Yêu cầu về cài đặt

Edge for Private Cloud v. 4.16.05

Yêu cầu về phần cứng

Bạn phải đáp ứng các yêu cầu tối thiểu sau đây về phần cứng để có cơ sở hạ tầng có khả năng sẵn sàng cao trong môi trường cấp sản xuất. Đối với tất cả các trường hợp cài đặt được mô tả trong phần Cấu trúc cài đặt, các bảng sau đây liệt kê các yêu cầu tối thiểu về phần cứng cho các thành phần cài đặt.

Trong các bảng này, yêu cầu về ổ đĩa cứng là ngoài dung lượng ổ đĩa cứng mà hệ điều hành yêu cầu. Tuỳ thuộc vào ứng dụng và lưu lượng truy cập mạng, quá trình cài đặt có thể yêu cầu nhiều hoặc ít tài nguyên hơn so với danh sách dưới đây.

Ngoài ra, sau đây là danh sách các yêu cầu về phần cứng nếu bạn muốn cài đặt Dịch vụ kiếm tiền:

Sau đây là danh sách các yêu cầu về phần cứng nếu bạn muốn cài đặt API BaaS:

Lưu ý:

• Nếu hệ thống tệp gốc không đủ lớn để cài đặt, bạn nên đặt dữ liệu vào một ổ đĩa lớn hơn.
• Nếu bạn đã cài đặt phiên bản cũ của Apigee Edge cho Private Cloud trên máy, hãy đảm bảo rằng bạn xoá thư mục /tmp/java trước khi cài đặt phiên bản mới.
• Thư mục tạm thời trên toàn hệ thống /tmp cần quyền thực thi để khởi động Cassandra.
• Nếu người dùng “apigee” được tạo trước khi cài đặt, hãy đảm bảo rằng “/home/apigee” tồn tại dưới dạng thư mục gốc và thuộc quyền sở hữu của “apigee:apigee”.

Yêu cầu về hệ điều hành và phần mềm của bên thứ ba

Các hướng dẫn cài đặt này và tệp cài đặt được cung cấp đã được kiểm tra trên các hệ điều hành và phần mềm bên thứ ba được liệt kê tại đây: https://apigee.com/docs/api-services/reference/supported-software.

Tạo người dùng apigee

Quy trình cài đặt này sẽ tạo một người dùng hệ thống Unix có tên 'apigee'. Thư mục và tệp Edge thuộc sở hữu của "apigee", cũng như các quy trình Edge. Điều đó có nghĩa là các thành phần Edge chạy dưới dạng người dùng "apigee". Nếu cần, bạn có thể chạy các thành phần dưới dạng một người dùng khác. Xem phần "Liên kết Trình định tuyến với một cổng được bảo vệ" trong phần Cài đặt các thành phần Edge trên một nút để biết ví dụ.

Thư mục cài đặt

Theo mặc định, trình cài đặt sẽ ghi tất cả tệp vào thư mục /opt/apigee. Bạn không thể thay đổi vị trí thư mục này.

Trong hướng dẫn của hướng dẫn này, thư mục cài đặt được ghi là /<inst_root>/apigee, trong đó /<inst_root> là /opt theo mặc định.

Java

Bạn cần cài đặt phiên bản Java1.8 được hỗ trợ trên mỗi máy trước khi cài đặt. Danh sách các JDK được hỗ trợ được liệt kê tại đây:

https://apigee.com/docs/api-services/reference/supported-software

Đảm bảo rằng JAVA_HOME trỏ đến thư mục gốc của JDK cho người dùng thực hiện quá trình cài đặt.

Cài đặt mạng

Bạn nên kiểm tra chế độ cài đặt mạng trước khi cài đặt. Trình cài đặt muốn rằng tất cả các máy đều có địa chỉ IP cố định. Hãy sử dụng các lệnh sau để xác thực chế độ cài đặt này:

• hostname trả về tên của máy
• hostname -i trả về địa chỉ IP cho tên máy chủ có thể được định địa chỉ từ các máy khác.

Tuỳ thuộc vào loại và phiên bản hệ điều hành, bạn có thể phải chỉnh sửa /etc/hosts và /etc/sysconfig/network nếu tên máy chủ được đặt không chính xác. Hãy xem tài liệu dành cho hệ điều hành cụ thể của bạn để biết thêm thông tin.

Cassandra

Tất cả các nút Cassandra phải được kết nối với một vòng.

Cassandra tự động điều chỉnh kích thước vùng nhớ khối xếp Java dựa trên bộ nhớ có sẵn. Để biết thêm thông tin, hãy xem phần Điều chỉnh tài nguyên Java. Trong trường hợp hiệu suất suy giảm hoặc mức tiêu thụ bộ nhớ cao.

Sau khi cài đặt Edge for Private Cloud, bạn có thể kiểm tra xem Cassandra đã được định cấu hình đúng cách hay chưa bằng cách kiểm tra tệp /<inst_root>/apigee/apigee-cassandra/conf/cassandra.yaml. Ví dụ: đảm bảo rằng tập lệnh cài đặt Edge cho Đám mây riêng tư đặt các thuộc tính sau:

• cluster_name
• initial_token
• trình phân vùng
• hạt giống
• listen_address
• rpc_address
• snitch

Cảnh báo: Đừng chỉnh sửa tệp này.

Cơ sở dữ liệu PostgreSQL

Sau khi cài đặt Edge, bạn có thể điều chỉnh các chế độ cài đặt cơ sở dữ liệu PostgreSQL sau đây dựa trên dung lượng RAM có sẵn trên hệ thống:

conf_postgresql_shared_buffers = 35% of RAM      # min 128kB
conf_postgresql_effective_cache_size = 45% of RAM
conf_postgresql_work_mem = 512MB       # min 64kB

Cách đặt những giá trị này:

1. Chỉnh sửa postgresql.properties:
   > vi /<inst_root>/apigee/customer/application/postgresql.properties
   
   Nếu tệp không tồn tại, hãy tạo tệp.
2. Đặt các thuộc tính nêu trên.
3. Lưu nội dung chỉnh sửa.
4. Khởi động lại cơ sở dữ liệu PostgreSQL:
   > /<inst_root>/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

jsvc

"jsvc" là điều kiện tiên quyết để sử dụng API BaaS. Phiên bản 1.0.15-dev được cài đặt khi bạn cài đặt API BaaS.

Dịch vụ an ninh mạng (NSS)

Dịch vụ bảo mật mạng (NSS) là một bộ thư viện hỗ trợ phát triển các ứng dụng máy khách và máy chủ có hỗ trợ bảo mật. Bạn cần đảm bảo rằng mình đã cài đặt NSS phiên bản 3.19 trở lên.

Cách kiểm tra phiên bản hiện tại:

> yum info nss

Cách cập nhật NSS:

> yum update nss

Hãy xem bài viết này của RedHat để biết thêm thông tin.

AMI của AWS

Nếu đang cài đặt Edge trên Hình ảnh máy Amazon (AMI) của AWS cho Red Hat Enterprise Linux 7.x, trước tiên, bạn phải chạy lệnh sau:

> yum-config-manager --enable rhui-REGION-rhel-server-extras rhui-REGION-rhel-server-optional

Công cụ

Trình cài đặt sử dụng các công cụ UNIX sau đây trong phiên bản tiêu chuẩn do EL5 hoặc EL6 cung cấp.

Lưu ý:

• Tệp thực thi cho công cụ "useradd" nằm trong /usr/sbin và cho chkconfig trong /sbin.
• Với quyền truy cập sudo, bạn có thể có quyền truy cập qua môi trường của người dùng gọi, ví dụ: thông thường bạn sẽ gọi “sudo <command>” hoặc “sudo PATH=$PATH:/usr/sbin:/sbin <command>”.
• Đảm bảo rằng bạn đã cài đặt công cụ "bản vá" trước khi cài đặt gói dịch vụ (bản vá).

ntpdate – Bạn nên đồng bộ hoá thời gian của máy chủ. Nếu chưa được định cấu hình, tiện ích "ntpdate" có thể phục vụ mục đích này, giúp xác minh xem máy chủ có được đồng bộ hoá thời gian hay không. Bạn có thể sử dụng lệnh “yum install ntp” để cài đặt tiện ích này. Điều này đặc biệt hữu ích khi sao chép các chế độ thiết lập OpenLDAP. Xin lưu ý rằng bạn phải thiết lập múi giờ của máy chủ theo giờ UTC.

openldap 2.4 – Quá trình cài đặt tại chỗ yêu cầu OpenLDAP 2.4. Nếu máy chủ của bạn có kết nối Internet, thì tập lệnh cài đặt Edge sẽ tải xuống và cài đặt OpenLDAP. Nếu máy chủ của bạn không có kết nối Internet, bạn phải đảm bảo rằng OpenLDAP đã được cài đặt trước khi chạy tập lệnh cài đặt Edge. Trên RHEL/CentOS, bạn có thể chạy "yum install openldap-clients openldap-servers" để cài đặt OpenLDAP.

Đối với các bản cài đặt 13 máy chủ và 12 máy chủ có hai Trung tâm dữ liệu, bạn cần có tính năng sao chép OpenLDAP vì có nhiều nút lưu trữ OpenLDAP.

