Réinitialisation des mots de passe périphériques

Edge pour Private Cloud version 4.17.01

Vous pouvez réinitialiser le nom d'utilisateur OpenLDAP, l'administrateur système Apigee Edge, l'utilisateur de l'organisation Edge et Mots de passe Cassandra une fois l'installation terminée.

Réinitialiser le mot de passe OpenLDAP

Selon votre configuration Edge, OpenLDAP peut être installé comme:

  • Une seule instance d'OpenLDAP installée sur le nœud du serveur de gestion. Par exemple, dans un Configuration périphérique à deux, cinq ou neuf nœuds.
  • Plusieurs instances OpenLDAP installées sur des nœuds de serveur de gestion, configurés avec OpenLDAP la réplication. (par exemple, dans une configuration périphérique à 12 nœuds).
  • Plusieurs instances OpenLDAP installées sur leurs propres nœuds, configurées avec OpenLDAP la réplication. (par exemple, dans une configuration périphérique à 13 nœuds).

La façon dont vous réinitialisez le mot de passe OpenLDAP dépend de votre configuration.

Pour une seule instance d'OpenLDAP installée sur le serveur de gestion, effectuez la suivantes:

  1. Sur le nœud du serveur de gestion, exécutez la commande suivante pour créer le nouveau protocole OpenLDAP mot de passe:
    > /opt/apigee/apigee-service/bin/apigee-service apigee-openldap change-ldap-password -o oldPword -n nouveauPword
  2. Exécutez la commande suivante pour stocker le nouveau mot de passe auquel accéder au gestionnaire Serveur:
    > /opt/apigee/apigee-service/bin/apigee-service Edge-management-server store_ldap_credentials -p newPword

    Cette commande redémarre le serveur de gestion.

Dans une configuration de réplication OpenLDAP avec OpenLDAP installé sur le serveur de gestion , suivez la procédure ci-dessus sur les deux nœuds du serveur de gestion pour mettre à jour le mot de passe.

Dans une configuration de réplication OpenLDAP où OpenLDAP se trouve sur un nœud autre que Management Server, veillez à modifier d'abord le mot de passe sur les deux nœuds OpenLDAP, puis sur les deux de serveur de gestion.

Réinitialiser le mot de passe de l'administrateur système

La réinitialisation du mot de passe d'administrateur système nécessite la réinitialisation du mot de passe à deux endroits:

  • Serveur de gestion
  • UI

Avertissement: Vous devez arrêter l'interface utilisateur Edge avant de réinitialiser l'administrateur système mot de passe. Comme vous réinitialisez d'abord le mot de passe sur le serveur de gestion, il peut y avoir période pendant laquelle l'interface utilisateur utilise encore l'ancien mot de passe. Si l'interface utilisateur effectue plus de trois appels à l’aide de l’ancien mot de passe, le serveur OpenLDAP verrouille le compte d’administrateur système pendant trois minutes.

Pour réinitialiser le mot de passe d'administrateur système:

  1. Sur le nœud d'interface utilisateur, arrêtez l'interface utilisateur Edge:
    > /opt/apigee/apigee-service/bin/apigee-service arrêt de l'interface utilisateur périphérique
  2. Sur le serveur de gestion, exécutez la commande suivante pour réinitialiser le mot de passe:
    > /opt/apigee/apigee-service/bin/apigee-service Edge-management-server change_sysadmin_password -o currentPW -n currentPW
  3. Modifiez le fichier de configuration silencieuse que vous avez utilisé pour installer l'interface utilisateur Edge pour définir les éléments suivants propriétés:
    APIGEE_ADMINPW=newPW
    SMTPHOST=smtp.gmail.com
    SMTPPORT=465
    SMTPUSER=foo@gmail.com
    SMTPPASSWORD=bar
    SMTPSSL=y

    Notez que vous devez inclure les propriétés SMTP lors de la transmission du nouveau mot de passe, car toutes les propriétés de l'interface utilisateur sont réinitialisées.
  4. Utilisez la configuration apigee-setup. pour réinitialiser le mot de passe sur l'interface utilisateur Edge à partir du fichier de configuration:
    > /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile
  5. (Uniquement si TLS est activé dans l'interface utilisateur) Réactivez TLS sur l'interface utilisateur Edge en tant que décrit dans la section Configuration de TLS pour la gestion l'UI.

