Yükleme Koşulları

Edge for Private Cloud 4.16.05 sürümü

Donanım Gereksinimleri

Üretim düzeyindeki bir ortamda yüksek kullanılabilirlikli bir altyapı için aşağıdaki minimum donanım gereksinimlerini karşılamanız gerekir. Aşağıdaki tablolarda, Yükleme Topolojileri bölümünde açıklanan tüm yükleme senaryoları için yükleme bileşenlerinin minimum donanım gereksinimleri listelenmiştir.

Bu tablolardaki sabit disk gereksinimleri, işletim sisteminin gerektirdiği sabit disk alanına ek olarak belirtilmiştir. Uygulamalarınıza ve ağ trafiğinize bağlı olarak, kurulumunuz için aşağıda listelenenlerden daha fazla veya daha az kaynak gerekebilir.

Ayrıca, Para Kazanma Hizmetleri'ni yüklemek istiyorsanız aşağıdaki donanım gereksinimleri de geçerlidir:

API BaaS'yi yüklemek istiyorsanız aşağıdaki donanım gereksinimlerini karşılamanız gerekir:

Not:

• Kök dosya sistemi yükleme için yeterince büyük değilse verilerin daha büyük bir diske yerleştirilmesi önerilir.
• Makinede Apigee Edge for Private Cloud'un eski bir sürümü yüklüyse yeni bir yükleme yapmadan önce /tmp/java klasörünü sildiğinizden emin olun.
• Cassandra'yı başlatmak için sistem genelindeki geçici klasör /tmp için yürütme izinleri gerekir.
• Yüklemeden önce "apigee" kullanıcısı oluşturulduysa "/home/apigee"nin ana dizin olarak mevcut olduğundan ve "apigee:apigee"ye ait olduğundan emin olun.

İşletim sistemi ve üçüncü taraf yazılım gereksinimleri

Bu yükleme talimatları ve sağlanan yükleme dosyaları, şu adreste listelenen işletim sistemleri ve üçüncü taraf yazılımlarında test edilmiştir: https://apigee.com/docs/api-services/reference/supported-software.

Apigee kullanıcısını oluşturma

Yükleme prosedürü, "apigee" adlı bir Unix sistem kullanıcısı oluşturur. Edge dizinleri ve dosyaları, Edge işlemleri gibi "apigee"ye aittir. Bu, Edge bileşenlerinin "apigee" kullanıcısı olarak çalıştığı anlamına gelir. Gerekirse bileşenleri farklı bir kullanıcı olarak çalıştırabilirsiniz. Örnek için Edge bileşenlerini bir düğüme yükleme başlıklı makaledeki "Yönlendiriciyi korumalı bir bağlantı noktasına bağlama" bölümüne bakın.

Yükleme dizini

Yükleyici, varsayılan olarak tüm dosyaları /opt/apigee dizinine yazar. Bu dizin konumunu değiştiremezsiniz.

Bu kılavuzdaki talimatlarda, yükleme dizini /<inst_root>/apigee olarak belirtilmiştir. Burada /<inst_root> varsayılan olarak /opt'tur.

Java

Yükleme işleminden önce her makinede Java 1.8'in desteklenen bir sürümünün yüklü olması gerekir. Desteklenen JDK'lar şunlardır:

https://apigee.com/docs/api-services/reference/supported-software

Yüklemeyi gerçekleştiren kullanıcı için JAVA_HOME'un JDK'nin kök dizinine işaret ettiğinden emin olun.

Ağ Ayarı

Yüklemeden önce ağ ayarlarını kontrol etmeniz önerilir. Yükleyici, tüm makinelerin sabit IP adreslerine sahip olmasını bekler. Ayarı doğrulamak için aşağıdaki komutları kullanın:

• hostname, makinenin adını döndürür.
• hostname -i, diğer makinelerden erişilebilen ana makine adının IP adresini döndürür.

İşletim sisteminizin türüne ve sürümüne bağlı olarak, ana makine adı doğru ayarlanmamışsa /etc/hosts ve /etc/sysconfig/network dosyalarını düzenlemeniz gerekebilir. Daha fazla bilgi için işletim sisteminizin belgelerine bakın.

Cassandra

Tüm Cassandra düğümlerinin bir halkaya bağlı olması gerekir.

Cassandra, Java yığın boyutunu kullanılabilir belleğe göre otomatik olarak ayarlar. Daha fazla bilgi için Java kaynaklarını ayarlama başlıklı makaleyi inceleyin. Performans düşüşü veya yüksek bellek tüketimi durumunda.

Edge for Private Cloud'u yükledikten sonra /<inst_root>/apigee/apigee-cassandra/conf/cassandra.yaml dosyasını inceleyerek Cassandra'nın doğru şekilde yapılandırılıp yapılandırılmadığını kontrol edebilirsiniz. Örneğin, Edge for Private Cloud yükleme komut dosyasının aşağıdaki özellikleri ayarladığından emin olun:

• cluster_name
• initial_token
• partitioner
• tohumlar
• listen_address
• rpc_address
• snitch

Uyarı: Bu dosyayı düzenlemeyin.

PostgreSQL veritabanı

Edge'i yükledikten sonra, sisteminizdeki RAM miktarına göre aşağıdaki PostgreSQL veritabanı ayarlarını yapabilirsiniz:

conf_postgresql_shared_buffers = 35% of RAM      # min 128kB
conf_postgresql_effective_cache_size = 45% of RAM
conf_postgresql_work_mem = 512MB       # min 64kB

Bu değerleri ayarlamak için:

1. postgresql.properties dosyasını düzenleyin:
   > vi /<inst_root>/apigee/customer/application/postgresql.properties
   
   Dosya yoksa oluşturun.
2. Yukarıda listelenen özellikleri ayarlayın.
3. Yaptığınız düzenlemeleri kaydedin.
4. PostgreSQL veritabanını yeniden başlatın:
   > /<inst_root>/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

jsvc

"jsvc", API BaaS'ı kullanmak için bir ön koşuldur. API BaaS'yi yüklediğinizde 1.0.15-dev sürümü yüklenir.

Ağ Güvenliği Hizmetleri (NSS)

Ağ Güvenliği Hizmetleri (NSS), güvenlik özellikli istemci ve sunucu uygulamalarının geliştirilmesini destekleyen bir kitaplık grubudur. NSS 3.19 veya sonraki bir sürümü yüklediğinizden emin olmanız gerekir.

Mevcut sürümünüzü kontrol etmek için:

> yum info nss

NSS'yi güncellemek için:

> yum update nss

Daha fazla bilgi için RedHat'in bu makalesine bakın.

AWS AMI

Edge'i Red Hat Enterprise Linux 7.x için bir AWS Amazon Makine Görüntüsü'ne (AMI) yüklüyorsanız öncelikle aşağıdaki komutu çalıştırmanız gerekir:

> yum-config-manager --enable rhui-REGION-rhel-server-extras rhui-REGION-rhel-server-optional

Araçlar

Yükleyici, EL5 veya EL6 tarafından sağlanan standart sürümde aşağıdaki UNIX araçlarını kullanır.

Not:

• "useradd" aracının yürütülebilir dosyası /usr/sbin dizininde, chkconfig aracının yürütülebilir dosyası ise /sbin dizininde bulunur.
• Sudo erişimiyle, çağrıyı yapan kullanıcının ortamına erişebilirsiniz. Örneğin, genellikle "sudo <komut>" veya "sudo PATH=$PATH:/usr/sbin:/sbin <komut>" komutunu çağırırsınız.
• Hizmet paketi (yama) yüklemeden önce "yama" aracının yüklü olduğundan emin olun.

ntpdate: Sunucuların zaman senkronizasyonunun yapılması önerilir. Henüz yapılandırılmadıysa sunucuların zaman senkronizasyonunun yapılıp yapılmadığını doğrulayan "ntpdate" yardımcı programı bu amaçla kullanılabilir. Yardımcı programı yüklemek için "yum install ntp" komutunu kullanabilirsiniz. Bu, özellikle OpenLDAP kurulumlarını kopyalamak için kullanışlıdır. Sunucu saat dilimini UTC olarak ayarladığınızı unutmayın.

openldap 2.4: Şirket içi yükleme için OpenLDAP 2.4 gerekir. Sunucunuzun internet bağlantısı varsa Edge yükleme komut dosyası OpenLDAP'yi indirip yükler. Sunucunuzun internet bağlantısı yoksa Edge yükleme komut dosyasını çalıştırmadan önce OpenLDAP'nin yüklü olduğundan emin olmanız gerekir. RHEL/CentOS'ta, OpenLDAP'yi yüklemek için "yum install openldap-clients openldap-servers" komutunu çalıştırabilirsiniz.

13 ana makine içeren kurulumlarda ve iki veri merkezi içeren 12 ana makine içeren kurulumlarda, OpenLDAP'yi barındıran birden fazla düğüm olduğundan OpenLDAP replikasyonu gerekir.

