インストール要件

Edge for Private Cloud v. 4.17.01

ハードウェア要件

本番環境グレードの環境で高可用性インフラストラクチャを実現するには、次のハードウェアの最小要件を満たす必要があります。インストール トポロジで説明されているすべてのインストール シナリオについて、次の表に、インストール コンポーネントの最小ハードウェア要件を示します。

これらの表のハードディスク要件は、オペレーティング システムに必要なハードディスク容量に加えて必要となるものです。アプリケーションとネットワーク トラフィックによっては、インストールに必要なリソースが以下に示すものより多くなる場合や、少なくなる場合があります。

また、Monetization Services をインストールする場合のハードウェア要件は次のとおりです。

API BaaS をインストールする場合のハードウェア要件は次のとおりです。

注:

• ルート ファイル システムがインストールに十分な大きさでない場合は、より大きなディスクにデータを配置することをおすすめします。
• 古いバージョンの Apigee Edge for Private Cloud がマシンにインストールされている場合は、新しいインストールを行う前に /tmp/java フォルダを削除してください。
• Cassandra を起動するには、システム全体の一時フォルダ /tmp に実行権限が必要です。
• インストール前にユーザー「apigee」が作成されている場合は、「/home/apigee」がホーム ディレクトリとして存在し、所有者が「apigee:apigee」であることを確認します。

オペレーティング システムとサードパーティ ソフトウェアの要件

これらのインストール手順と提供されているインストール ファイルは、https://apigee.com/docs/api-services/reference/supported-software に記載されているオペレーティング システムとサードパーティ ソフトウェアでテストされています。

apigee ユーザーの作成

インストール手順では、「apigee」という名前の Unix システム ユーザーが作成されます。Edge のディレクトリとファイルは、Edge プロセスと同様に「apigee」が所有しています。つまり、Edge コンポーネントは「apigee」ユーザーとして実行されます。必要に応じて、コンポーネントを別のユーザーとして実行できます。例については、ノードに Edge コンポーネントをインストールするの「ルーターを保護されたポートにバインドする」をご覧ください。

インストール ディレクトリ

デフォルトでは、インストーラはすべてのファイルを /opt/apigee ディレクトリに書き込みます。このディレクトリの場所は変更できません。このディレクトリを変更することはできませんが、以下で説明するように、/opt/apigee を別の場所にマッピングするシンボリック リンクを作成できます。

このガイドの手順では、インストール ディレクトリを /<inst_root>/apigee と表記しています。/<inst_root> はデフォルトで /opt です。

/opt/apigee のシンボリック リンクの作成

シンボリック リンクを作成する前に、まず「apigee」という名前のユーザーとグループを作成する必要があります。これは、Edge インストーラによって作成されたグループおよびユーザーと同じです。

シンボリック リンクを作成するには、bootstrap_4.17.01.sh ファイルをダウンロードする前に次の手順を行います。これらの手順はすべて root として実行する必要があります。

1. 「apigee」ユーザーとグループを作成します。
   > groupadd -r apigee
   > useradd -r -g apigee -d /opt/apigee -s /sbin/nologin -c "Apigee platform user" apigee
2. /opt/apigee から目的のインストール ルートへのシンボリック リンクを作成します。
   > ln -Ts /srv/myInstallDir /opt/apigee
   ここで、/srv/myInstallDir は Edge ファイルの目的の場所です。
3. インストール ルートとシンボリック リンクの所有権を「apigee」ユーザーに変更します。
   > chown -h apigee:apigee /srv/myInstallDir /opt/apigee

Java

インストールする前に、サポートされているバージョンの Java1.8 を各マシンにインストールする必要があります。サポートされている JDK の一覧は、

https://apigee.com/docs/api-services/reference/supported-software

JAVA_HOME が、インストールを実行するユーザーの JDK のルートを指していることを確認します。

SELinux

SELinux の設定によっては、Edge コンポーネントのインストールと起動で問題が発生することがあります。必要に応じて、インストール中に SELinux を無効にするか、permissive モードに設定し、インストール後に再度有効にできます。詳細については、Edge apigee-setup ユーティリティをインストールするをご覧ください。

掲載ネットワークの設定

インストール前にネットワーク設定を確認することをおすすめします。インストーラは、すべてのマシンに固定 IP アドレスが割り当てられていることを想定しています。次のコマンドを使用して設定を検証します。

• hostname はマシンの名前を返します。
• hostname -i は、他のマシンからアドレス指定できるホスト名の IP アドレスを返します。

オペレーティング システムの種類とバージョンによっては、ホスト名が正しく設定されていない場合に /etc/hosts と /etc/sysconfig/network を編集する必要があります。詳細については、ご使用のオペレーティング システムのドキュメントをご覧ください。

