การกําหนดค่า TLS สําหรับ UI การจัดการ

Edge for Private Cloud เวอร์ชัน 4.17.01

โดยค่าเริ่มต้น คุณจะเข้าถึง UI การจัดการ Edge ผ่าน HTTP โดยใช้ที่อยู่ IP ของโหนดเซิร์ฟเวอร์การจัดการและพอร์ต 9000 เช่น

http://ms_IP:9000

หรือจะกำหนดค่าการเข้าถึง TLS ใน UI การจัดการเพื่อให้เข้าถึงในรูปแบบต่อไปนี้ก็ได้

https://ms_IP:9443

ในตัวอย่างนี้ คุณกําหนดค่าการเข้าถึง TLS ให้ใช้พอร์ต 9443 แต่ Edge ไม่จำเป็นต้องใช้หมายเลขพอร์ตดังกล่าว แต่คุณจะกำหนดค่าเซิร์ฟเวอร์การจัดการให้ใช้ค่าพอร์ตอื่นก็ได้ ข้อกำหนดเพียงอย่างเดียวคือไฟร์วอลล์ต้องอนุญาตให้มีการรับส่งข้อมูลผ่านพอร์ตที่ระบุ

ตรวจสอบว่าพอร์ต TLS เปิดอยู่

กระบวนการในส่วนนี้จะกำหนดค่า TLS ให้ใช้พอร์ต 9443 ในเซิร์ฟเวอร์การจัดการ ไม่ว่าคุณจะใช้พอร์ตใด คุณต้องตรวจสอบว่าพอร์ตนั้นเปิดอยู่ในเซิร์ฟเวอร์การจัดการ เช่น คุณใช้คำสั่งต่อไปนี้เพื่อเปิดไฟล์ได้

$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

กำหนดค่า TLS

ใช้ขั้นตอนต่อไปนี้เพื่อกำหนดค่าการเข้าถึง TLS ไปยัง UI การจัดการ

  1. สร้างไฟล์ JKS ของคีย์สโตร์ที่มีใบรับรอง TLS และคีย์ส่วนตัว แล้วคัดลอกไปยังโหนดเซิร์ฟเวอร์การจัดการ ดูข้อมูลเพิ่มเติมได้ที่การกำหนดค่า TLS/SSL สำหรับ Edge ในองค์กร
  2. เรียกใช้คําสั่งต่อไปนี้เพื่อกําหนดค่า TLS
    $ /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl
  3. ป้อนหมายเลขพอร์ต HTTPS เช่น 9443
  4. ระบุว่าต้องการปิดใช้การเข้าถึง HTTP ไปยัง UI การจัดการหรือไม่ โดยค่าเริ่มต้น คุณจะเข้าถึง UI การจัดการผ่าน HTTP ในพอร์ต 9000 ได้
  5. ป้อนอัลกอริทึมของคีย์สโตร์ ค่าเริ่มต้นคือ JKS
  6. ป้อนเส้นทางสัมบูรณ์ไปยังไฟล์ JKS ของคีย์สโตร์

    สคริปต์จะคัดลอกไฟล์ไปยังไดเรกทอรี /opt/apigee/customer/conf ในโหนดเซิร์ฟเวอร์การจัดการ และเปลี่ยนการเป็นเจ้าของไฟล์เป็น apigee
  7. ป้อนรหัสผ่านคีย์สโตร์ที่เป็นข้อความธรรมดา
  8. จากนั้นสคริปต์จะรีสตาร์ท UI การจัดการ Edge หลังจากรีสตาร์ทแล้ว UI การจัดการจะรองรับการเข้าถึงผ่าน TLS
    คุณดูการตั้งค่าเหล่านี้ได้ใน /opt/apigee/etc/edge-ui.d/SSL.sh

นอกจากนี้ คุณยังส่งไฟล์การกําหนดค่าไปยังคําสั่งแทนการตอบกลับพรอมต์ได้ด้วย ไฟล์การกำหนดค่าใช้พร็อพเพอร์ตี้ต่อไปนี้

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

จากนั้นใช้คำสั่งต่อไปนี้เพื่อกำหนดค่า TLS ของ Edge UI

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

กำหนดค่า Edge UI เมื่อ TLS สิ้นสุดบนตัวจัดสรรภาระงาน

หากมีตัวจัดสรรภาระงานที่ส่งต่อคำขอไปยัง UI ของ Edge คุณอาจเลือกที่จะสิ้นสุดการเชื่อมต่อ TLS ในตัวจัดสรรภาระงาน จากนั้นให้ตัวจัดสรรภาระงานส่งต่อคำขอไปยัง UI ของ Edge ผ่าน HTTP ระบบรองรับการกำหนดค่านี้ แต่คุณต้องกำหนดค่าตัวจัดสรรภาระงานและ UI ของ Edge ให้สอดคล้องกัน

จำเป็นต้องมีการกําหนดค่าเพิ่มเติมเมื่อ UI ของ Edge ส่งอีเมลให้ผู้ใช้เพื่อตั้งรหัสผ่านเมื่อสร้างผู้ใช้หรือเมื่อผู้ใช้ขอรีเซ็ตรหัสผ่านที่สูญหาย อีเมลนี้มี URL ที่ผู้ใช้เลือกเพื่อตั้งค่าหรือรีเซ็ตรหัสผ่าน โดยค่าเริ่มต้น หากไม่มีการกำหนดค่า Edge UI ให้ใช้ TLS แล้ว URL ในอีเมลที่สร้างขึ้นจะใช้โปรโตคอล HTTP ไม่ใช่ HTTPS คุณต้องกำหนดค่าตัวจัดสรรภาระงานและ UI ของ Edge เพื่อสร้างอีเมลที่ใช้ HTTPS

หากต้องการกําหนดค่าตัวจัดสรรภาระงาน ให้ตรวจสอบว่าตัวจัดสรรภาระงานตั้งค่าส่วนหัวต่อไปนี้ในคําขอที่ส่งต่อไปยัง UI ของ Edge

X-Forwarded-Proto: https

วิธีกำหนดค่า UI ของ Edge

  1. เปิดไฟล์ /opt/apigee/customer/application/ui.properties ในตัวแก้ไข หากไม่มีไฟล์ ให้สร้างขึ้นมา ดังนี้
    > vi /opt/apigee/customer/application/ui.properties
  2. ตั้งค่าพร็อพเพอร์ตี้ต่อไปนี้ใน ui.properties
    conf/application.conf+trustxforwarded=true
  3. บันทึกการเปลี่ยนแปลงใน ui.properties
  4. รีสตาร์ท UI ของ Edge
    > /opt/apigee/apigee-service/bin/apigee-service edge-ui restart