Güvenlik Duvarları ve Sanal Ana Makineler

"Sanal" terimi, BT alanında genellikle aşırı kullanılır. Bu durum, Apigee Edge for Private Cloud dağıtımı ve sanal ana makineler için de geçerlidir. Açıklamak gerekirse, "sanal" teriminin iki temel kullanımı vardır:

• Sanal makineler (VM): Gerekli değildir ancak bazı dağıtımlarda Apigee bileşenleri için yalıtılmış sunucular oluşturmak amacıyla sanal makine teknolojisi kullanılır. Sanal makine ana makineleri, fiziksel ana makineler gibi ağ arayüzlerine ve güvenlik duvarlarına sahip olabilir. Bu kurulum talimatları, sanal makine kurulumlarını özel olarak desteklemez.
• Sanal ana makineler: Apache sanal ana makinesine benzer web uç noktaları.

Sanal makinedeki bir yönlendirici, birden fazla sanal ana makineyi gösterebilir (ana makine takma adları veya arayüz bağlantı noktaları birbirinden farklı olduğu sürece).

Adlandırma örneği olarak, tek bir fiziksel sunucu "A"nın "VM1" ve "VM2" adlı iki sanal makineyi çalıştırdığını varsayalım. VM1'in, sanal makine içinde eth0 olarak adlandırılan ve sanallaştırma mekanizması veya bir ağ DHCP sunucusu tarafından 111.111.111.111 IP adresinin atandığı bir sanal Ethernet arayüzü sunduğunu varsayalım. VM2'nin de eth0 adlı bir sanal Ethernet arayüzü sunduğunu ve bu arayüze 111.111.111.222 IP adresinin atandığını varsayalım.

İki sanal makinenin her birinde çalışan bir Apigee yönlendiricimiz olabilir. Yönlendiriciler, sanal ana makine uç noktalarını bu varsayımsal örnekte olduğu gibi gösterir:

VM1'deki Apigee yönlendiricisi, eth0 arayüzünde (belirli bir IP adresine sahip) üç sanal ana makineyi kullanıma sunar: api.mycompany.com:80, api.mycompany.com:443 ve test.mycompany.com:80.

VM2'deki yönlendirici, api.mycompany.com:80'i (VM1 tarafından sunulan ad ve bağlantı noktasının aynısı) sunar.

Fiziksel ana makinenin işletim sisteminde bir ağ güvenlik duvarı olabilir. Böyle bir durumda, güvenlik duvarı, sanallaştırılmış arayüzlerde (111.111.111.111:{80, 443} ve 111.111.111.222:80) gösterilen bağlantı noktalarına bağlı TCP trafiğini geçirecek şekilde yapılandırılmalıdır. Ayrıca her sanal makinenin işletim sistemi, eth0 arayüzünde kendi güvenlik duvarını sağlayabilir ve bu güvenlik duvarları da bağlantı için 80 ve 443 numaralı bağlantı noktalarından gelen trafiğe izin vermelidir.

Temel yol, API çağrılarını dağıtmış olabileceğiniz farklı API proxy'lerine yönlendiren üçüncü bileşendir. API proxy paketleri, farklı temel yollara sahipse bir uç noktayı paylaşabilir. Örneğin, bir temel yol http://api.mycompany.com:80/, diğeri ise http://api.mycompany.com:80/salesdemo olarak tanımlanabilir.

Bu durumda, http://api.mycompany.com:80/ trafiğini iki IP adresi (VM1'de 111.111.111.111 ve VM2'de 111.111.111.222) arasında bölen bir yük dengeleyici veya trafik yöneticisi gerekir. Bu işlev, kurulumunuza özeldir ve yerel ağ grubunuz tarafından yapılandırılır.

Temel yol, bir API'yi dağıttığınızda ayarlanır. Yukarıdaki örnekte, mycompany-org kuruluşu için mycompany ve testmycompany adlı iki API dağıtabilirsiniz. Bu API'ler, ana makine takma adı api.mycompany.com ve bağlantı noktası 80 olarak ayarlanmış sanal ana makineyi kullanır. Dağıtımda bir temel yol bildirmezseniz yönlendirici, gelen istekleri hangi API'ye göndereceğini bilemez.

Ancak testmycompany API'sini /salesdemo ana URL'siyle dağıtırsanız kullanıcılar bu API'ye http://api.mycompany.com:80/salesdemo adresini kullanarak erişir. API'nizi / ana URL'siyle dağıtırsanız kullanıcılarınız API'ye http://api.mycompany.com:80/ URL'siyle erişir.

Uç bağlantı noktası gereksinimleri

Güvenlik duvarını yönetme ihtiyacı yalnızca sanal ana makinelerle sınırlı değildir. Hem sanal makine hem de fiziksel ana makine güvenlik duvarları, bileşenlerin birbirleriyle iletişim kurması için gereken bağlantı noktalarına yönelik trafiğe izin vermelidir.

