インストール要件

Edge for Private Cloud v. 4.16.05

ハードウェア要件

本番環境の高可用性インフラストラクチャでは、次の最小ハードウェア要件を満たしている必要があります。インストール トポロジで説明されているすべてのインストール シナリオに適用される、インストール コンポーネントの最小ハードウェア要件を次の表に示します。

上記の表では、ハードディスクの要件は、オペレーティング システムで必要なハードディスク容量とは別のものです。使用するアプリケーションとネットワーク トラフィックによっては、必要なリソースは下記より増減する場合があります。

また、Monetization Services をインストールする場合のハードウェア要件を次に示します。

API BaaS をインストールする場合のハードウェア要件を次に示します。

注:

• ルート ファイル システムがインストールに十分な大きさでない場合は、より大きなディスクにデータを配置することをおすすめします。
• 古いバージョンの Apigee Edge for Private Cloud がマシンにインストールされている場合は、新しいバージョンをインストールする前に /tmp/java フォルダを削除してください。
• Cassandra を起動するには、システム全体の一時フォルダ /tmp に実行権限が必要です。
• インストール前にユーザー「apigee」が作成されている場合、ホーム ディレクトリとして「/home/apigee」が存在し、そのディレクトリの所有者が「apigee:apigee」であることを確認してください。

オペレーティング システムとサードパーティ ソフトウェアの要件

これらのインストール手順と提供されているインストール ファイルは、https://apigee.com/docs/api-services/reference/supported-software に記載されているオペレーティング システムとサードパーティ ソフトウェアでテストされています。

Apigee ユーザーの作成

インストール手順では、「apigee」という名前の Unix システム ユーザーが作成されます。Edge のディレクトリとファイルは、Edge プロセスと同じく、「apigee」が所有者となります。つまり、Edge コンポーネントは「apigee」ユーザーとして実行されます。必要に応じて、コンポーネントを別のユーザーとして実行することも可能です。例については、ノードに Edge コンポーネントをインストールするの「ルーターを保護されたポートにバインドする」をご覧ください。

インストール ディレクトリ

デフォルトでは、インストーラはすべてのファイルを /opt/apigee ディレクトリに書き込みます。このディレクトリの場所は変更できません。

このガイドの手順では、インストール ディレクトリを /<inst_root>/apigee と記載しています。ここで、/<inst_root> はデフォルトで /opt です。

Java

インストール前に、サポートされているバージョンの Java1.8 を各マシンにインストールする必要があります。サポートされている JDK のリストを以下に示します。

https://apigee.com/docs/api-services/reference/supported-software

JAVA_HOME が、インストールを実行するユーザーの JDK のルートをポイントしていることを確認します。

ネットワーク設定

設置前にネットワーク設定を確認することをおすすめします。インストーラは、すべてのマシンが固定 IP アドレスを持つことを想定しています。次のコマンドを使用して設定を確認します。

• hostname はマシンの名前を返します。
• hostname -i は、他のマシンからアドレス参照できるホスト名の IP アドレスを返します。

オペレーティング システムの種類とバージョンによっては、ホスト名が正しく設定されていない場合に /etc/hosts と /etc/sysconfig/network の編集が必要となることがあります。詳細については、使用しているオペレーティング システムのドキュメントをご覧ください。

Cassandra

すべての Cassandra ノードはリングに接続する必要があります。

Cassandra は、使用可能なメモリに基づいて Java のヒープサイズを自動的に調整します。詳細については、Java リソースのチューニングをご覧ください。パフォーマンスの低下やメモリ消費量が多い場合。

Edge for Private Cloud をインストールした後、/&lt;inst_root&gt;/apigee/apigee-cassandra/conf/cassandra.yaml ファイルを調べることで、Cassandra が正しく構成されていることを確認できます。たとえば、Edge for Private Cloud インストール スクリプトによって次のプロパティが設定されたことを確認します。

• cluster_name
• initial_token
• パーティショナー
• 種子
• listen_address
• rpc_address
• snitch

警告: このファイルは編集しないでください。

PostgreSQL データベース

Edge をインストールした後、システムで使用可能な RAM の量に基づいて PostgreSQL データベースの次の設定を調整できます。

conf_postgresql_shared_buffers = 35% of RAM      # min 128kB
conf_postgresql_effective_cache_size = 45% of RAM
conf_postgresql_work_mem = 512MB       # min 64kB

これらの値を設定するには:

1. postgresql.properties を編集します。
   > vi /<inst_root>/apigee/customer/application/postgresql.properties
   
