Định cấu hình TLS cho API quản lý

Edge for Private Cloud phiên bản 4.16.05

Theo mặc định, TLS bị tắt đối với API quản lý và bạn có thể truy cập vào API Quản lý Edge qua HTTP bằng cách sử dụng địa chỉ IP của nút Máy chủ quản lý và cổng 8080. Ví dụ:

http://ms_IP:8080

Ngoài ra, bạn có thể định cấu hình quyền truy cập TLS vào API quản lý để có thể truy cập API đó trong biểu mẫu:

https://ms_IP:8443

Trong ví dụ này, bạn định cấu hình quyền truy cập TLS để sử dụng cổng 8443. Tuy nhiên, số cổng đó không mà Edge yêu cầu – bạn có thể định cấu hình Máy chủ quản lý để sử dụng các giá trị cổng khác. Chỉ là yêu cầu tường lửa của bạn cho phép lưu lượng truy cập qua cổng được chỉ định.

Để đảm bảo mã hoá lưu lượng truy cập đến và đi từ API quản lý, hãy định cấu hình chế độ cài đặt trong /<install_dir>/apigee/customer/application/management-server.properties .

Ngoài cấu hình TLS, bạn cũng có thể kiểm soát việc xác thực mật khẩu (độ dài mật khẩu và độ mạnh) bằng cách sửa đổi tệp management-server.properties.

Đảm bảo rằng cổng TLS đang mở

Quy trình trong phần này định cấu hình TLS để sử dụng cổng 8443 trên Máy chủ quản lý. Bất kể sử dụng cổng là gì, bạn phải đảm bảo rằng cổng đó đang mở trên trang Quản lý Máy chủ. Ví dụ: bạn có thể dùng lệnh sau để mở tệp đó:

$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose 

Định cấu hình TLS

Chỉnh sửa tệp /<install_dir>/apigee/customer/application/management-server.properties để kiểm soát việc sử dụng TLS đối với lưu lượng truy cập đến và đi từ API quản lý của bạn. Nếu tệp này không tồn tại, tạo ứng dụng.

Sử dụng quy trình sau để định cấu hình quyền truy cập TLS vào API quản lý:

1. Tạo tệp JKS trong kho khoá chứa chứng chỉ TLS và khoá riêng tư của bạn. Để biết thêm xem Định cấu hình TLS/SSL cho Edge On Văn phòng.
2. Sao chép tệp JKS kho khoá vào một thư mục trên nút Management Server (Máy chủ quản lý), chẳng hạn như /tmp.
3. Thay đổi quyền sở hữu của tệp JKS thành bên nhận:
   $ chown apigee:apigee keystore.jks
   
   trong đó keystore.jks là tên của tệp kho khoá.
4. Chỉnh sửa /<install_dir>/apigee/customer/application/management-server.properties để đặt các thuộc tính sau. Nếu tệp đó không tồn tại, hãy tạo tệp:
   conf_webserver_ssl.enabled=true
   # Đặt bên cạnh true nếu tất cả thông tin liên lạc phải qua HTTPS.
   # Không nên dùng vì nhiều cuộc gọi nội bộ của Edge sử dụng HTTP.
   conf_webserver_http.turn.off=false
   conf_webserver_ssl.port=8443
   conf_webserver_keystore.path=/tmp/keystore.jks
   # Nhập mật khẩu kho khoá đã làm rối mã nguồn bên dưới.
   conf_webserver_keystore.password=OBF:obfuscatedPassword
   conf_webserver_cert.alias=apigee-devtest
   
   trong đó keyStore.jks là tệp kho khoá của bạn và obfuscatedPassword là mật khẩu kho khoá đã làm rối mã nguồn của bạn. Xem Định cấu hình TLS/SSL cho Edge On Premise để thông tin về việc tạo mật khẩu làm rối mã nguồn.
5. Khởi động lại Máy chủ quản lý Edge bằng lệnh:
   $ /<install_dir>/apigee/apigee-service/bin/apigee-service cạnh-management-server Khởi động lại

API quản lý hiện hỗ trợ quyền truy cập qua TLS.

Định cấu hình giao diện người dùng Edge nhằm sử dụng TLS để truy cập API Edge

Trong quy trình trên, Apigee nên để nguyên conf_webserver_http.turn.off=false để giao diện người dùng Edge có thể tiếp tục thực hiện lệnh gọi API Edge qua HTTP. Hãy sử dụng quy trình sau để định cấu hình giao diện người dùng Edge để chỉ thực hiện các lệnh gọi này qua HTTPS:

1. Định cấu hình quyền truy cập TLS vào API quản lý như mô tả ở trên.
2. Sau khi xác nhận rằng TLS đang hoạt động cho API quản lý, hãy chỉnh sửa /<install_dir>/apigee/customer/application/management-server.properties thành đặt thuộc tính sau:
   conf_webserver_http.turn.off=true
3. Khởi động lại Máy chủ quản lý Edge bằng lệnh:
   $ /<install_dir>/apigee/apigee-service/bin/apigee-service cạnh-management-server khởi động lại
4. Chỉnh sửa /<install_dir>/apigee/customer/application/ui.properties để đặt thuộc tính sau cho giao diện người dùng Edge. Nếu tệp đó không tồn tại, hãy tạo tệp:
   conf_apigee_apigee.mgmt.baseurl=&quot;https://MS_IP:8443/v1&quot;
   
   trong đó MS_IP là địa chỉ IP của Máy chủ quản lý và cổng number là cổng được chỉ định ở trên bởi conf_webserver_ssl.port.
5. Chỉ khi bạn sử dụng một chứng chỉ tự ký khi định cấu hình quyền truy cập TLS để API quản lý ở trên, hãy thêm thuộc tính sau vào ui.properties:
   conf/application.conf+ws.acceptAnyCertificate=true
   
   Nếu không, giao diện người dùng Edge sẽ từ chối chứng chỉ tự ký.
6. Khởi động lại giao diện người dùng Edge bằng lệnh:
   $ /<install_dir>/apigee/apigee-service/bin/apigee-service cạnh-ui khởi động lại

Thuộc tính TLS cho Máy chủ quản lý

Bảng sau đây liệt kê tất cả các thuộc tính TLS/SSL mà bạn có thể đặt trong management-server.properties: