การกําหนดค่า TLS/SSL สําหรับสถานที่ภายในองค์กร

Edge for Private Cloud เวอร์ชัน 4.16.05

TLS (Transport Layer Security ซึ่งเป็นรุ่นก่อนหน้าของ SSL) เป็นเทคโนโลยีการรักษาความปลอดภัยมาตรฐานที่ช่วยให้มั่นใจได้ว่าการรับส่งข้อความจะปลอดภัยและมีการเข้ารหัสในสภาพแวดล้อม API ตั้งแต่แอปไปจนถึง Apigee Edge และบริการแบ็กเอนด์

ไม่ว่าการกำหนดค่าสภาพแวดล้อมสำหรับ Management API จะเป็นอย่างไร เช่น คุณใช้พร็อกซี, เราเตอร์ และ/หรือตัวจัดสรรภาระงานหน้า Management API (หรือไม่) Edge จะช่วยให้คุณเปิดใช้และกำหนดค่า TLS ได้ ซึ่งจะช่วยให้คุณควบคุมการเข้ารหัสข้อความในสภาพแวดล้อมการจัดการ API ภายในองค์กรได้

สำหรับการติดตั้ง Edge Private Cloud ในองค์กร คุณสามารถกำหนดค่า TLS ได้หลายที่ ดังนี้

  1. ระหว่างเราเตอร์กับ Message Processor
  2. สำหรับการเข้าถึง Edge Management API
  3. สำหรับการเข้าถึง UI การจัดการ Edge
  4. สำหรับการเข้าถึง API จากแอป
  5. สำหรับการเข้าถึงจาก Edge ไปยังบริการแบ็กเอนด์

การกำหนดค่า TLS สำหรับ 3 รายการแรกมีคำอธิบายอยู่ด้านล่าง ขั้นตอนทั้งหมดนี้ถือว่าคุณได้สร้างไฟล์ JKS ที่มีใบรับรอง TLS และคีย์ส่วนตัวแล้ว

หากต้องการกำหนดค่า TLS สำหรับการเข้าถึงจากแอปไปยัง API ของคุณ (ข้อ 4 ด้านบน) โปรดดูหัวข้อการกำหนดค่าการเข้าถึง TLS ไปยัง API สำหรับ Private Cloud หากต้องการกำหนดค่า TLS สำหรับการเข้าถึงจาก Edge ไปยังบริการแบ็กเอนด์ (ข้อ 5 ด้านบน) โปรดดูหัวข้อการกำหนดค่า TLS จาก Edge ไปยังแบ็กเอนด์ (ระบบคลาวด์และระบบคลาวด์ส่วนตัว)

ดูภาพรวมทั้งหมดของการกำหนดค่า TLS ใน Edge ได้ที่ TLS/SSL

การสร้างไฟล์ JKS

คุณแสดงคีย์สโตร์เป็นไฟล์ JKS โดยที่คีย์สโตร์มีใบรับรอง TLS และคีย์ส่วนตัว การสร้างไฟล์ JKS มีหลายวิธี แต่วิธีหนึ่งคือการใช้ยูทิลิตี openssl และ keytool

ตัวอย่างเช่น คุณมีไฟล์ PEM ชื่อ server.pem ที่มีใบรับรอง TLS และไฟล์ PEM ชื่อ private_key.pem ที่มีคีย์ส่วนตัว ใช้คำสั่งต่อไปนี้เพื่อสร้างไฟล์ PKCS12

> openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12

คุณต้องป้อนพาสเฟรสสำหรับคีย์ (หากมี) และรหัสผ่านการส่งออก คำสั่งนี้จะสร้างไฟล์ PKCS12 ชื่อ keystore.pkcs12

ใช้คำสั่งต่อไปนี้เพื่อแปลงเป็นไฟล์ JKS ชื่อ keystore.jks

> keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks

ระบบจะแจ้งให้คุณป้อนรหัสผ่านใหม่สำหรับไฟล์ JKS และรหัสผ่านที่มีอยู่สำหรับไฟล์ PKCS12 ตรวจสอบว่าคุณใช้รหัสผ่านเดียวกันสำหรับไฟล์ JKS กับที่ใช้สำหรับไฟล์ PKCS12

หากคุณต้องระบุนามแฝงของคีย์ เช่น เมื่อกำหนดค่า TLS ระหว่างเราเตอร์กับ Message Processor ให้ใส่ตัวเลือก "-name" ลงในคำสั่ง openssl ดังนี้

>  openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12 -name devtest

จากนั้นใส่ตัวเลือก "-alias" ในคำสั่ง keytool ดังนี้

> keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks -alias devtest

กำลังสร้างรหัสผ่านที่สร้างความสับสน

ขั้นตอนการกำหนดค่า Edge TLS บางส่วนกำหนดให้คุณต้องป้อนรหัสผ่านที่สร้างความสับสนในไฟล์การกำหนดค่า รหัสผ่านที่สร้างความสับสนเป็นทางเลือกที่ปลอดภัยกว่าการป้อนรหัสผ่านเป็นข้อความธรรมดา

คุณสามารถสร้างรหัสผ่านที่สร้างความสับสนใน Java ได้โดยใช้ไฟล์ .jar ของ Jetty ที่ติดตั้งมาพร้อมกับ Edge สร้างรหัสผ่านที่สร้างความสับสนโดยใช้คำสั่งในรูปแบบต่อไปนี้

> java -cp /<inst_root>/apigee/edge-gateway/lib/thirdparty/jetty-http-x.y.z.jar:/<inst_root>/apigee/edge-gateway/lib/thirdparty/jetty-util-x.y.z.jar org.eclipse.jetty.http.security.Password yourPassword

โดยที่ x.y.z ระบุหมายเลขเวอร์ชันของไฟล์ .jar ของ Jetty เช่น 8.0.4.v20111024 คำสั่งนี้จะแสดงรหัสผ่านในรูปแบบต่อไปนี้

yourPassword
OBF:58fh40h61svy156789gk1saj
MD5:902fobg9d80e6043b394cb2314e9c6

ใช้รหัสผ่านที่สร้างความสับสนซึ่งระบุโดย OBF เมื่อกำหนดค่า TLS

ดูข้อมูลเพิ่มเติมได้ที่บทความนี้