Se usó la API de Cloud Translation para traducir esta página.

Configura TLS para la API de administración

Edge para la nube privada v. 4.17.01

De forma predeterminada, TLS está inhabilitado para la API de administración y accedes a la API de administración de Edge a través de HTTP con la dirección IP del nodo del servidor de administración y el puerto 8080. Por ejemplo:

http://ms_IP:8080

Como alternativa, puedes configurar el acceso TLS a la API de administración para que puedas acceder a ella de la siguiente manera:

https://ms_IP:8443

En este ejemplo, se configura el acceso TLS para usar el puerto 8443. Sin embargo, Edge no requiere ese número de puerto. Puedes configurar el servidor de administración para que use otros valores de puerto. El único requisito es que tu firewall permita el tráfico a través del puerto especificado.

Para garantizar la encriptación de tráfico hacia y desde tu API de administración, establece la configuración en el archivo /opt/apigee/customer/application/management-server.properties.

Además de la configuración de TLS, también puedes controlar la validación de contraseñas (longitud y seguridad) si modificas el archivo management-server.properties.

Asegúrate de que el puerto TLS esté abierto

El procedimiento de esta sección configura TLS para usar el puerto 8443 en el servidor de administración. Independientemente del puerto que uses, debes asegurarte de que esté abierto en el servidor de administración. Por ejemplo, puedes usar el siguiente comando para abrirlo:

$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

Nota: En este ejemplo, se usa el puerto 8443 para el puerto TLS, y no el puerto 443 más común. Esto se debe a que, en general, los puertos inferiores a 1024 están protegidos por el sistema operativo y requieren que el proceso con el que se accede tenga acceso raíz. El servidor de administración de Edge se ejecuta como el usuario "apigee" y, por lo general, no tiene acceso a puertos inferiores a 1024.

Una alternativa es usar un balanceador de cargas con la API de Edge y finalizar TLS en el balanceador de cargas en el puerto 443. Luego, puedes usar HTTP o HTTPS entre el balanceador de cargas y la API de Edge.

Otra alternativa es usar iptables para reenviar las solicitudes del puerto 443 al puerto 8443. Por ejemplo:

iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

Configura TLS

Edita el archivo /opt/apigee/customer/application/management-server.properties para controlar el uso de TLS en el tráfico hacia y desde tu API de administración. Si este archivo no existe, créalo.

Usa el siguiente procedimiento para configurar el acceso de TLS a la API de administración:

Genera el archivo JKS del almacén de claves que contiene tu certificación TLS y clave privada. Para obtener más información, consulta Configura TLS/SSL para Edge On Premises.
Copia el archivo JKS del almacén de claves en un directorio del nodo del servidor de administración, como /opt/apigee/customer/application.
Cambia la propiedad del archivo JKS a apigee:
$ chown apigee:apigee keystore.jks

donde keystore.jks es el nombre de tu archivo de almacén de claves.
Edita /opt/apigee/customer/application/management-server.properties para configurar las siguientes propiedades. Si ese archivo no existe, créalo:
conf_webserver_ssl.enabled=true
# Deja conf_webserver_http.turn.off configurado como falso
# porque muchas llamadas internas de Edge usan HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
# Ingresa la contraseña ofuscada del almacén de claves a continuación.
conf_webserver_keystore.password=OBF:obfuscatedPassword
conf_webserver_cert.alias=apigee-devtest

donde keyStore.jks es tu archivo de almacén de claves y obfuscatedPassword es la contraseña ofuscada del almacén de claves. Consulta Configura TLS/SSL para Edge On Premises si necesitas información para generar una contraseña ofuscada.
Reinicia el servidor de administración de Edge con el siguiente comando:
$ /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

La API de administración ahora admite el acceso a través de TLS.

Después de asegurarte de que TLS funcione correctamente, incluida la IU de Edge, puedes inhabilitar el acceso HTTP a la API de administración como se describe en la siguiente sección.

Configura la IU de Edge para que use TLS para acceder a la API de Edge

En el procedimiento anterior, Apigee recomendó dejar conf_webserver_http.turn.off=false para que la IU de Edge pueda seguir realizando llamadas a la API de Edge a través de HTTP.

