Voraussetzungen für die Installation

Edge for Private Cloud Version 4.16.05

Hardware Requirements

Für eine hoch verfügbare Infrastruktur in einer Produktionsumgebung müssen Sie die folgenden Mindestanforderungen an die Hardware erfüllen. In den folgenden Tabellen sind die Mindestanforderungen an die Hardware für die Installationskomponenten für alle in Installationstopologien beschriebenen Installationsszenarien aufgeführt.

In diesen Tabellen kommen die Anforderungen an die Festplatte zusätzlich zum vom Betriebssystem benötigten Festplattenspeicher hinzu. Je nach Ihren Anwendungen und dem Netzwerkverkehr benötigt Ihre Installation möglicherweise mehr oder weniger Ressourcen als unten aufgeführt.

Außerdem findest du hier die Hardwareanforderungen, wenn du die Monetarisierungsdienste installieren möchtest:

Im Folgenden sind die Hardwareanforderungen für die Installation von API BaaS aufgeführt:

Hinweis:

• Wenn das Stammdateisystem nicht groß genug für die Installation ist, wird empfohlen, die Daten auf einem größeren Laufwerk zu speichern.
• Wenn auf dem Computer eine ältere Version von Apigee Edge for Private Cloud installiert war, müssen Sie vor einer Neuinstallation den Ordner /tmp/java löschen.
• Der systemweite temporäre Ordner /tmp benötigt Ausführungsberechtigungen, um Cassandra starten zu können.
• Wenn der Nutzer „apigee“ vor der Installation erstellt wurde, muss „/home/apigee“ als Basisverzeichnis vorhanden sein und dem Nutzer „apigee:apigee“ gehören.

Anforderungen an das Betriebssystem und Software von Drittanbietern

Diese Installationsanleitungen und die bereitgestellten Installationsdateien wurden auf den Betriebssystemen und mit der Drittanbietersoftware getestet, die hier aufgeführt sind: https://apigee.com/docs/api-services/reference/supported-software.

Apigee-Benutzer erstellen

Bei der Installation wird ein Unix-Systemnutzer mit dem Namen „apigee“ erstellt. Edge-Verzeichnisse und -Dateien gehören zu „Apigee“, ebenso wie Edge-Prozessen. Das bedeutet, dass Edge-Komponenten als Nutzer „apigee“ ausgeführt werden. Bei Bedarf können Sie Komponenten als einen anderen Nutzer ausführen. Ein Beispiel finden Sie unter Edge-Komponenten auf einem Knoten installieren unter "Router an einen geschützten Port binden".

Installationsverzeichnis

Standardmäßig schreibt das Installationsprogramm alle Dateien in das Verzeichnis /opt/apigee. Dieser Verzeichnisspeicherort kann nicht geändert werden.

In der Anleitung in diesem Leitfaden wird das Installationsverzeichnis als /<inst_root>/apigee angegeben. Dabei ist /<inst_root> standardmäßig /opt.

Java

Auf jedem Computer muss vor der Installation eine unterstützte Version von Java 1.8 installiert sein. Unterstützte JDKs sind hier aufgeführt:

https://apigee.com/docs/api-services/reference/supported-software

Achten Sie darauf, dass JAVA_HOME auf das Stammverzeichnis des JDK für den Nutzer verweist, der die Installation ausführt.

Netzwerkeinstellungen

Wir empfehlen, die Netzwerkeinstellungen vor der Installation zu prüfen. Das Installationsprogramm erwartet, dass alle Maschinen feste IP-Adressen haben. Prüfen Sie die Einstellung mit den folgenden Befehlen:

• hostname gibt den Namen des Computers zurück.
• hostname -i gibt die IP-Adresse für den Hostnamen zurück, die von anderen Maschinen aus angesprochen werden kann.

Je nach Betriebssystemtyp und ‑version müssen Sie möglicherweise /etc/hosts und /etc/sysconfig/network bearbeiten, wenn der Hostname nicht richtig festgelegt ist. Weitere Informationen finden Sie in der Dokumentation Ihres Betriebssystems.

Cassandra

Alle Cassandra-Knoten müssen mit einem Ring verbunden sein.