   ファイルが存在しない場合は作成します。
2. 上記のプロパティを設定します。
3. 編集内容を保存します。
4. PostgreSQL データベースを再起動します。
   > /<inst_root>/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

jsvc

「jsvc」は API BaaS を使用する前提条件です。API BaaS をインストールすると、バージョン 1.0.15-dev がインストールされます。

Network Security Services（NSS）

Network Security Services（NSS）は、セキュリティが有効なクライアント アプリケーションとサーバー アプリケーションの開発をサポートするライブラリのセットです。NSS v3.19 以降がインストールされていることを確認します。

現在のバージョンを確認するには:

> yum info nss

次のコマンドで NSS をアップデートします。

> yum update nss

詳細については、RedHat のこちらの記事をご覧ください。

AWS AMI

Red Hat Enterprise Linux 7.x の AWS Amazon Machine Image（AMI）に Edge をインストールする場合は、最初に次のコマンドを実行する必要があります。

> yum-config-manager --enable rhui-REGION-rhel-server-extras rhui-REGION-rhel-server-optional

ツール

インストーラでは、次の UNIX ツール（EL5 または EL6 で提供されている標準バージョン）が使用されます。

注:

• ツール「useradd」の実行ファイルは /usr/sbin 内にあり、chkconfig の実行ファイルは /sbin 内にあります。
• sudo を使用することで、呼び出し元ユーザーの環境より上位のアクセス権が得られます。たとえば、通常は「sudo <command>」または「sudo PATH=$PATH:/usr/sbin:/sbin <command>」を呼び出します。
• サービスパック（パッチ）をインストールする前に「patch」ツールがインストールされていることを確認します。

ntpdate – サーバーの時刻を同期させることをおすすめします。まだ構成されていない場合は、「ntpdate」ユーティリティがこの目的に利用できます。このユーティリティは、サーバーが時刻が同期されているかどうかを検証します。このユーティリティをインストールするには、yum install ntp を使用します。このコマンドは、OpenLDAP 設定をレプリケートする場合に特に役立ちます。サーバーのタイムゾーンを UTC で設定してください。

openldap 2.4 - オンプレミス インストールには OpenLDAP 2.4 が必要です。サーバーがインターネットに接続できる場合は、Edge インストール スクリプトによって OpenLDAP がダウンロードされ、インストールされます。サーバーがインターネットに接続できない場合は、Edge インストール スクリプトを実行する前に OpenLDAP がインストールされていることを確認する必要があります。RHEL/CentOS では、「yum install openldap-clients openldap-servers」を実行して OpenLDAP をインストールできます。

13 ホスト インストールと 2 つのデータセンターを使用する 12 ホスト インストールでは、OpenLDAP をホストするノードが複数あるため、OpenLDAP レプリケーションが必要です。

ファイアウォールと仮想ホスト

IT 分野では「仮想」という用語が過負荷になるのが一般的です。Apigee Edge for Private Cloud のデプロイや仮想ホストでは、「仮想」という用語が使われがちです。より明確に言うと、「仮想」という用語は主に次の 2 つの用途で使われています。

• 仮想マシン（VM）: 必須ではありませんが、一部のデプロイでは VM テクノロジーを使用して、Apigee コンポーネント用に分離されたサーバーを作成します。VM ホストは、物理ホストのようにネットワーク インターフェースやファイアウォールを実装できます。これらのインストール手順は、VM のインストールを特にサポートしていません。
• 仮想ホスト: Apache 仮想ホストに類似したウェブ エンドポイント。

VM 内のルーターは、複数の仮想ホストを公開できます（ただし、ホスト エイリアスまたはインターフェース ポートがそれぞれ異なる必要があります）。

例として、1 台の物理サーバー「A」が「VM1」と「VM2」という 2 つの VM を実行しているとします。VM1 が仮想イーサネット インターフェースを公開しているとします。このインターフェースは VM 内で eth0 という名前が付けられ、仮想化マシンによって IP アドレス 111.111.111.111 が割り当てられ、仮想マシンに IP アドレス 111.111.111.111 が割り当てられています。

この場合、2 つの VM のそれぞれで Apigee Router を稼働させることができます。この例では、これらのルーターは次のように仮想ホストのエンドポイントを公開します。

VM1 の Apigee ルーターは、eth0 インターフェースで（特定の IP アドレスを持つ）api.mycompany.com:80、api.mycompany.com:443、test.mycompany.com:80 の 3 つの仮想ホストを公開します。