Tường lửa và máy chủ ảo

Thuật ngữ "ảo" thường bị nhầm lẫn trong lĩnh vực công nghệ thông tin, cũng như với việc triển khai Apigee Edge cho Private Cloud và máy chủ lưu trữ ảo. Để làm rõ, có hai cách sử dụng chính của thuật ngữ "ảo":

• Máy ảo (VM): Không bắt buộc, nhưng một số hoạt động triển khai sử dụng công nghệ máy ảo để tạo máy chủ riêng biệt cho các thành phần Apigee. Máy chủ lưu trữ máy ảo, giống như máy chủ lưu trữ thực, có thể có giao diện mạng và tường lửa. Các hướng dẫn cài đặt này không hỗ trợ cụ thể việc cài đặt máy ảo.
• Máy chủ ảo: Điểm cuối web, tương tự như máy chủ ảo Apache.

Một bộ định tuyến trong máy ảo có thể hiển thị nhiều máy chủ ảo (miễn là các máy chủ này khác nhau về bí danh máy chủ hoặc cổng giao diện).

Chẳng hạn như một máy chủ vật lý "A" có thể đang chạy hai máy ảo, tên là "VM1" và "VM2". Giả sử VM1 hiển thị một giao diện Ethernet ảo, được đặt tên là eth0 bên trong máy ảo và được gán địa chỉ IP 111.111.111.111 bởi cơ chế ảo hoá hoặc máy chủ DHCP mạng; sau đó giả sử VM2 hiển thị một giao diện Ethernet ảo cũng tên là eth0 và được gán địa chỉ IP 111.111.111.222.

Chúng ta có thể có một bộ định tuyến Apigee chạy trong mỗi trong hai máy ảo. Bộ định tuyến hiển thị các điểm cuối của máy chủ lưu trữ ảo như trong ví dụ giả định sau:

Bộ định tuyến Apigee trong VM1 hiển thị ba máy chủ ảo trên giao diện eth0 (có một số địa chỉ IP cụ thể), api.mycompany.com:80, api.mycompany.com:443 và test.mycompany.com:80.

Bộ định tuyến trong VM2 hiển thị api.mycompany.com:80 (cùng tên và cổng mà VM1 hiển thị).

Hệ điều hành của máy chủ thực có thể có tường lửa mạng; nếu có, tường lửa đó phải được định cấu hình để truyền lưu lượng truy cập TCP liên kết với các cổng đang hiển thị trên giao diện ảo hoá (111.111.111.111:{80, 443} và 111.111.111.222:80). Ngoài ra, mỗi hệ điều hành của máy ảo có thể cung cấp tường lửa riêng trên giao diện eth0 và các tường lửa này cũng phải cho phép lưu lượng truy cập qua cổng 80 và 443 kết nối.

Đường dẫn cơ sở là thành phần thứ ba tham gia vào việc định tuyến các lệnh gọi API đến các proxy API khác nhau mà bạn có thể đã triển khai. Các gói proxy API có thể chia sẻ một điểm cuối nếu có đường dẫn cơ sở khác nhau. Ví dụ: bạn có thể xác định một đường dẫn cơ sở là http://api.mycompany.com:80/ và một đường dẫn cơ sở khác là http://api.mycompany.com:80/salesdemo.

Trong trường hợp này, bạn cần một trình cân bằng tải hoặc giám đốc lưu lượng thuộc loại nào đó để phân chia lưu lượng truy cập http://api.mycompany.com:80/ giữa hai địa chỉ IP (111.111.111.111 trên VM1 và 111.111.111.222 trên VM2). Hàm này dành riêng cho hoạt động cài đặt cụ thể của bạn và do nhóm mạng cục bộ của bạn định cấu hình.

Đường dẫn cơ sở được thiết lập khi bạn triển khai API. Từ ví dụ trên, bạn có thể triển khai hai API, mycompany và testmycompany, cho tổ chức mycompany-org với máy chủ lưu trữ ảo có bí danh máy chủ lưu trữ là api.mycompany.com và cổng được đặt thành 80. Nếu bạn không khai báo đường dẫn cơ sở trong quá trình triển khai, thì bộ định tuyến sẽ không biết gửi yêu cầu đến API nào.

Tuy nhiên, nếu bạn triển khai API testmycompany.com:80/salesdemo bằng URL cơ sở là /salesdemo, thì người dùng sẽ truy cập vào API đó bằng http://api.mycompany.com:80/salesdemo. Nếu bạn triển khai API mycompany với URL cơ sở là /, thì người dùng sẽ truy cập vào API bằng URL http://api.mycompany.com:80/.