Cassandra passt die Größe des Java-Heaps automatisch an den verfügbaren Arbeitsspeicher an. Weitere Informationen finden Sie unter Java-Ressourcen optimieren. Bei Leistungseinbußen oder hohem Arbeitsspeicherverbrauch

Nach der Installation von Edge for Private Cloud können Sie prüfen, ob Cassandra richtig konfiguriert ist. Sehen Sie sich dazu die Datei /<inst_root>/apigee/apigee-cassandra/conf/cassandra.yaml an. Achten Sie beispielsweise darauf, dass im Installationsskript für Edge für Private Cloud die folgenden Eigenschaften festgelegt sind:

• cluster_name
• initial_token
• Partitionierungstool
• Samen
• listen_address
• rpc_address
• Snittchen

Warnung: Bearbeiten Sie diese Datei nicht.

PostgreSQL-Datenbank

Nachdem Sie Edge installiert haben, können Sie die folgenden PostgreSQL-Datenbankeinstellungen je nach verfügbarem RAM auf Ihrem System anpassen:

conf_postgresql_shared_buffers = 35% of RAM      # min 128kB
conf_postgresql_effective_cache_size = 45% of RAM
conf_postgresql_work_mem = 512MB       # min 64kB

So legen Sie diese Werte fest:

1. Bearbeiten Sie postgresql.properties:
   > vi /<inst_root>/apigee/customer/application/postgresql.properties
   
   Wenn die Datei nicht vorhanden ist, erstellen Sie sie.
2. Legen Sie die oben aufgeführten Eigenschaften fest.
3. Speichern Sie die Änderungen.
4. Starten Sie die PostgreSQL-Datenbank neu:
   > /<inst_root>/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

jsvc

„jsvc“ ist eine Voraussetzung für die Verwendung von API BaaS. Version 1.0.15-dev wird installiert, wenn Sie die API BaaS installieren.

Netzwerksicherheitsdienste (NSS)

Network Security Services (NSS) besteht aus einer Reihe von Bibliotheken, die die Entwicklung von für Sicherheit aktivierten Client- und Serveranwendungen unterstützen. Sie sollten NSS 3.19 oder höher installiert haben.

So prüfen Sie Ihre aktuelle Version:

> yum info nss

So aktualisieren Sie NSS:

> yum update nss

Weitere Informationen finden Sie in diesem Artikel von RedHat.

AWS AMI

Wenn Sie Edge auf einem AWS-Amazon Machine Image (AMI) für Red Hat Enterprise Linux 7.x installieren, müssen Sie zuerst den folgenden Befehl ausführen:

> yum-config-manager --enable rhui-REGION-rhel-server-extras rhui-REGION-rhel-server-optional

Tools

Das Installationsprogramm verwendet die folgenden UNIX-Tools in der Standardversion, wie sie von EL5 oder EL6 bereitgestellt werden.

Hinweis:

• Die ausführbare Datei für das Tool „useradd“ befindet sich unter /usr/sbin und für „chkconfig“ unter /sbin.
• Mit dem sudo-Zugriff erhalten Sie Zugriff auf die Umgebung des aufrufenden Nutzers. Zum Beispiel rufen Sie normalerweise „sudo <command>“ oder „sudo PATH=$PATH:/usr/sbin:/sbin <Befehl>“ auf.
• Das Patch-Tool muss vor der Installation eines Service Packs installiert sein.

ntpdate: Es wird empfohlen, die Serverzeit zu synchronisieren. Falls noch nicht konfiguriert, kann das Dienstprogramm „ntpdate“ für diesen Zweck verwendet werden. Es prüft, ob die Serverzeit synchronisiert ist. Sie können yum install ntp verwenden, um das Dienstprogramm zu installieren. Dies ist besonders nützlich, um OpenLDAP-Konfigurationen zu replizieren. Die Serverzeitzone muss UTC sein.

openldap 2.4: Für die lokale Installation ist OpenLDAP 2.4 erforderlich. Wenn Ihr Server eine Internetverbindung hat, wird OpenLDAP über das Edge-Installationsskript heruntergeladen und installiert. Wenn Ihr Server keine Internetverbindung hat, müssen Sie OpenLDAP bereits installiert haben, bevor Sie das Edge-Installationsskript ausführen. Unter RHEL/CentOS können Sie „yum install openldap-clients openldap-servers“ ausführen, um OpenLDAP zu installieren.

Bei Installationen mit 13 Hosts und 12 Hosts mit zwei Rechenzentren ist eine OpenLDAP-Replikation erforderlich, da mehrere Knoten OpenLDAP hosten.

Firewalls und virtuelle Hosts

Der Begriff „virtuell“ wird in der IT-Branche häufig überstrapaziert. Das gilt auch für eine Bereitstellung von Apigee Edge for Private Cloud und virtuelle Hosts. Zur Klarstellung: Der Begriff „virtuell“ wird hauptsächlich in zweierlei Hinsicht verwendet:

• Virtuelle Maschinen (VM): Nicht erforderlich, aber bei einigen Bereitstellungen werden VM-Technologien verwendet, um isolierte Server für die Apigee-Komponenten zu erstellen. VM-Hosts können wie physische Hosts Netzwerkschnittstellen und Firewalls haben. Diese Installationsanleitung unterstützt nicht speziell VM-Installationen.
• Virtuelle Hosts: Webendpunkte, analog zu einem virtuellen Apache-Host.

Ein Router in einer VM kann mehrere virtuelle Hosts bereitstellen, solange sie sich durch ihren Hostalias oder ihren Schnittstellenport voneinander unterscheiden.

Angenommen, auf einem einzelnen physischen Server „A“ werden zwei VMs mit den Namen „VM1“ und „VM2“ ausgeführt. Angenommen, VM1 stellt eine virtuelle Ethernet-Schnittstelle bereit, die innerhalb der VM den Namen eth0 erhält und der die IP-Adresse 111.111.111.111 von der Virtualisierungssoftware oder einem Netzwerk-DHCP-Server zugewiesen wird. Angenommen, VM2 stellt eine virtuelle Ethernet-Schnittstelle bereit, die ebenfalls den Namen eth0 erhält und der die IP-Adresse 111.111.111.222 zugewiesen wird.

Möglicherweise wird auf jeder der beiden VMs ein Apigee-Router ausgeführt. Die Router stellen virtuelle Hostendpunkte wie in diesem hypothetischen Beispiel bereit:

Der Apigee-Router in VM1 stellt drei virtuelle Hosts auf seiner eth0-Schnittstelle (die eine bestimmte IP-Adresse hat) api.mycompany.com:80, api.mycompany.com:443 und test.mycompany.com:80 zur Verfügung.

Der Router in VM2 stellt api.mycompany.com:80 bereit (gleicher Name und Port wie von VM1 bereitgestellt).

Das Betriebssystem des physischen Hosts hat möglicherweise eine Netzwerk-Firewall. In diesem Fall muss diese Firewall so konfiguriert sein, dass TCP-Traffic an die Ports weitergeleitet wird, die an den virtualisierten Schnittstellen freigegeben werden (111.111.111.111:{80, 443} und 111.111.111.222:80). Darüber hinaus kann das Betriebssystem jeder VM eine eigene Firewall auf der eth0-Schnittstelle bereitstellen. Auch diese muss Verbindungen zu den Ports 80 und 443 zulassen.

Der Basispfad ist die dritte Komponente, die beim Weiterleiten von API-Aufrufen an verschiedene API-Proxys beteiligt ist, die Sie möglicherweise bereitgestellt haben. API-Proxy-Bundles können einen Endpunkt gemeinsam nutzen, wenn sie unterschiedliche Basispfade haben. Ein Basepath kann beispielsweise als http://api.mycompany.com:80/ und ein anderer als http://api.mycompany.com:80/salesdemo definiert werden.

In diesem Fall benötigen Sie einen Load Balancer oder Traffic Director, der den Traffic von http://api.mycompany.com:80/ zwischen den beiden IP-Adressen (111.111.111.111 auf VM1 und 111.111.111.222 auf VM2) aufteilt. Diese Funktion ist installationsspezifisch und wird von Ihrer lokalen Netzwerkgruppe konfiguriert.

Der Basispfad wird festgelegt, wenn Sie eine API bereitstellen. Im obigen Beispiel können Sie zwei APIs, mycompany und testmycompany, für die Organisation mycompany-org mit dem virtuellen Host mit dem Hostalias api.mycompany.com und dem Port 80 bereitstellen. Wenn Sie keinen Basispfad in der Bereitstellung angeben, weiß der Router nicht, an welche API eingehende Anfragen gesendet werden sollen.

Wenn Sie die API testmycompany jedoch mit der Basis-URL /salesdemo bereitstellen, greifen Nutzer über http://api.mycompany.com:80/salesdemo auf diese API zu. Wenn Sie Ihre API „mycompany“ mit der Basis-URL „/“ bereitstellen, greifen Ihre Nutzer über die URL http://api.mycompany.com:80/ auf die API zu.

Anforderungen an Edge-Ports

Die Firewall muss nicht nur für die virtuellen Hosts verwaltet werden. Sowohl die VM- als auch die physischen Host-Firewalls müssen Traffic für die Ports zulassen, die die Komponenten für die Kommunikation miteinander benötigen.

Die folgende Abbildung zeigt die Portanforderungen für jede Edge-Komponente:

Hinweise zu diesem Diagramm:

• *Port 8082 am Message Processor muss nur für den Zugriff durch den Router geöffnet sein, wenn Sie TLS/SSL zwischen dem Router und dem Message Processor konfigurieren. Wenn Sie TLS/SSL nicht zwischen dem Router und dem Message Processor konfigurieren, muss Port 8082 in der Standardkonfiguration weiterhin auf dem Message Processor geöffnet sein, um die Komponente zu verwalten. Der Router benötigt jedoch keinen Zugriff darauf.
• Die Ports mit dem Präfix „M“ werden zum Verwalten der Komponente verwendet und müssen für den Zugriff des Verwaltungsservers auf der Komponente geöffnet sein.
• Die folgenden Komponenten benötigen Zugriff auf Port 8080 auf dem Verwaltungsserver: Router, Message Processor, UI, Postgres und Qpid.
• Ein Nachrichtenprozessor muss Port 4528 als Verwaltungsport öffnen. Wenn Sie mehrere Message Processor haben, müssen sie alle über Port 4528 auf die anderen zugreifen können (im Diagramm oben durch den Loop-Pfeil für Port 4528 am Message Processor dargestellt). Wenn Sie mehrere Rechenzentren haben, muss der Port von allen Message Processors in allen Rechenzentren zugänglich sein.
• Es ist zwar nicht erforderlich, aber Sie können Port 4527 am Router für den Zugriff durch jeden Message Processor öffnen. Andernfalls werden möglicherweise Fehlermeldungen in den Logdateien des Nachrichtenverarbeiters angezeigt.
• Ein Router muss Port 4527 als Verwaltungsport öffnen. Wenn Sie mehrere Router haben, müssen sie alle über Port 4527 auf die anderen zugreifen können (im Diagramm oben durch den Loop-Pfeil für Port 4527 auf dem Router dargestellt).
• Die Edge-Benutzeroberfläche benötigt Zugriff auf den Router, auf die von API-Proxys freigegebenen Ports, um die Schaltfläche Senden im Trace-Tool zu unterstützen.
• Der Verwaltungsserver benötigt Zugriff auf den JMX-Port der Cassandra-Knoten.
• Der Zugriff auf JMX-Ports kann so konfiguriert werden, dass ein Nutzername/Passwort erforderlich ist. Weitere Informationen finden Sie unter Monitoring.
• Optional können Sie den TLS/SSL-Zugriff für bestimmte Verbindungen konfigurieren, für die unterschiedliche Ports verwendet werden können. Weitere Informationen finden Sie unter TLS/SSL.
• Wenn Sie zwei Postgres-Knoten für die Master-Standby-Replikation konfigurieren, müssen Sie Port 22 auf jedem Knoten für den SSH-Zugriff öffnen. Optional können Sie Ports auf einzelnen Knoten öffnen, um den SSH-Zugriff zu ermöglichen.
• Sie können den Verwaltungsserver und die Edge-UI so konfigurieren, dass E-Mails über einen externen SMTP-Server gesendet werden. In diesem Fall müssen Sie dafür sorgen, dass der Verwaltungsserver und die Benutzeroberfläche auf den erforderlichen Port auf dem SMTP-Server zugreifen können. Für Nicht-TLS-SMTP lautet die Portnummer normalerweise 25. Für TLS-fähiges SMTP ist dies häufig 465, wenden Sie sich an Ihren SMTP-Anbieter.

In der folgenden Tabelle sind die Ports aufgeführt, die in Firewalls geöffnet werden müssen, nach Edge-Komponente:

> curl -v http://<routerIP>:15999/v1/servers/self/reachable

In der folgenden Tabelle sind dieselben Ports nummerisch mit den Quell- und Zielkomponenten aufgeführt:

Ein Nachrichtenverarbeiter hält einen speziellen Verbindungspool zu Cassandra offen, der so konfiguriert ist, dass es nie zu einem Zeitlimit kommt. Wenn sich zwischen einem Nachrichtenprozessor und einem Cassandra-Server eine Firewall befindet, kann es zu einer Zeitüberschreitung der Verbindung kommen. Der Message Processor ist jedoch nicht dafür ausgelegt, Verbindungen zu Cassandra wiederherzustellen.

Um dies zu vermeiden, empfiehlt Apigee, dass sich der Cassandra-Server, der Nachrichtenprozessor und die Router im selben Subnetz befinden, damit bei der Bereitstellung dieser Komponenten keine Firewall erforderlich ist.

Wenn sich zwischen dem Router und den Nachrichtenprozessoren eine Firewall befindet und eine TCP-Zeitüberschreitung für die Inaktivität festgelegt ist, empfehlen wir Folgendes:

1. Legen Sie in den sysctl-Einstellungen unter Linux net.ipv4.tcp_keepalive_time = 1800 fest. Dabei sollte 1800 kleiner als die TCP-Zeitüberschreitung der Firewall sein. Mit dieser Einstellung sollte die Verbindung in einem aktiven Zustand bleiben, damit die Firewall die Verbindung nicht trennt.
2. Bearbeiten Sie bei allen Nachrichten-Prozessoren /<inst_root>/apigee/customer/application/message-processor.properties, um die folgende Property hinzuzufügen. Wenn die Datei nicht vorhanden ist, erstellen Sie sie.
   conf_system_casssandra.maxconnecttimeinmillis=-1
3. Starten Sie den Message Processor neu:
   > /opt/apigee/apigee-service/bin/apigee-service Edge-message-processor neustart
4. Bearbeiten Sie auf allen Routern /<inst_root>/apigee/customer/application/router.properties, um die folgende Property hinzuzufügen. Wenn die Datei nicht vorhanden ist, erstellen Sie sie.
   conf_system_casssandra.maxconnecttimeinmillis=-1
5. Starten Sie den Router neu:
   > /opt/apigee/apigee-service/bin/apigee-service edge-router restart

Wenn Sie die Clusterkonfiguration mit 12 Hosts mit zwei Rechenzentren installieren, achten Sie darauf, dass die Knoten in den beiden Rechenzentren über die unten aufgeführten Ports kommunizieren können:

API BaaS-Portanforderungen

Wenn Sie API BaaS installieren möchten, fügen Sie die Komponenten „API BaaS-Stack“ und „API BaaS-Portal“ hinzu. Diese Komponenten verwenden die in der Abbildung unten dargestellten Anschlüsse:

Hinweise zu diesem Diagramm:

• Die Cassandra-Knoten können für API BaaS dediziert oder für Edge freigegeben werden.
• Bei einer Produktionsinstallation von API BaaS wird ein Load Balancer zwischen dem API BaaS-Portalknoten und den API BaaS-Stackknoten verwendet. Beim Konfigurieren des Portals und beim Ausführen von BaaS API-Aufrufen geben Sie die IP-Adresse oder den DNS-Namen des Load Balancers an, nicht die der Stack-Knoten.
• Sie müssen alle Baas Stack-Knoten so konfigurieren, dass E-Mails über einen externen SMTP-Server gesendet werden. Für Nicht-TLS-SMTP lautet die Portnummer normalerweise 25. Für TLS-fähiges SMTP ist dies häufig 465, wenden Sie sich an Ihren SMTP-Anbieter.

Die folgende Tabelle zeigt die Standardports, die in Firewalls geöffnet werden müssen, nach Komponente:

Lizenzierung

Für jede Installation von Edge ist eine eindeutige Lizenzdatei erforderlich, die Sie von Apigee erhalten. Sie müssen den Pfad zur Lizenzdatei angeben, wenn Sie den Verwaltungsserver installieren, z. B. /tmp/license.txt.

Das Installationsprogramm kopiert die Lizenzdatei in /<inst_root>/apigee/customer/conf/license.txt.

Wenn die Lizenzdatei gültig ist, prüft der Verwaltungsserver das Ablaufdatum und die zulässige Anzahl von Nachrichtenprozessoren. Wenn eine der Lizenzeinstellungen abgelaufen ist, finden Sie die Logs an folgendem Speicherort: /&lt;inst_root&gt;/apigee/var/log/edge-management-server/logs. In diesem Fall können Sie sich an den Apigee-Support wenden, um Details zur Migration zu erhalten.