為 Management API 設定傳輸層安全標準 (TLS)

Edge for Private Cloud 4.16.05 版

根據預設，Management API 會停用 TLS，您可以使用管理伺服器節點的 IP 位址和通訊埠 8080，透過 HTTP 存取 Edge Management API。例如：

http://ms_IP:8080

或者，您也可以設定 Management API 的 TLS 存取權，以便透過下列格式存取：

https://ms_IP:8443

在本範例中，您會將 TLS 存取權設為使用通訊埠 8443。不過，Edge 不需要該通訊埠編號，您可以將管理伺服器設為使用其他通訊埠值。唯一的要求是防火牆必須允許透過指定通訊埠傳輸流量。

如要確保往返管理 API 的流量加密，請在 /<install_dir>/apigee/customer/application/management-server.properties 檔案中進行設定。

除了 TLS 設定外，您也可以修改 management-server.properties 檔案，控管密碼驗證 (密碼長度和強度)。

確認 TLS 通訊埠已開啟

本節中的程序會將 TLS 設為使用管理伺服器上的通訊埠 8443。無論使用哪個通訊埠，都必須確保管理伺服器上的通訊埠已開啟。例如，您可以使用下列指令開啟：

$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose 

設定 TLS

編輯 /<install_dir>/apigee/customer/application/management-server.properties 檔案，控制 Management API 往返流量的傳輸層安全標準：TLS 使用情形。如果這個檔案不存在，請建立檔案。

請按照下列程序，設定 Management API 的 TLS 存取權：

1. 產生 KeyStore JKS 檔案，其中包含 TLS 憑證和私密金鑰。詳情請參閱「為 Edge On-Premises 設定 TLS/SSL」。
2. 將 KeyStore JKS 檔案複製到管理伺服器節點上的目錄，例如 /tmp。
3. 將 JKS 檔案的擁有權變更為 apigee：
   $ chown apigee:apigee keystore.jks
   
   其中 keystore.jks 是 KeyStore 檔案的名稱。
4. 編輯 /<install_dir>/apigee/customer/application/management-server.properties，設定下列屬性。如果該檔案不存在，請建立檔案：
   conf_webserver_ssl.enabled=true
   # Set next to true if all communications should be over HTTPS.
   # Not recommended because many Edge internal calls use HTTP.
   conf_webserver_http.turn.off=false
   conf_webserver_ssl.port=8443
   conf_webserver_keystore.path=/tmp/keystore.jks
   # Enter the obfuscated keystore password below.
   conf_webserver_keystore.password=OBF:obfuscatedPassword
   conf_webserver_cert.alias=apigee-devtest
   
   其中 keyStore.jks 是您的 KeyStore 檔案，obfuscatedPassword 則是經過模糊處理的 KeyStore 密碼。如要瞭解如何產生模糊處理的密碼，請參閱「為 Edge On-Premises 設定 TLS/SSL」。
5. 使用下列指令重新啟動 Edge Management Server：
   $ /<install_dir>/apigee/apigee-service/bin/apigee-service edge-management-server restart

Management API 現在支援透過 TLS 存取。

設定 Edge UI，使用 TLS 存取 Edge API

在上述程序中，Apigee 建議保留 conf_webserver_http.turn.off=false，以便 Edge UI 繼續透過 HTTP 發出 Edge API 呼叫。請按照下列程序設定 Edge UI，讓這些呼叫僅透過 HTTPS 進行：

1. 按照上述方式，設定 Management API 的 TLS 存取權。
2. 確認 TLS 適用於 Management API 後，請編輯 /<install_dir>/apigee/customer/application/management-server.properties，設定下列屬性：
   conf_webserver_http.turn.off=true
3. 使用下列指令重新啟動 Edge Management Server：
   $ /<install_dir>/apigee/apigee-service/bin/apigee-service edge-management-server restart
4. 編輯 /<install_dir>/apigee/customer/application/ui.properties，為 Edge UI 設定下列屬性。如果該檔案不存在，請建立該檔案：
   conf_apigee_apigee.mgmt.baseurl="https://MS_IP:8443/v1"
   
   其中 MS_IP 是管理伺服器的 IP 位址，通訊埠號碼則是上述 conf_webserver_ssl.port 指定的通訊埠。
5. 只有在設定上述 Management API 的 TLS 存取權時，使用自行簽署憑證，才需要將下列屬性新增至 ui.properties：
   conf/application.conf+ws.acceptAnyCertificate=true
   
   否則，Edge UI 會拒絕自行簽署憑證。
6. 使用下列指令重新啟動 Edge UI：
   $ /<install_dir>/apigee/apigee-service/bin/apigee-service edge-ui restart

管理伺服器的 TLS 屬性

下表列出您可以在 management-server.properties 中設定的所有 TLS/SSL 屬性：