Yêu cầu về cổng Edge

Việc quản lý tường lửa không chỉ dành cho máy chủ ảo; cả tường lửa máy ảo và máy chủ thực đều phải cho phép lưu lượng truy cập cho các cổng mà các thành phần cần để giao tiếp với nhau.

Hình ảnh sau đây cho thấy các yêu cầu về cổng cho từng thành phần Edge:

Lưu ý về sơ đồ này:

• *Cổng 8082 trên Trình xử lý thông báo chỉ cần mở để Bộ định tuyến truy cập khi bạn định cấu hình TLS/SSL giữa Bộ định tuyến và Trình xử lý thông báo. Nếu bạn không định cấu hình TLS/SSL giữa Trình định tuyến và Trình xử lý thông báo, thì cấu hình mặc định, cổng 8082 vẫn phải mở trên Trình xử lý thông báo để quản lý thành phần, nhưng Trình định tuyến không yêu cầu quyền truy cập vào cổng này.
• Các cổng có tiền tố "M" là các cổng dùng để quản lý thành phần và phải được mở trên thành phần để Máy chủ quản lý truy cập.
• Các thành phần sau đây yêu cầu quyền truy cập vào cổng 8080 trên Máy chủ quản lý: Bộ định tuyến, Bộ xử lý thông báo, Giao diện người dùng, Postgres và Qpid.
• Bộ xử lý thông báo phải mở cổng 4528 làm cổng quản lý. Nếu bạn có nhiều Bộ xử lý thông báo, thì tất cả các bộ xử lý đó phải có thể truy cập lẫn nhau qua cổng 4528 (được biểu thị bằng mũi tên vòng lặp trong sơ đồ ở trên cho cổng 4528 trên Bộ xử lý thông báo). Nếu bạn có nhiều Trung tâm dữ liệu, thì tất cả các Bộ xử lý thông báo trong mọi Trung tâm dữ liệu đều phải truy cập được vào cổng.
• Mặc dù không bắt buộc, nhưng bạn có thể mở cổng 4527 trên Bộ định tuyến để bất kỳ Trình xử lý thông báo nào cũng có thể truy cập. Nếu không, bạn có thể thấy thông báo lỗi trong tệp nhật ký của Trình xử lý thông báo.
• Bộ định tuyến phải mở cổng 4527 làm cổng quản lý. Nếu bạn có nhiều Trình định tuyến, thì tất cả các Trình định tuyến đó phải có thể truy cập lẫn nhau qua cổng 4527 (được biểu thị bằng mũi tên vòng lặp trong sơ đồ ở trên cho cổng 4527 trên Trình định tuyến).
• Giao diện người dùng Edge yêu cầu quyền truy cập vào Bộ định tuyến, trên các cổng do proxy API hiển thị, để hỗ trợ nút Send (Gửi) trong công cụ theo dõi.
• Máy chủ quản lý yêu cầu quyền truy cập vào cổng JMX trên các nút Cassandra.
• Bạn có thể định cấu hình quyền truy cập vào cổng JMX để yêu cầu tên người dùng/mật khẩu. Hãy xem phần Cách theo dõi để biết thêm thông tin.
• Bạn có thể tuỳ ý định cấu hình quyền truy cập TLS/SSL cho một số kết nối nhất định. Các kết nối này có thể sử dụng nhiều cổng. Hãy xem TLS/SSL để biết thêm thông tin.
• Nếu định cấu hình hai nút Postgres để sử dụng tính năng sao chép chính-chờ, bạn phải mở cổng 22 trên mỗi nút để truy cập ssh. Bạn có thể mở các cổng trên từng nút để cho phép truy cập ssh.
• Bạn có thể định cấu hình Máy chủ quản lý và Giao diện người dùng Edge để gửi email thông qua máy chủ SMTP bên ngoài. Nếu có, bạn phải đảm bảo rằng Máy chủ quản lý và Giao diện người dùng có thể truy cập vào cổng cần thiết trên máy chủ SMTP. Đối với SMTP không phải TLS, số cổng thường là 25. Đối với SMTP có bật TLS, thường là 465 nhưng hãy kiểm tra với nhà cung cấp SMTP của bạn.

Bảng bên dưới cho biết các cổng cần được mở trong tường lửa, theo thành phần Edge:

> curl -v http://<routerIP>:15999/v1/servers/self/reachable

Bảng tiếp theo cho thấy cùng các cổng, được liệt kê theo thứ tự số, với các thành phần nguồn và đích:

Trình xử lý thông báo sẽ giữ cho một nhóm kết nối chuyên dụng luôn mở với Cassandra, được định cấu hình để không bao giờ hết thời gian chờ. Khi tường lửa nằm giữa trình xử lý thư và máy chủ Cassandra, tường lửa có thể hết thời gian kết nối. Tuy nhiên, trình xử lý thông báo không được thiết kế để thiết lập lại kết nối với Cassandra.