Aşağıdaki resimde her bir Edge bileşeni için bağlantı noktası gereksinimleri gösterilmektedir:

Bu diyagramla ilgili notlar:

• *Yönlendirici ile Mesaj İşleyici arasında TLS/SSL yapılandırdığınızda, Mesaj İşleyici'deki 8082 numaralı bağlantı noktasının yalnızca Yönlendirici tarafından erişime açık olması gerekir. Yönlendirici ile Mesaj İşleyici arasında TLS/SSL yapılandırmazsanız varsayılan yapılandırma olan 8082 numaralı bağlantı noktasının, bileşeni yönetmek için Mesaj İşleyici'de açık olması gerekir ancak Yönlendirici'nin bu bağlantı noktasına erişmesi gerekmez.
• "M" ön ekine sahip bağlantı noktaları, bileşeni yönetmek için kullanılan bağlantı noktalarıdır ve Yönetim Sunucusu'nun erişebilmesi için bileşende açık olmalıdır.
• Şu bileşenlerin Yönetim Sunucusu'ndaki 8080 bağlantı noktasına erişmesi gerekir: Yönlendirici, Mesaj İşlemcisi, Kullanıcı Arayüzü, Postgres ve Qpid.
• Mesaj İşleyici, yönetim bağlantı noktası olarak 4528 numaralı bağlantı noktasını açmalıdır. Birden fazla Mesaj İşleyiciniz varsa bunların tümü 4528 numaralı bağlantı noktası üzerinden birbirine erişebilmelidir (Mesaj İşleyici'deki 4528 numaralı bağlantı noktası için yukarıdaki diyagramda döngü okuyla gösterilmiştir). Birden fazla veri merkeziniz varsa bağlantı noktasına tüm veri merkezlerindeki tüm mesaj işlemcilerden erişilebilmelidir.
• Zorunlu olmasa da herhangi bir Mesaj İşleyici'nin erişebilmesi için yönlendiricide 4527 numaralı bağlantı noktasını açabilirsiniz. Aksi takdirde, Mesaj İşleyici günlük dosyalarında hata mesajları görebilirsiniz.
• Yönlendirici, yönetim bağlantı noktası olarak 4527 numaralı bağlantı noktasını açmalıdır. Birden fazla yönlendiriciniz varsa bunların tümü 4527 numaralı bağlantı noktası üzerinden birbirine erişebilmelidir (yukarıdaki şemada yönlendiricideki 4527 numaralı bağlantı noktası için döngü okuyla gösterilmiştir).
• Edge kullanıcı arayüzü, izleme aracındaki Gönder düğmesini desteklemek için API proxy'leri tarafından sunulan bağlantı noktalarında yönlendiriciye erişim gerektirir.
• Yönetim Sunucusu'nun Cassandra düğümlerindeki JMX bağlantı noktasına erişmesi gerekir.
• JMX bağlantı noktalarına erişim, kullanıcı adı/şifre gerektirecek şekilde yapılandırılabilir. Daha fazla bilgi için İzleme bölümüne bakın.
• İsterseniz farklı bağlantı noktaları kullanabilen belirli bağlantılar için TLS/SSL erişimini yapılandırabilirsiniz. Daha fazla bilgi için TLS/SSL bölümünü inceleyin.
• İki Postgres düğümünü ana-yedek replikasyon kullanacak şekilde yapılandırıyorsanız ssh erişimi için her düğümde 22 numaralı bağlantı noktasını açmanız gerekir. SSH erişimine izin vermek için isteğe bağlı olarak ayrı ayrı düğümlerde bağlantı noktaları açabilirsiniz.
• Yönetim Sunucusu ve Edge kullanıcı arayüzünü, harici bir SMTP sunucusu üzerinden e-posta gönderecek şekilde yapılandırabilirsiniz. Kullanıyorsanız Yönetim Sunucusu ve kullanıcı arayüzünün SMTP sunucusundaki gerekli bağlantı noktasına erişebildiğinden emin olmanız gerekir. TLS olmayan SMTP için bağlantı noktası numarası genellikle 25'tir. TLS özellikli SMTP için genellikle 465'tir ancak SMTP sağlayıcınızla iletişime geçerek doğrulayın.