Dans un environnement de réplication OpenLDAP avec plusieurs serveurs de gestion, la réinitialisation du mot de passe sur un serveur de gestion entraîne la mise à jour de l'autre serveur de gestion automatiquement. Cependant, vous devez mettre à jour tous les nœuds d'interface utilisateur Edge séparément.

Réinitialiser le mot de passe de l'utilisateur de l'organisation

Pour réinitialiser le mot de passe d'un utilisateur de l'organisation, utilisez l'utilitaire apigee-servce afin d'appeler apigee-setup:

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password
 [-h] 
 [-u USER_EMAIL] 
 [-p USER_PWD]
 [-a ADMIN_EMAIL] 
 [-P APIGEE_ADMINPW] 
 [-f configFile]

Exemple :

> /opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password -u user@myCo.com -p foo12345 -a admin@myCo.com -P adminPword

Vous trouverez ci-dessous un exemple de fichier de configuration que vous pouvez utiliser avec la commande "-f" option:

USER_NAME= user@myCo.com
USER_PWD= "foo12345"
APIGEE_ADMINPW= adminPword

Vous pouvez également utiliser l'API Update user pour modifier le mot de passe de l'utilisateur.

Administrateur système et mot de passe utilisateur de l'organisation Règles

Utilisez cette section pour appliquer les niveaux de longueur et de sécurité du mot de passe souhaités pour votre API de la gestion des clés. Les paramètres utilisent une série de paramètres standards préconfigurés (et numérotés de manière unique) pour vérifier le contenu du mot de passe (majuscules, minuscules, chiffres et caractères spéciaux caractères). Écrivez ces paramètres dans /opt/apigee/customer/application/management-server.properties. . Si ce fichier n'existe pas, créez-le.

Après avoir modifié management-server.properties, redémarrez le serveur de gestion:

> /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Vous pouvez ensuite définir le niveau de sécurité du mot de passe en regroupant différentes combinaisons . Par exemple, vous pouvez déterminer qu’un mot de passe comportant au moins une majuscule et un lettre minuscule obtient un niveau de sécurité de "3", mais un mot de passe comportant au moins une lettre minuscule une lettre et un chiffre obtiennent la note "4".

Propriétés

Description

conf_security_password.validation.minimum.
password.length=8

conf_security_password.validation.default.rating=2

conf_security_password.validation.minimum.
rating.required=3

Utilisez-les pour déterminer les caractéristiques générales des mots de passe valides. La valeur par défaut la note minimale pour le niveau de sécurité du mot de passe (décrite plus loin dans le tableau) est de 3.

Notez que la valeur password.validation.default.rating=2 est inférieure à la note minimale. ce qui signifie que si un mot de passe saisi ne relève pas des règles configuré, le mot de passe est classé 2 et n'est donc pas valide (inférieur à la classification minimale sur 3).

Voici des expressions régulières qui identifient les caractéristiques des mots de passe. Remarque que chacune d’elles est numérotée. Par exemple, "password.validation.regex.5=..." correspond à l’expression numéro 5. Vous utiliserez ces numéros dans une section ultérieure du fichier pour définir différentes combinaisons qui déterminent le niveau de sécurité global du mot de passe.

conf_security_password.validation.regex.1=^(.)\\1+$

1 – Tous les caractères se répètent

conf_security_password.validation.regex.2=^.*[a-z]+.*$

2 : au moins une lettre minuscule

conf_security_password.validation.regex.3=^.*[A-Z]+.*$

3 : au moins une lettre majuscule

conf_security_password.validation.regex.4=^.*[0-9]+.*$

4 – Au moins un chiffre

conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$

5 – Au moins un caractère spécial (sans le trait de soulignement _)

conf_security_password.validation.regex.6=^.*[_]+.*$

6 : au moins un trait de soulignement

conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$

7 : plusieurs lettres minuscules

conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$

8 : plusieurs lettres majuscules

conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$

9 – Plusieurs chiffres

conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$

10 : plusieurs caractères spéciaux (hors trait de soulignement)

