída da API Management. Se esse arquivo não existir, crie-o.
Use o procedimento a seguir para configurar o acesso TLS à API Management:
- Gere o arquivo JKS do keystore que contém sua certificação TLS e sua chave privada. Para mais informações, consulte Como configurar TLS/SSL para o Edge para Cloud privado.
- Copie o arquivo JKS do keystore para um diretório no nó do Management Server, como /tmp.
- Mude a propriedade do arquivo JKS para apigee:
$ chown apigee:apigee keystore.jks
em que keystore.jks é o nome do arquivo do keystore. - Edite /<install_dir>/apigee/customer/application/management-server.properties
para definir as propriedades a seguir. Se esse arquivo não existir, crie-o:
conf_webserver_ssl.enabled=true
# Defina como verdadeiro se todas as comunicações precisarem ser feitas por HTTPS.
# Não recomendado porque muitas chamadas internas do Edge usam HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/tmp/keystore.jks
# Enter the obfuscated keystore password below.
conf_webserver_keystore.password=OBF:obfuscatedPassword
conf_webserver_cert.alias=apigee-devtest
em que keyStore.jks é o arquivo do keystore e obfuscatedPassword é a senha ofuscada do keystore. Consulte Como configurar TLS/SSL para o Edge para nuvem privada para informações sobre como gerar uma senha ofuscada. - Reinicie o servidor de gerenciamento do Edge usando o comando:
$ /<install_dir>/apigee/apigee-service/bin/apigee-service edge-management-server restart
A API Management agora é compatível com acesso por TLS.
Configurar a IU do Edge para usar o TLS para acessar a API Edge
No procedimento acima, a Apigee recomendou deixar conf_webserver_http.turn.off=false para que a IU do Edge possa continuar fazendo chamadas de API Edge por HTTP. Use o procedimento a seguir para configurar a IU do Edge para fazer essas chamadas somente por HTTPS:
- Configure o acesso TLS à API Management, conforme descrito acima.
- Depois de confirmar que o TLS está funcionando para a API Management, edite /<install_dir>/apigee/customer/application/management-server.properties para
definir a seguinte propriedade:
conf_webserver_http.turn.off=true - Reinicie o servidor de gerenciamento do Edge usando o comando:
$ /<install_dir>/apigee/apigee-service/bin/apigee-service edge-management-server restart - Edite /<install_dir>/apigee/customer/application/ui.properties
para definir a propriedade a seguir para a IU do Edge. Se esse arquivo não existir, crie-o:
conf_apigee_apigee.mgmt.baseurl="https://MS_IP:8443/v1"
em que MS_IP é o endereço IP do servidor de gerenciamento e o número da porta é a porta especificada acima por conf_webserver_ssl.port. - Somente se você tiver usado um certificado autoassinado ao configurar o acesso TLS à
API de gerenciamento acima, adicione a seguinte propriedade a ui.properties:
conf/application.conf+ws.acceptAnyCertificate=true
Caso contrário, a IU do Edge rejeitará um certificado autoassinado. - Reinicie a IU do Edge usando o comando:
$ /<install_dir>/apigee/apigee-service/bin/apigee-service edge-ui restart
Propriedades de TLS para o servidor de gerenciamento
A tabela a seguir lista todas as propriedades de TLS/SSL que podem ser definidas em management-server.properties:
|
Propriedades |
Descrição |
|---|---|
|
conf_webserver_http.port=8080 |
O padrão é 8080. |
|
conf_webserver_ssl.enabled=false |
Para ativar/desativar o TLS/SSL. Com o TLS/SSL ativado (true), você também precisa definir as propriedades ssl.port e keystore.path. |
|
conf_webserver_http.turn.off=true |
Para ativar/desativar http com https. Se você quiser usar apenas HTTPS, deixe o valor padrão como true. |
|
conf_webserver_ssl.port=8443 |
A porta TLS/SSL. Obrigatório quando o TLS/SSL está ativado (conf_webserver_ssl.enabled=true). |
|
conf_webserver_keystore.path=<path> |
O caminho para o arquivo do keystore. Obrigatório quando o TLS/SSL está ativado (conf_webserver_ssl.enabled=true). |
|
conf_webserver_keystore.password= |
Use uma senha ofuscada neste formato: OBF:xxxxxxxxxx |
|
conf_webserver_cert.alias= |
Alias opcional do certificado do keystore |
|
conf_webserver_keymanager.password= |
Se o gerenciador de chaves tiver uma senha, insira uma versão ofuscada dela neste formato: OBF:xxxxxxxxxx |
|
conf_webserver_trust.all= <false | true> conf_webserver_trust.store.path=<path> conf_webserver_trust.store.password= |
Defina as configurações do repositório de confiança. Determine se você quer aceitar todos os certificados TLS/SSL (por exemplo, para aceitar tipos não padrão). O padrão é false. Informe o caminho para o repositório de confiança e insira uma senha ofuscada nesse formato: OBF:xxxxxxxxxx |
|
conf_webserver_exclude.cipher.suites=<CIPHER_SUITE_1 CIPHER_SUITE_2> conf_webserver_include.cipher.suites= |
Indique os pacotes de criptografia que você quer incluir ou excluir. Por exemplo, se você descobrir uma vulnerabilidade em uma criptografia, poderá excluí-la aqui. Separe várias criptografias com um espaço. Para informações sobre pacotes de criptografia e arquitetura de criptografia, consulte:
http://docs.oracle.com/javase/8/docs/technotes/ |
|
conf_webserver_ssl.session.cache.size= conf_webserver_ssl.session.timeout= |
Números inteiros que determinam:
|