Để ngăn chặn trường hợp này, Apigee đề xuất rằng máy chủ Cassandra, trình xử lý thông báo và bộ định tuyến phải nằm trong cùng một mạng con để tường lửa không tham gia vào việc triển khai các thành phần này.

Nếu tường lửa nằm giữa bộ định tuyến và trình xử lý thông báo, đồng thời đã đặt thời gian chờ tcp ở trạng thái rảnh, bạn nên:

1. Đặt net.ipv4.tcp_keepalive_time = 1800 trong phần cài đặt sysctl trên hệ điều hành Linux, trong đó 1800 phải thấp hơn thời gian chờ tcp ở trạng thái rảnh của tường lửa. Chế độ cài đặt này sẽ duy trì kết nối ở trạng thái đã thiết lập để tường lửa không ngắt kết nối.
2. Trên tất cả Trình xử lý thông báo, hãy chỉnh sửa /<inst_root>/apigee/customer/application/message-processor.properties để thêm thuộc tính sau. Nếu tệp không tồn tại, hãy tạo tệp đó.
   conf_system_casssandra.maxconnecttimeinmillis=-1
3. Khởi động lại Trình xử lý thông báo:
   > /opt/apigee/apigee-service/bin/apigee-service cạnh-message-processor khởi động lại
4. Trên tất cả Trình định tuyến, hãy chỉnh sửa /<inst_root>/apigee/customer/application/router.properties để thêm thuộc tính sau. Nếu tệp không tồn tại, hãy tạo tệp đó.
   conf_system_casssandra.maxconnecttimeinmillis=-1
5. Khởi động lại bộ định tuyến:
   > /opt/apigee/apigee-service/bin/apigee-service edge-router restart

Nếu bạn cài đặt cấu hình được phân cụm từ 12 máy chủ lưu trữ với 2 Trung tâm dữ liệu, hãy đảm bảo rằng các nút trong 2 Trung tâm dữ liệu có thể giao tiếp qua các cổng được hiển thị dưới đây:

Yêu cầu về cổng API BaaS

Nếu chọn cài đặt API BaaS, bạn sẽ thêm các thành phần API BaaS Stack và API BaaS Portal. Các thành phần này sử dụng các cổng hiển thị trong hình dưới đây:

Lưu ý về sơ đồ này:

• Các nút Cassandra có thể dành riêng cho API BaaS hoặc có thể được chia sẻ với Edge.
• Quá trình cài đặt chính thức của API BaaS sử dụng bộ cân bằng tải giữa nút Cổng API BaaS và các nút Ngăn xếp API BaaS. Khi định cấu hình Cổng thông tin và khi thực hiện lệnh gọi API BaaS, bạn chỉ định địa chỉ IP hoặc tên DNS của bộ cân bằng tải, chứ không phải của các nút trong ngăn xếp.
• Bạn phải định cấu hình tất cả các nút trong ngăn xếp Baas để gửi email thông qua một máy chủ SMTP bên ngoài. Đối với SMTP không phải TLS, số cổng thường là 25. Đối với SMTP hỗ trợ TLS, cổng thường là 465, nhưng hãy kiểm tra với nhà cung cấp SMTP của bạn.

Bảng dưới đây trình bày các cổng mặc định cần được mở trong tường lửa theo thành phần:

Cấp phép

Mỗi lần cài đặt Edge đều yêu cầu một tệp giấy phép duy nhất mà bạn nhận được từ Apigee. Bạn sẽ cần cung cấp đường dẫn đến tệp giấy phép khi cài đặt máy chủ quản lý, chẳng hạn như /tmp/License.txt.

Trình cài đặt sẽ sao chép tệp giấy phép vào /<inst_root>/apigee/customer/conf/license.txt.

Nếu tệp giấy phép hợp lệ, máy chủ quản lý sẽ xác thực thời hạn hết hạn và số lượng Trình xử lý thông báo (MP) được phép. Nếu bất kỳ chế độ cài đặt giấy phép nào đã hết hạn, bạn có thể tìm thấy nhật ký ở vị trí sau: /<inst_root>/apigee/var/log/edge-management-server/logs. Trong trường hợp này, bạn có thể liên hệ với Nhóm hỗ trợ Apigee để biết thông tin chi tiết về việc di chuyển.