conf_security_password.validation.regex.11=^.*[_]{2,}.*$

11 : plusieurs traits de soulignement

Les règles suivantes déterminent le niveau de sécurité du mot de passe en fonction de son contenu. Chaque règle inclut une ou plusieurs expressions régulières de la section précédente et attribue lui attribuer une force numérique. Le niveau de sécurité numérique d'un mot de passe est comparé conf_security_password.validation.minimum.rating.required numéro en haut de ce fichier pour déterminer la validité d'un mot de passe.

conf_security_password.validation.rule.1=1,AND,0

conf_security_password.validation.rule.2=2,3,4,AND,4

conf_security_password.validation.rule.3=2,9,AND,4

conf_security_password.validation.rule.4=3,9,AND,4

conf_security_password.validation.rule.5=5,6,OR,4

conf_security_password.validation.rule.6=3,2,AND,3

conf_security_password.validation.rule.7=2,9,AND,3

conf_security_password.validation.rule.8=3,9,AND,3

Chaque règle est numérotée. Par exemple : "password.validation.rule.3=..." est la règle numéro 3.

Chaque règle utilise le format suivant (à droite du signe égal):

<regex-index-list>,<AND|OR>,<rating>

regex-index-list est la liste des expressions régulières (par numéro comme dans la section précédente), associé à l'opérateur AND|OR (ce qui signifie que toutes les expressions énumérées ou seulement certaines).

rating est la note numérique du niveau de sécurité attribuée à chaque règle.

Par exemple, la règle 5 signifie que tout mot de passe contenant au moins un caractère spécial OU un underscore a une note de 4. Avec password.validation.minimum.
rating.required=3 en haut du fichier, un mot de passe avec une note de 4 est valide.

conf_security_rbac.password.validation.enabled=true

Définir la validation des mots de passe du contrôle des accès basé sur les rôles sur "false" en cas d'authentification unique (SSO) est activé. La valeur par défaut est "true".

Réinitialisation du mot de passe Cassandra

Par défaut, l'authentification est désactivée dans le package Cassandra. Si vous activez l'authentification, utilise un utilisateur prédéfini nommé 'cassandra avec le mot de passe cassandra. Vous pouvez utiliser ce compte, définissez un mot de passe différent pour ce compte ou créez un utilisateur Cassandra. Ajouter, supprimer et modifier les utilisateurs à l'aide des instructions Cassandra CREATE/ALTER/DROP USER.

Pour en savoir plus sur l'activation de l'authentification Cassandra, consultez la page Activer l'authentification Cassandra.

Pour réinitialiser le mot de passe Cassandra, procédez comme suit:

  • Définissez le mot de passe sur n'importe quel nœud Cassandra pour qu'il soit diffusé dans tous les environnements Cassandra. nœuds dans le réseau
  • Mettez à jour le serveur de gestion, les processeurs de messages, les routeurs, les serveurs Qpid, les serveurs Postgres, et une pile BaaS sur chaque nœud avec le nouveau mot de passe

Pour en savoir plus, consultez la page http://www.datastax.com/documentation/cql/3.0/cql/cql_reference/cqlCommandsTOC.html.

Pour réinitialiser le mot de passe Cassandra:

  1. Connectez-vous à n'importe quel nœud Cassandra à l'aide de l'outil cqlsh et des paramètres par défaut identifiants de connexion. Il vous suffit de modifier le mot de passe d'un seul nœud Cassandra, diffuser l'annonce sur tous les nœuds Cassandra de l'anneau:
    > /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p cassandra

    Où:
      .
    • cassIP est l'adresse IP du nœud Cassandra.
    • 9042 correspond à la Cassandra. .
    • L'utilisateur par défaut est cassandra.
    • Le mot de passe par défaut est cassandra. Si vous avez modifié le mot de passe utilisez le mot de passe actuel.
  2. Exécutez la commande suivante en tant qu'invite cqlsh> pour mettre à jour le mot de passe:
    cqlsh> ALTER USER CASsandra WITH PASSWORD 'NEW_PASSWORD';