VM2 のルーターは api.mycompany.com:80 を公開します（VM1 が公開するものと同じ名前とポート）。

物理ホストのオペレーティング システムにはネットワーク ファイアウォールが存在することがあります。その場合、仮想インターフェース（111.111.111.111:{80, 443} と 111.111.111.222:80）上で公開されているポートへの TCP トラフィックを通過させるようにファイアウォールを構成する必要があります。さらに、各 VM のオペレーティング システムにおいても、eth0 インターフェースに独自のファイアウォールを実装している場合があり、ポート 80 とポート 443 をトラフィックが接続できるように許可する必要があります。

ベースパスは、デプロイされた異なる API プロキシに API 呼び出しをルーティングするための 3 つ目のコンポーネントです。API プロキシ バンドルは、異なるベースパスを持つ場合に特定のエンドポイントを共有できます。たとえば、あるベースパスは http://api.mycompany.com:80/ と定義され、別のベースパスは http://api.mycompany.com:80/salesdemo と定義されます。

この例では、http://api.mycompany.com:80/ へのトラフィックを 2 つの IP アドレス（VM1 の 111.111.111.111 と VM2 の 111.111.111.222）の間で分割するある種のロードバランサまたはトラフィック ディレクターが必要です。この機能は特定のインストールに固有のもので、ローカル ネットワーク グループによって構成されます。

ベースパスは、API のデプロイ時に設定されます。上記の例では、api.mycompany.com というホスト エイリアスとポート 80 の仮想ホストを持つ組織 mycompany-org に対して 2 つの API（mycompany と testmycompany）をデプロイできます。デプロイでベースパスを宣言しないと、ルーターは受信リクエストの送信先の API を認識しません。

しかし、API testmycompany を /salesdemo というベース URL でデプロイすれば、ユーザーは http://api.mycompany.com:80/salesdemo を使用してこの API にアクセスできます。また、API mycompany を / というベース URL でデプロイすれば、ユーザーは URL http://api.mycompany.com:80/ によってこの API にアクセスできます。

Edge ポートの要件

ファイアウォールの管理は、仮想ホストについてのみ必要なわけではありません。VM ホストと物理的なホスト ファイアウォールの両方で、コンポーネントが互いに通信するために必要なポートのトラフィックを許可する必要があります。

次の図は、各 Edge コンポーネントのポート要件を示しています。

この図での注記:

• *Router と Message Processor 間の TLS/SSL を構成する際、Router がアクセスできるよう Message Processor 上のポート 8082 は開いておく必要があります。Router と Message Processor 間で TLS/SSL を構成しない場合のデフォルト構成では、コンポーネントを管理するためポート 8082 は Message Processor 上で開けておく必要があります。しかし、Router は Message Processor へのアクセスを要求しません。
• 接頭辞が「M」のポートは、コンポーネント管理に使用されるポートで、Management Server がアクセスするためにコンポーネント上で開いている必要があります。
• 次のコンポーネントは、Management Server のポート 8080 にアクセスする必要があります。Router、Message Processor、UI、Postgres、Qpid。
• Message Processor では、管理ポートとしてポート 4528 を開く必要があります。複数の Message Processor がある場合は、ポート 4528（Message Processor 上のポート 4528 は、上のダイアグラムではループ矢印で示されています）を介して、すべてが互いにアクセスできる必要があります。データセンターが複数ある場合は、全データセンターのすべての Message Processor からポートにアクセスできる必要があります。
• 必須ではありませんが、任意の Message Processor がアクセスできるように、Router でポート 4527 を開くこともできます。開いていないと、Message Processor のログファイルにエラー メッセージが表示されることがあります。
• Router は、管理ポートとしてポート 4527 を開く必要があります。複数の Router がある場合は、ポート 4527（Router 上のポート 4527 については、上のダイアグラムではループ矢印で示されています）を介して、すべてが互いにアクセスできる必要があります。
• Edge UI で Trace ツールの [Send] ボタンを使用可能にするには、API プロキシによって公開されるポートで Router にアクセスする必要があります。
• Management Server は、Cassandra ノードの JMX ポートにアクセスする必要があります。
• JMX ポートへのアクセスを構成して、ユーザー名とパスワードを要求させることができます。詳細については、モニタリング方法をご覧ください。
• オプションで、特定の接続に対して TLS / SSL アクセスを構成できます。TLS / SSL アクセスには異なるポートが使われることがあります。詳細については、TLS/SSL をご覧ください。
• マスター スタンバイ レプリケーションを使用するように 2 つの Postgres ノードを構成する場合は、ssh アクセスのために各ノードでポート 22 を開く必要があります。必要に応じて、個々のノードでポートを開いて SSH アクセスを許可できます。
• 外部 SMTP サーバー経由でメールを送信するように Management Server と Edge UI を構成できます。構成する場合、Management Server と UI が SMTP サーバー上の必要なポートにアクセスできる必要があります。TLS 非対応の SMTP では一般にポート番号は 25 です。TLS 対応の SMTP では多くの場合、ポート番号は 465 ですが、SMTP プロバイダに確認してください。