Aşağıdaki tabloda, Edge bileşenine göre güvenlik duvarlarında açılması gereken bağlantı noktaları gösterilmektedir:

> curl -v http://<routerIP>:15999/v1/servers/self/reachable

Aşağıdaki tabloda, kaynak ve hedef bileşenleriyle birlikte sayısal olarak listelenen aynı bağlantı noktaları gösterilmektedir:

Mesaj işlemcisi, Cassandra'ya özel bir bağlantı havuzunu açık tutar. Bu havuz, zaman aşımına uğramayacak şekilde yapılandırılmıştır. Bir Mesaj İşleyici ile Cassandra sunucusu arasında güvenlik duvarı olduğunda güvenlik duvarı, bağlantının zaman aşımına uğramasına neden olabilir. Ancak mesaj işleyici, Cassandra ile bağlantıları yeniden kurmak için tasarlanmamıştır.

Apigee, bu durumu önlemek için Cassandra sunucusunun, mesaj işleyicinin ve yönlendiricilerin aynı alt ağda olmasını önerir. Böylece bu bileşenlerin dağıtımında güvenlik duvarı kullanılmaz.

Yönlendirici ile mesaj işleyiciler arasında bir güvenlik duvarı varsa ve boşta TCP zaman aşımı ayarlanmışsa önerilerimiz şunlardır:

1. Linux OS işletim sistemindeki sysctl ayarlarında net.ipv4.tcp_keepalive_time = 1800 değerini ayarlayın. Burada 1800, güvenlik duvarı boşta TCP zaman aşımından daha düşük olmalıdır. Bu ayar, güvenlik duvarının bağlantıyı kesmemesi için bağlantıyı kurulmuş durumda tutmalıdır.
2. Tüm Mesaj İşleyicilerde, aşağıdaki özelliği eklemek için /<inst_root>/apigee/customer/application/message-processor.properties dosyasını düzenleyin. Dosya yoksa oluşturun.
   conf_system_casssandra.maxconnecttimeinmillis=-1
3. Mesaj İşleyici'yi yeniden başlatın:
   > /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
4. Tüm yönlendiricilerde, aşağıdaki özelliği eklemek için /<inst_root>/apigee/customer/application/router.properties dosyasını düzenleyin. Dosya yoksa oluşturun.
   conf_system_casssandra.maxconnecttimeinmillis=-1
5. Yönlendiriciyi yeniden başlatın:
   > /opt/apigee/apigee-service/bin/apigee-service edge-router restart

İki veri merkeziyle 12 ana makine kümelenmiş yapılandırmasını yüklerseniz iki veri merkezindeki düğümlerin aşağıda gösterilen bağlantı noktaları üzerinden iletişim kurabildiğinden emin olun:

API BaaS bağlantı noktası gereksinimleri

API BaaS'yi yüklemeyi seçerseniz API BaaS Stack ve API BaaS Portal bileşenlerini eklersiniz. Bu bileşenler, aşağıdaki şekilde gösterilen bağlantı noktalarını kullanır:

Bu diyagramla ilgili notlar:

• Cassandra düğümleri API BaaS'ye ayrılabilir veya Edge ile paylaşılabilir.
• API BaaS'ın üretim kurulumunda, API BaaS Portal düğümü ile API BaaS Stack düğümleri arasında bir yük dengeleyici kullanılır. Portalı yapılandırırken ve BaaS API çağrıları yaparken Stack düğümlerinin değil, yük dengeleyicinin IP adresini veya DNS adını belirtirsiniz.
• Tüm Baas Stack düğümlerini, harici bir SMTP sunucusu üzerinden e-posta gönderecek şekilde yapılandırmanız gerekir. TLS olmayan SMTP için bağlantı noktası numarası genellikle 25'tir. TLS özellikli SMTP için genellikle 465'tir ancak SMTP sağlayıcınızla iletişime geçerek doğrulayın.

Aşağıdaki tabloda, güvenlik duvarlarında açılması gereken varsayılan bağlantı noktaları bileşene göre gösterilmektedir:

Lisanslama

Her Edge kurulumu için Apigee'den alacağınız benzersiz bir lisans dosyası gerekir. Yönetim sunucusunu yüklerken lisans dosyasının yolunu (ör. /tmp/license.txt) belirtmeniz gerekir.

Yükleyici, lisans dosyasını /<inst_root>/apigee/customer/conf/license.txt konumuna kopyalar.

Lisans dosyası geçerliyse yönetim sunucusu, geçerlilik bitiş tarihini ve izin verilen Mesaj İşlemci (MP) sayısını doğrular. Lisans ayarlarından herhangi birinin süresi dolduysa günlükleri şu konumda bulabilirsiniz: /<inst_root>/apigee/var/log/edge-management-server/logs. Bu durumda, taşıma ayrıntıları için Apigee Destek Ekibi ile iletişime geçebilirsiniz.