    Si le nouveau mot de passe contient un seul guillemet, échappez-le en le faisant précéder d'un seul guillemet "guillemet".
  3. Quittez l'outil cqlsh:
    cqlsh> quitter
  4. Sur le nœud du serveur de gestion, exécutez la commande suivante:
    > /opt/apigee/apigee-service/bin/apigee-service Edge-management-server store_cassandra_credentials -u CASS_USERNAME -p CASS_PASSWORD

    Vous pouvez éventuellement transmettre à la commande un fichier contenant les nouveaux nom d'utilisateur et mot de passe:
    > apigee-service Edge-management-server store_cassandra_credentials -f configFile

    Où configFile contient les suivi:
    CASS_USERNAME=CASS_USERNAME
    CASS_PASSWORD=CASS_PASSWROD

    Cette commande redémarre automatiquement le serveur de gestion.
  5. Répétez l'étape 4 pour: <ph type="x-smartling-placeholder">
      </ph>
    • Tous les processeurs de messages
    • Tous les routeurs
    • Tous les serveurs Qpid (edge-qpid-server)
    • Serveurs Postgres (edge-postgres-server)
  6. Sur le nœud de la pile BaaS à partir de la version 4.16.05.04: <ph type="x-smartling-placeholder">
      </ph>
    1. Exécutez la commande suivante pour générer un mot de passe chiffré:
      &gt; /opt/apigee/apigee-service/bin/apigee-service baas-usergrid secure_password

      Cette commande vous invite à entrer le mot de passe en texte brut et renvoie le mot de passe chiffré dans au format suivant:
      SECURE:ae1b6dedbf6b26aaab8bee815a910737c1c15b55f3505c239e43bc09f8050
    2. Définissez les jetons suivants dans /opt/apigee/customer/application/usergrid.properties. Si ce fichier n'existe pas, créez-le:
      usergrid-deployment_cassandra.username=cassandra
      usergrid-deployment_cassandra.password=SECURE:ae1b6dedbf6b26aaab8bee815a910737c1c15b55f3505c239e43bc09f8050

      Cet exemple utilise le nom d'utilisateur par défaut de Cassandra. Si vous avez modifié le nom d'utilisateur, définissez le la valeur de usergrid-deployment_cassandra.username en conséquence.

      Veillez à inclure la colonne "SÉCURISER:" au mot de passe. Sinon, la pile BaaS interprète la valeur comme non chiffrée.

      Remarque: Chaque nœud de la pile BaaS possède sa propre clé unique permettant de chiffrer le mot de passe. Vous devez donc générer la valeur chiffrée sur chaque nœud de la pile BaaS. séparément.
    3. Remplacez la propriété du fichier usergrid.properties par celle-ci "apigee" utilisateur:
      &gt; Chown apigee:apigee /opt/apigee/customer/application/usergrid.properties
    4. Configurez le nœud de pile:
      &gt; /opt/apigee/apigee-service/bin/apigee-service configurer baas-usergrid
    5. Redémarrez la pile BaaS:
      &gt; /opt/apigee/apigee-service/bin/apigee-service redémarrage baas-usergrid
    6. Répétez ces étapes pour tous les nœuds de la pile BaaS.

Le mot de passe Cassandra a été modifié.

Réinitialisation du mot de passe PostgreSQL

Par défaut, la base de données PostgreSQL comporte deux utilisateurs définis : "postgres" et "apigee". Le mot de passe par défaut des deux utilisateurs est "postgres". Pour modifier le paramètre mot de passe par défaut.

Modifiez le mot de passe sur tous les nœuds maîtres Postgres. Si vous avez deux serveurs Postgres configurés en mode maître/veille, il vous suffit de modifier le mot de passe sur le nœud maître. Voir Configurer la réplication maître-standby pour Postgres pour en savoir plus.