TCP ラッパー

TCP ラッパーは、一部のポートの通信をブロックし、OpenLDAP、Postgres、Cassandra のインストールに影響する可能性があります。これらのノードで、/etc/hosts.allow と /etc/hosts.deny を確認し、必要な OpenLDAP、Postgres、Cassandra のポートにポート制限がないことを確認します。

iptables

必要な Edge ポートでノード間の接続を妨げる iptables ポリシーがないことを確認します。必要に応じて、次のコマンドを使用してインストール中に iptables を停止できます。

> sudo /etc/init.d/iptables stop

CentOS 7.x の場合:

> systemctl stop firewalld

Edge Router が /etc/rc.d/init.d/functions にアクセスできることを確認する

Edge Router ノードと BaaS Portal ノードは Nginx ルーターを使用しており、/etc/rc.d/init.d/functions への読み取りアクセス権が必要です。

自社のセキュリティ プロセスで /etc/rc.d/init.d/functions に対する権限の設定が義務付けられている場合、700 には設定しないでください。そうすると、Router は起動できません。権限を 744 に設定すると、/etc/rc.d/init.d/functions への読み取りアクセスを許可できます。

Cassandra

すべての Cassandra ノードをリングに接続する必要があります。Cassandra は、信頼性とフォールト トレランスを確保するために、複数のノードにデータレプリカを保存します。各 Edge キースペースのレプリケーション戦略によって、レプリカが配置される Cassandra ノードが決まります。詳細については、Cassandra のレプリケーション係数と整合性レベルについてをご覧ください。

Cassandra は、使用可能なメモリに基づいて Java ヒープサイズを自動的に調整します。詳細については、Java リソースのチューニングをご覧ください。パフォーマンスの低下やメモリ消費量の増加が発生した場合。

Edge for Private Cloud をインストールした後、/<inst_root>/apigee/apigee-cassandra/conf/cassandra.yaml ファイルを調べて、Cassandra が正しく構成されていることを確認できます。たとえば、Edge for Private Cloud のインストール スクリプトで次のプロパティが設定されていることを確認します。

• cluster_name
• initial_token
• パーティショナー
• 種
• listen_address
• rpc_address
• snitch

警告: このファイルは編集しないでください。

PostgreSQL データベース

Edge をインストールした後、システムで使用可能な RAM の量に基づいて、次の PostgreSQL データベース設定を調整できます。

conf_postgresql_shared_buffers = 35% of RAM      # min 128kB
conf_postgresql_effective_cache_size = 45% of RAM
conf_postgresql_work_mem = 512MB       # min 64kB

これらの値を設定するには:

1. postgresql.properties を編集します。
   > vi /<inst_root>/apigee/customer/application/postgresql.properties
   
   ファイルが存在しない場合は作成します。
2. 上記のプロパティを設定します。
3. 編集内容を保存します。
4. PostgreSQL データベースを再起動します。
   > /<inst_root>/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

システム制限

Cassandra ノードと Message Processor ノードに次のシステム制限が設定されていることを確認します。

• Cassandra ノードでは、/etc/security/limits.d/90-apigee-edge-limits.conf でインストール ユーザー（デフォルトは「apigee」）に対して soft および hard の memlock、nofile、アドレス空間（as）の制限を設定します。次に例を示します。
  apigee soft memlock unlimited
  apigee hard memlock unlimited
  apigee soft nofile 32768
  apigee hard nofile 65536
  apigee soft as unlimited
  apigee hard as unlimited
  
• Message Processor ノードでは、/etc/security/limits.d/90-apigee-edge-limits.conf でオープン ファイル記述子の最大数を 64,000 に設定します。次に例を示します。
  apigee soft nofile 32768
  apigee hard nofile 65536
  
  必要に応じて、この上限を引き上げることができます。たとえば、一度に多数の一時ファイルを開く場合などです。

jsvc

「jsvc」は、API BaaS を使用するための前提条件です。API BaaS をインストールすると、バージョン 1.0.15-dev がインストールされます。

Network Security Services（NSS）

Network Security Services（NSS）は、ネットワーク セキュリティ対応のクライアント アプリケーションとサーバー アプリケーションの開発をサポートするライブラリのセットです。NSS v3.19 以降がインストールされていることを確認してください。

現在のバージョンを確認するには:

> yum info nss

NSS を更新するには:

> yum update nss

詳しくは、RedHat のこちらの記事をご覧ください。

NSCD（ネームサービス キャッシュ デーモン）を使用する場合の IPv6 の DNS ルックアップを無効にする

NSCD（ネームサービス キャッシュ デーモン）をインストールして有効にしている場合、Message Processor は IPv4 と IPv6 の 2 つの DNS ルックアップを行います。NSCD を使用する場合は、IPv6 の DNS ルックアップを無効にする必要があります。

IPv6 の DNS ルックアップを無効にするには:

1. すべての Message Processor ノードで、/etc/nscd.conf を編集します。
2. 次のプロパティを設定します。
   enable-cache hosts no

Google Cloud Platform 上の RedHat/CentOS 7 で IPv6 を無効にする

Google Cloud Platform 上の RedHat 7 または CentOS 7 に Edge をインストールする場合は、すべての Qpid ノードで IPv6 を無効にする必要があります。

IPv6 を無効にする手順については、お使いの OS バージョンの RedHat または CentOS のドキュメントをご覧ください。

AWS AMI

Red Hat Enterprise Linux 7.x の AWS Amazon マシンイメージ（AMI）に Edge をインストールする場合は、まず次のコマンドを実行する必要があります。

> yum-config-manager --enable rhui-REGION-rhel-server-extras rhui-REGION-rhel-server-optional

ツール

インストーラは、EL5 または EL6 で提供されている標準バージョンの次の UNIX ツールを使用します。

注:

• ツール「useradd」の実行可能ファイルは /usr/sbin にあり、chkconfig の実行可能ファイルは /sbin にあります。
• sudo アクセス権を使用すると、呼び出し元ユーザーの環境にアクセスできます。たとえば、通常は「sudo <command>」または「sudo PATH=$PATH:/usr/sbin:/sbin <command>」を呼び出します。
• サービスパック（パッチ）をインストールする前に、「patch」ツールがインストールされていることを確認してください。

ntpdate - サーバーの時刻を同期することをおすすめします。まだ構成されていない場合は、ntpdate ユーティリティを使用して、サーバーの時刻が同期されているかどうかを確認できます。ユーティリティをインストールするには、「yum install ntp」を使用します。これは、OpenLDAP の設定を複製する場合に特に便利です。サーバーのタイムゾーンは UTC に設定します。

openldap 2.4 - オンプレミス インストールには OpenLDAP 2.4 が必要です。サーバーがインターネットに接続されている場合、Edge インストール スクリプトは OpenLDAP をダウンロードしてインストールします。サーバーがインターネットに接続されていない場合は、Edge インストール スクリプトを実行する前に OpenLDAP がインストールされていることを確認する必要があります。RHEL/CentOS では、「yum install openldap-clients openldap-servers」を実行して OpenLDAP をインストールできます。

13 ホストのインストールと、2 つのデータセンターがある 12 ホストのインストールでは、OpenLDAP をホストするノードが複数あるため、OpenLDAP レプリケーションが必要です。

ファイアウォールと仮想ホスト

「仮想」という用語は、IT 分野では一般的に過剰に使用されています。Apigee Edge for Private Cloud のデプロイと仮想ホストでも同様です。明確にするために、「仮想」という用語の主な用途は 2 つあります。

• 仮想マシン（VM）: 必須ではありませんが、一部のデプロイでは VM テクノロジーを使用して Apigee コンポーネント用に分離されたサーバーを作成します。物理ホストと同様に、VM ホストにはネットワーク インターフェースとファイアウォールを設定できます。
• 仮想ホスト: Apache 仮想ホストに類似したウェブ エンドポイント。

VM 内のルーターは、複数の仮想ホストを公開できます（ただし、ホスト エイリアスまたはインターフェース ポートが互いに異なる必要があります）。

命名の例として、1 台の物理サーバー「A」で「VM1」と「VM2」という 2 つの VM が実行されているとします。VM1 は仮想イーサネット インターフェースを公開し、VM 内で eth0 という名前が付けられ、仮想化マシンまたはネットワーク DHCP サーバーによって IP アドレス 111.111.111.111 が割り当てられているとします。また、VM2 は eth0 という名前の仮想イーサネット インターフェースを公開し、IP アドレス 111.111.111.222 が割り当てられているとします。

2 つの VM のそれぞれで Apigee ルーターが実行されている場合があります。ルーターは、次の架空の例のように仮想ホスト エンドポイントを公開します。

VM1 の Apigee ルーターは、eth0 インターフェース（特定の IP アドレスを持つ）で 3 つの仮想ホスト（api.mycompany.com:80、api.mycompany.com:443、test.mycompany.com:80）を公開します。