Usa el siguiente procedimiento para configurar la IU de Edge para que realice estas llamadas solo a través de HTTPS:

Configura el acceso de TLS a la API de administración como se describió anteriormente.
Después de confirmar que TLS funciona para la API de administración, edita /opt/apigee/customer/application/management-server.properties para establecer la siguiente propiedad:
conf_webserver_http.turn.off=true
Reinicia el servidor de administración de Edge con el siguiente comando:
$ /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
Edita /opt/apigee/customer/application/ui.properties para establecer la siguiente propiedad para la IU de Edge. Si ese archivo no existe, créalo:
conf_apigee_apigee.mgmt.baseurl="https://FQDN:8443/v1"

donde FQDN es el nombre de dominio completo, según la dirección del certificado del servidor de administración, y el número de puerto es el que se especificó anteriormente en conf_webserver_ssl.port.
Solo si usaste un certificado autofirmado (no recomendado en un entorno de producción) cuando configuraste el acceso TLS a la API de administración anterior, agrega la siguiente propiedad a ui.properties:
conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true

De lo contrario, la IU de Edge rechazará un certificado autofirmado.
Reinicia la IU de Edge con el comando:
$ /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Propiedades de TLS para el servidor de administración

En la siguiente tabla, se enumeran todas las propiedades de TLS/SSL que puedes configurar en management-server.properties:

Propiedades	Descripción
conf_webserver_http.port=8080	El valor predeterminado es 8080.
conf_webserver_ssl.enabled=false	Para habilitar o inhabilitar TLS/SSL. Con TLS/SSL habilitado (verdadero), también debes configurar las propiedades ssl.port y keystore.path.
conf_webserver_http.turn.off=true	Habilitar/inhabilitar HTTP junto con HTTPS Si solo quieres usar HTTPS, deja el valor predeterminado en true.
conf_webserver_ssl.port=8443	El puerto TLS/SSL. Obligatorio cuando TLS/SSL está habilitado (conf_webserver_ssl.enabled=true).
conf_webserver_keystore.path=<path>	La ruta de acceso al archivo de almacén de claves. Es obligatorio cuando TLS/SSL está habilitado (conf_webserver_ssl.enabled=true).
conf_webserver_keystore.password=	Usa una contraseña ofuscada con este formato: OBF:xxxxxxxxxx
conf_webserver_cert.alias=	Alias de certificado del almacén de claves opcional
conf_webserver_keymanager.password=	Si tu administrador de claves tiene una contraseña, ingresa una versión ofuscada de la contraseña con este formato: OBF:xxxxxxxxxx
conf_webserver_trust.all= <false \| true> conf_webserver_trust.store.path=<ruta> conf_webserver_trust.store.password=	Establece la configuración para tu almacén de confianza. Determina si deseas aceptar todos los certificados TLS/SSL (por ejemplo, para aceptar tipos no estándar). El valor predeterminado es false. Proporciona la ruta de acceso a tu almacén de confianza y, luego, ingresa una contraseña ofuscada del almacén de confianza con este formato: OBF:xxxxxxxxxx
conf_webserver_exclude.cipher.suites=<CIPHER_SUITE_1 CIPHER_SUITE_2> conf_webserver_include.cipher.suites=	Indica los conjuntos de algoritmos de cifrado que deseas incluir o excluir. Por ejemplo, si descubres una vulnerabilidad en un algoritmo de cifrado, puedes excluirla aquí. Separa los diferentes algoritmos de cifrado con un espacio. Para obtener información sobre los paquetes de algoritmos de cifrado y la arquitectura de criptografía, consulta los siguientes recursos: http://docs.oracle.com/javase/8/docs/technotes/ guides/security/SunProviders.html#SunJSSE
conf_webserver_ssl.session.cache.size= conf_webserver_ssl.session.timeout=	Números enteros que determinan lo siguiente: Es el tamaño de la caché de la sesión TLS/SSL (en bytes) para almacenar información de la sesión de varios clientes. Es la cantidad de tiempo que pueden durar las sesiones TLS/SSL antes de que se agote el tiempo de espera (en milisegundos).