Как настроить TLS для API управления

Edge для частного облака версии 4.17.01

По умолчанию TLS отключен для API управления, и вы получаете доступ к Edge Management API по протоколу HTTP, используя IP-адрес узла сервера управления и порт 8080. Пример:

http://ms_IP:8080

Вы также можете настроить доступ TLS к API управления, чтобы обращаться к нему в следующем формате:

https://ms_IP:8443

В этом примере вы настроите доступ по протоколу TLS с использованием порта 8443. Однако этот номер порта не является обязательным для Edge – вы можете настроить сервер управления на использование других значений портов. Единственное требование – чтобы брандмауэр разрешал трафик через указанный порт.

Чтобы обеспечить шифрование трафика, поступающего в Management API и исходящего из него, настройте параметры в файле /opt/apigee/customer/application/management-server.properties.

Помимо конфигурации TLS, вы также можете управлять проверкой пароля (длиной и надежностью) с помощью файла management-server.properties.

Убедитесь, что порт TLS открыт

В этой процедуре TLS настраивается на использование порта 8443 на сервере управления. Какой бы порт вы ни использовали, убедитесь, что он открыт на сервере управления. Например, чтобы открыть его, можно использовать следующую команду:

$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

Как настроить TLS

Измените файл /opt/apigee/customer/application/management-server.properties, чтобы управлять использованием TLS для трафика, поступающего в API управления и исходящего из него. Если такого файла нет, создайте его.

Чтобы настроить доступ к API управления по протоколу TLS, выполните следующие действия:

  1. Создайте файл хранилища ключей JKS, содержащий сертификат TLS и закрытый ключ. Подробнее о том, как настроить TLS/SSL для локальной версии Edge…
  2. Скопируйте файл хранилища ключей JKS в каталог на узле сервера управления, например /opt/apigee/customer/application.
  3. Измените владельца файла JKS на apigee:
    $ chown apigee:apigee keystore.jks

    где keystore.jks – название файла хранилища ключей.
  4. Измените файл /opt/apigee/customer/application/management-server.properties, чтобы задать следующие свойства. Если такого файла нет, создайте его:
    conf_webserver_ssl.enabled=true
    # Оставьте для параметра conf_webserver_http.turn.off значение false,
    # поскольку многие внутренние вызовы Edge используют HTTP.
    conf_webserver_http.turn.off=false
    conf_webserver_ssl.port=8443
    conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
    # Ниже введите обфусцированный пароль хранилища ключей.
    conf_webserver_keystore.password=OBF:obfuscatedPassword
    conf_webserver_cert.alias=apigee-devtest

    где keyStore.jks – это файл хранилища ключей, а obfuscatedPassword – обфусцированный пароль хранилища ключей. Информацию о том, как создать обфусцированный пароль, можно найти в статье Настройка TLS/SSL для Edge On Premises.
  5. Перезапустите сервер управления Edge, используя следующую команду:
    $ /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Теперь API управления поддерживает доступ по протоколу TLS.

Убедившись, что TLS работает правильно, в том числе для интерфейса Edge, вы можете отключить доступ по протоколу HTTP к API управления, как описано в следующем разделе.

Как настроить интерфейс Edge для использования TLS при доступе к API Edge

В описанной выше процедуре Apigee рекомендует оставить значение conf_webserver_http.turn.off=false, чтобы интерфейс Edge мог продолжать вызывать Edge API по протоколу HTTP.

Чтобы настроить интерфейс Edge так, чтобы эти вызовы выполнялись только по протоколу HTTPS, выполните следующие действия:

  1. Настройте доступ TLS к API управления, как описано выше.
  2. Убедившись, что TLS работает для API управления, измените файл /opt/apigee/customer/application/management-server.properties, чтобы задать следующее свойство:
    conf_webserver_http.turn.off=true
  3. Перезапустите сервер управления Edge, используя следующую команду:
    $ /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
  4. Измените файл /opt/apigee/customer/application/ui.properties, чтобы задать следующее свойство для интерфейса Edge: Если такого файла нет, создайте его:
    conf_apigee_apigee.mgmt.baseurl="https://FQDN:8443/v1"

    где FQDN – это полное доменное имя, указанное в вашем сертификате адреса сервера управления, а номер порта – это порт, указанный выше в параметре conf_webserver_ssl.port.
  5. Только если при настройке доступа TLS к API управления выше вы использовали самозаверяющий сертификат (не рекомендуется в рабочей среде), добавьте следующее свойство в файл ui.properties:
    conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true

    В противном случае интерфейс Edge UI отклонит самозаверяющий сертификат.
  6. Перезапустите интерфейс Edge с помощью команды:
    $ /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Свойства TLS для сервера управления

В таблице ниже перечислены все свойства TLS/SSL, которые можно задать в файле management-server.properties:

Ресурсы

Описание

conf_webserver_http.port=8080

Значение по умолчанию – 8080.

conf_webserver_ssl.enabled=false

Чтобы включить или отключить TLS/SSL. Если для параметра TLS/SSL задано значение true, необходимо также указать свойства ssl.port и keystore.path.

conf_webserver_http.turn.off=true

Чтобы включить или отключить протокол HTTP вместе с HTTPS. Если вы хотите использовать только HTTPS, оставьте значение по умолчанию true.

conf_webserver_ssl.port=8443

Порт TLS/SSL.

Требуется, если включен протокол TLS/SSL (conf_webserver_ssl.enabled=true).

conf_webserver_keystore.path=<путь>

Путь к файлу хранилища ключей.

Требуется, если включен протокол TLS/SSL (conf_webserver_ssl.enabled=true).

conf_webserver_keystore.password=

Используйте обфусцированный пароль в следующем формате: OBF:xxxxxxxxxx

conf_webserver_cert.alias=

Необязательный псевдоним сертификата хранилища ключей

conf_webserver_keymanager.password=

Если у вашего менеджера ключей есть пароль, введите его в зашифрованном виде в следующем формате: OBF:xxxxxxxxxx.

conf_webserver_trust.all= <false | true>

conf_webserver_trust.store.path=<путь>

conf_webserver_trust.store.password=

Настройте хранилище доверенных сертификатов. Укажите, нужно ли принимать все сертификаты TLS/SSL (например, чтобы принимать нестандартные типы). Значение по умолчанию – false. Укажите путь к хранилищу доверенных сертификатов и введите обфусцированный пароль к нему в следующем формате: OBF:xxxxxxxxxx.

conf_webserver_exclude.cipher.suites=<CIPHER_SUITE_1 CIPHER_SUITE_2>

conf_webserver_include.cipher.suites=

Укажите наборы шифров, которые вы хотите включить или исключить. Например, если вы обнаружили уязвимость в шифре, вы можете исключить его здесь. Если вы добавляете несколько шифров, укажите их через пробел.

Информацию о наборах шифров и архитектуре криптографии можно найти в следующих статьях:

http://docs.oracle.com/javase/8/docs/technotes/
guides/security/SunProviders.html#SunJSSE

conf_webserver_ssl.session.cache.size=

conf_webserver_ssl.session.timeout=

Целые числа, определяющие:

  • Размер кеша сеансов TLS/SSL (в байтах) для хранения информации о сеансах нескольких клиентов.
  • Время ожидания сеансов TLS/SSL (в миллисекундах).