VM2 のルーターは api.mycompany.com:80 を公開します（VM1 によって公開されるものと同じ名前とポート）。

物理ホストのオペレーティング システムにネットワーク ファイアウォールがある場合は、仮想化インターフェース（111.111.111.111:{80, 443} と 111.111.111.222:80）で公開されているポートにバインドされた TCP トラフィックを通過させるように、そのファイアウォールを構成する必要があります。さらに、各 VM のオペレーティング システムが eth0 インターフェースに独自のファイアウォールを提供している場合があり、これらもポート 80 と 443 のトラフィックの接続を許可する必要があります。

ベースパスは、デプロイしたさまざまな API プロキシに API 呼び出しをルーティングする 3 番目のコンポーネントです。API プロキシ バンドルは、ベースパスが異なる場合、エンドポイントを共有できます。たとえば、1 つのベースパスを http://api.mycompany.com:80/ と定義し、別のベースパスを http://api.mycompany.com:80/salesdemo と定義できます。

この場合、http://api.mycompany.com:80/ トラフィックを 2 つの IP アドレス（VM1 の 111.111.111.111 と VM2 の 111.111.111.222）に分割するロードバランサまたはトラフィック ディレクタが必要です。この機能は、特定のインストールに固有のものであり、ローカル ネットワーキング グループによって構成されます。

ベースパスは、API のデプロイ時に設定されます。上記の例では、mycompany-org 組織に mycompany と testmycompany の 2 つの API をデプロイできます。この組織には、ホスト エイリアスが api.mycompany.com で、ポートが 80 に設定された仮想ホストがあります。デプロイでベースパスを宣言しない場合、ルーターは受信リクエストをどの API に送信すればよいかわかりません。

ただし、ベース URL が /salesdemo の API testmycompany をデプロイすると、ユーザーは http://api.mycompany.com:80/salesdemo を使用してその API にアクセスします。ベース URL が / の API mycompany をデプロイすると、ユーザーは URL http://api.mycompany.com:80/ で API にアクセスします。

Edge ポートの要件

ファイアウォールを管理する必要があるのは、仮想ホストだけではありません。VM と物理ホストの両方のファイアウォールで、コンポーネントが相互に通信するために必要なポートのトラフィックを許可する必要があります。

次の図は、各 Edge コンポーネントのポート要件を示しています。

この図に関する注意事項:

• *Router と Message Processor 間の TLS/SSL を構成する場合、Message Processor のポート 8082 は Router からのアクセスに対してのみ開く必要があります。Router と Message Processor 間の TLS/SSL を構成しない場合、デフォルトの構成であるポート 8082 は、コンポーネントを管理するために Message Processor で開いている必要がありますが、Router はアクセスする必要はありません。
• 「M」で始まるポートは、コンポーネントの管理に使用されるポートです。Management Server からアクセスできるように、コンポーネントで開いている必要があります。
• 次のコンポーネントは、Management Server のポート 8080 にアクセスする必要があります。Router、Message Processor、UI、Postgres、Qpid。
• Message Processor は、管理ポートとしてポート 4528 を開く必要があります。複数の Message Processor がある場合は、すべてがポート 4528 を介して相互にアクセスできる必要があります（上の図の Message Processor のポート 4528 のループ矢印で示されています）。複数のデータセンターがある場合は、すべてのデータセンターのすべての Message Processor からポートにアクセスできる必要があります。
• 必須ではありませんが、任意の Message Processor からアクセスできるように、Router でポート 4527 を開くことができます。それ以外の場合は、Message Processor のログファイルにエラー メッセージが表示されることがあります。
• Router は、管理ポートとしてポート 4527 を開く必要があります。複数の Router がある場合は、すべての Router がポート 4527 経由で相互にアクセスできる必要があります（上の図の Router のポート 4527 のループ矢印で示されています）。
• Edge UI では、トレースツールの [Send] ボタンをサポートするために、API プロキシによって公開されるポートで Router にアクセスする必要があります。
• Management Server は、Cassandra ノードの JMX ポートにアクセスする必要があります。
• JMX ポートへのアクセスは、ユーザー名とパスワードを要求するように構成できます。詳細については、モニタリング方法をご覧ください。
• 必要に応じて、特定の接続に TLS/SSL アクセスを構成できます。この接続では、異なるポートを使用できます。詳細については、TLS/SSL をご覧ください。
• 2 つの Postgres ノードをマスター / スタンバイ レプリケーションを使用するように構成する場合は、SSH アクセス用に各ノードでポート 22 を開く必要があります。必要に応じて、個々のノードでポートを開いて SSH アクセスを許可できます。
• 外部 SMTP サーバー経由でメールを送信するように Management Server と Edge UI を構成できます。その場合は、Management Server と UI が SMTP サーバーの必要なポートにアクセスできるようにする必要があります。TLS 以外の SMTP の場合、ポート番号は通常 25 です。TLS 対応の SMTP の場合は 465 であることが多いですが、SMTP プロバイダに確認してください。