  1. Sur le nœud Postgres maître, remplacez le répertoire par /opt/apigee/apigee-postgresql/pgsql/bin.
  2. Définir la valeur "postgres" de PostgreSQL mot de passe utilisateur: <ph type="x-smartling-placeholder">
      </ph>
    1. Connectez-vous à la base de données PostgreSQL à l'aide de la commande:
      &gt; psql -h localhost -d apigee -U postgres
    2. Lorsque vous y êtes invité, saisissez "postgres" le mot de passe utilisateur "postgres".
    3. Lorsque l'invite de commande PostgreSQL s'affiche, saisissez la commande suivante pour modifier le paramètre mot de passe:
      apigee=&gt; MODIFIER L'UTILISATEUR postgres AVEC LE MOT DE PASSE "apigee1234";
    4. Quittez la base de données PostgreSQL à l'aide de la commande suivante:
      apigee=&gt; \q
  3. Définir l'"apigee" de PostgreSQL mot de passe utilisateur: <ph type="x-smartling-placeholder">
      </ph>
    1. Connectez-vous à la base de données PostgreSQL à l'aide de la commande:
      &gt; psql -h localhost -d apigee -U Apigee
    2. Lorsque vous y êtes invité, saisissez le nom le mot de passe utilisateur "postgres".
    3. Lorsque l'invite de commande PostgreSQL s'affiche, saisissez la commande suivante pour modifier le paramètre mot de passe:
      apigee=&gt; ALTER USER apigee WITH PASSWORD 'apigee1234';
    4. Quittez la base de données PostgreSQL à l'aide de la commande suivante:
      apigee=&gt; \q
  4. Définir APIGEE_HOME:
    &gt; exporter APIGEE_HOME=/opt/apigee/edge-postgres-server
  5. Chiffrer le nouveau mot de passe:
    &gt; chiffon /opt/apigee/edge-postgres-server/utils/scripts/utilities/passwordgen.sh apigee1234

    Cette commande renvoie le mot de passe chiffré, comme indiqué ci-dessous. Le mot de passe chiffré commence après le ":" et ne contient pas ":".
    Chaîne chiffrée :WheaR8U4OeMEM11erxA3Cw==
  6. Mettez à jour le nœud du serveur de gestion avec les nouveaux mots de passe chiffrés pour le "postgres" et "apigee" utilisateurs.
    1. Sur le serveur de gestion, remplacez le répertoire par /opt/apigee/customer/application.
    2. Remplacez le fichier management-server.properties par définissez les propriétés suivantes. Si ce fichier n'existe pas, créez-le:
      Remarque: Certaines propriétés utilisent le paramètre "postgres" chiffré mot de passe utilisateur, et d'autres prennent le "apigee" chiffré utilisateur mot de passe.
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForApigeeUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForApigeeUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
    3. Assurez-vous que le fichier appartient à "apigee" utilisateur:
      &gt; chown apigee:apigee management-server.properties
  7. Mettez à jour tous les nœuds Postgres Server et Qpid Server avec le nouveau mot de passe chiffré.
    1. Sur le nœud Postgres Server ou Qpid Server, remplacez le répertoire par /opt/apigee/customer/application.
    2. Modifiez les fichiers suivants. Si ces fichiers n'existent pas, créez-les: <ph type="x-smartling-placeholder">
        </ph>
      • postgres-server.properties
      • qpid-server.properties
    3. Ajoutez les propriétés suivantes aux fichiers:
      Remarque: Toutes ces propriétés la valeur chiffrée "postgres" mot de passe utilisateur.
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
    4. Assurez-vous que les fichiers appartiennent à "apigee" utilisateur:
      &gt; chown apigee:apigee postgres-server.properties
      &gt; chown apigee:apigee qpid-server.properties
  8. Redémarrez les composants suivants dans cet ordre: <ph type="x-smartling-placeholder">
      </ph>
    1. Base de données PostgreSQL:
      &gt; /opt/apigee/apigee-service/bin/apigee-service redémarrage d'apigee-postgresql
    2. Serveur Qpid:
      &gt; /opt/apigee/apigee-service/bin/apigee-service Edge-qpid-server restart
    3. Serveur Postgres:
      &gt; /opt/apigee/apigee-service/bin/apigee-service Edge-postgres-server restart
    4. Serveur de gestion:
      &gt; /opt/apigee/apigee-service/bin/apigee-service Edge-management-server restart