次の表は、Edge コンポーネントによって開かれる必要のあるファイアウォール内のポートを示しています。

> curl -v http://<routerIP>:15999/v1/servers/self/reachable

次の表に、同じポートを送信元コンポーネントと宛先コンポーネントとともに番号で示しています。

Message Processor は、タイムアウトしないように構成された専用接続プールを Cassandra に対して開いたままにします。ファイアウォールが Message Processor と Cassandra サーバーの間にある場合、ファイアウォールでは接続がタイムアウトになる可能性があります。ただし、メッセージ プロセッサは Cassandra への接続を再確立するように設計されていません。

このような状況を回避するため、Cassandra サーバー、Message Processor、Router を同じサブネットに配置して、ファイアウォールがこれらのコンポーネントのデプロイに関与しないようにすることを Apigee ではおすすめしています。

ファイアウォールが Router と Message Processor の間にあり、アイドル TCP のタイムアウトが設定されている場合は、以下を行うことをおすすめします。

1. Linux OS の sysctl 設定で net.ipv4.tcp_keepalive_time = 1800 を設定します。1800 はファイアウォールのアイドル時間（TCP タイムアウト）より低い値です。この設定では、ファイアウォールが接続を切断しないように、接続が確立された状態に維持する必要があります。
2. すべての Message Processor で、/<inst_root>/apigee/customer/application/message-processor.properties を編集して次のプロパティを追加します。ファイルが存在しない場合は作成します。
   conf_system_casssandra.maxconnecttimeinmillis=-1
3. Message Processor を再起動します。
   > /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
4. すべての Router で /<inst_root>/apigee/customer/application/router.properties を編集して、次のプロパティを追加します。ファイルが存在しない場合は作成します。
   conf_system_casssandra.maxconnecttimeinmillis=-1
5. ルーターを再起動します。
   > /opt/apigee/apigee-service/bin/apigee-service edge-router restart

2 つのデータセンターを持つ 12 ホストのクラスタ構成をインストールする場合は、2 つのデータセンターのノードが以下に示すポートで通信できることを確認します。

API BaaS ポートの要件

API BaaS をインストールする場合は、API BaaS Stack コンポーネントと API BaaS Portal コンポーネントを追加します。これらのコンポーネントでは、次の図に示すポートが使用されます。

このダイアグラムに関する注意

• Cassandra ノードは、API BaaS 専用にすることも、Edge と共有することもできます。
• API BaaS の本番環境インストールでは、API BaaS Portal ノードと API BaaS Stack ノードの間にロードバランサを使用します。Portal を構成する場合や BaaS API 呼び出しを行う場合は、Stack ノードの IP アドレスではなく、ロードバランサの IP アドレスまたは DNS 名を指定します。
• すべての Baas Stack ノードが、外部 SMTP サーバー経由でメールを送信するように構成する必要があります。TLS 以外の SMTP の場合、ポート番号は通常 25 です。TLS 対応の SMTP の場合、通常は 465 ですが、SMTP プロバイダに確認してください。

以下の表は、ファイアウォールで開く必要があるデフォルトのポートをコンポーネント別に示します。

ライセンス

Edge のインストールごとに、Apigee から取得した固有のライセンス ファイルが必要となります。管理サーバーをインストールするときに、ライセンス ファイルのパスを指定する必要があります（例: /tmp/license.txt）。

インストーラはライセンス ファイルを /&lt;inst_root&gt;/apigee/customer/conf/license.txt にコピーします。

ライセンス ファイルが有効な場合は、その有効期限と許可された Message Processor（MP）の数が検証されます。いずれかのライセンス設定が期限切れになっている場合は、/<inst_root>/apigee/var/log/edge-management-server/logs でログを確認できます。その場合は、Apigee サポートに移行の詳細をお問い合わせください。