次の表に、ファイアウォールで開く必要があるポートを Edge コンポーネント別に示します。

> curl -v http://<routerIP>:15999/v1/servers/self/reachable

次の表は、同じポートを番号順に示し、送信元と送信先のコンポーネントを示しています。

Message Processor は、Cassandra への専用接続プールを開いたままにします。このプールは、タイムアウトしないように構成されています。Message Processor と Cassandra サーバーの間にファイアウォールがある場合、ファイアウォールによって接続がタイムアウトすることがあります。ただし、Message Processor は Cassandra への接続を再確立するようには設計されていません。

この状況を防ぐため、Apigee では、Cassandra サーバー、Message Processor、Router を同じサブネットに配置し、これらのコンポーネントのデプロイにファイアウォールが関与しないようにすることをおすすめします。

ルーターと Message Processor の間にファイアウォールがあり、アイドル TCP タイムアウトが設定されている場合は、次のことをおすすめします。

1. Linux OS の sysctl 設定で net.ipv4.tcp_keepalive_time = 1800 を設定します。1800 は、ファイアウォールのアイドル TCP タイムアウトよりも小さくする必要があります。この設定により、接続が確立された状態に維持され、ファイアウォールによって接続が切断されることはありません。
2. すべての Message Processor で、/<inst_root>/apigee/customer/application/message-processor.properties を編集して、次のプロパティを追加します。ファイルが存在しない場合は作成します。
   conf_system_cassandra.maxconnecttimeinmillis=-1
3. Message Processor を再起動します。
   > /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
4. すべてのルーターで、/<inst_root>/apigee/customer/application/router.properties を編集して、次のプロパティを追加します。ファイルが存在しない場合は作成します。
   conf_system_cassandra.maxconnecttimeinmillis=-1
5. Router を再起動します。
   > /opt/apigee/apigee-service/bin/apigee-service edge-router restart

2 つのデータセンターで 12 ホストのクラスタ構成をインストールする場合は、2 つのデータセンターのノードが、以下に示すポートを介して通信できることを確認してください。

API BaaS のポート要件

API BaaS をインストールする場合は、API BaaS Stack コンポーネントと API BaaS Portal コンポーネントを追加します。これらのコンポーネントは、下図に示すポートを使用します。

この図に関する注意事項:

• API BaaS ポータルが BaaS Stack ノードに直接リクエストを送信することはありません。デベロッパーがポータルにログインすると、ポータルアプリがブラウザにダウンロードされます。ブラウザで実行されている Portal アプリは、BaaS Stack ノードにリクエストを送信します。
• API BaaS の本番環境インストールでは、API BaaS Portal ノードと API BaaS Stack ノードの間にロードバランサを使用します。ポータルを構成するとき、および BaaS API 呼び出しを行うときは、Stack ノードではなく、ロードバランサの IP アドレスまたは DNS 名を指定します。
• すべての Stack ノードは、他のすべての Stack ノードからのアクセス用にポート 2551 を開く必要があります（上の図の Stack ノードのポート 2551 のループ矢印で示されています）。複数のデータセンターがある場合は、すべてのデータセンターのすべての Stack ノードからポートにアクセスできる必要があります。
• 外部 SMTP サーバー経由でメールを送信するように、すべての Baas Stack ノードを構成する必要があります。TLS 以外の SMTP の場合、ポート番号は通常 25 です。TLS 対応の SMTP の場合、通常は 465 ですが、SMTP プロバイダに確認してください。
• Cassandra ノードは API BaaS 専用にすることも、Edge と共有することもできます。

次の表に、ファイアウォールで開く必要があるデフォルトのポートをコンポーネント別に示します。

ライセンス

Edge のインストールごとに、Apigee から取得した一意のライセンス ファイルが必要です。Management Server をインストールするときに、ライセンス ファイルのパス（/tmp/license.txt など）を指定する必要があります。

インストーラは、ライセンス ファイルを /<inst_root>/apigee/customer/conf/license.txt にコピーします。

ライセンス ファイルが有効な場合、管理サーバーは有効期限と許可された Message Processor（MP）の数を検証します。いずれかのライセンス設定が期限切れの場合は、/<inst_root>/apigee/var/log/edge-management-server/logs にあるログでそれを調べることができます。その場合は、Apigee サポートに移行の詳細をお問い合わせください。

ライセンスをお持ちでない場合は、こちらからセールスにお問い合わせください。