Cómo configurar TLS entre un router y un procesador de mensajes

Edge for Private Cloud v. 4.17.05

De forma predeterminada, la TLS entre el router y el procesador de mensajes está inhabilitada.

Usa el siguiente procedimiento para habilitar la encriptación TLS entre un router y el procesador de mensajes:

  1. Asegúrate de que el router pueda acceder al puerto 8082 en el procesador de mensajes.
  2. Genera el archivo JKS del almacén de claves que contiene tu certificación TLS y clave privada. Para obtener más información, consulta Configura TLS/SSL para Edge On Instalaciones.
  3. Copia el archivo JKS del almacén de claves a un directorio en el servidor Message Processor, como /opt/apigee/customer/application.
  4. Cambia los permisos y la propiedad del archivo JKS:
    > chown apigee:apigee /opt/apigee/customer/application/keystore.jks
    > chmod 600 /opt/apigee/customer/application/keystore.jks

    donde keystore.jks es el nombre de tu archivo de almacén de claves.
  5. Edita el archivo /opt/apigee/customer/application/message-processor.properties. Si el archivo no existe, créalo.
  6. Establece las siguientes propiedades en el archivo message-processor.properties:
    conf_message-processor-communication_local.http.ssl=true
    conf/message-processor-communication.properties+local.http.port=8443
    conf/message-processor-communication.properties+local.http.ssl.keystore.type=jks
    conf/message-processor-communication.properties+local.http.ssl.keystore.path=/opt/apigee/customer/application/keyStore.jks
    conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
    # Ingresa la contraseña ofuscada del almacén de claves a continuación.
    conf/message-processor-communication.properties+local.http.ssl.keystore.password=OBF:obsPword

    donde keyStore.jks es tu archivo de almacén de claves y obsPword es tu almacén de claves ofuscado y la contraseña del alias de clave. Consulta Configura TLS/SSL para Edge On Premises para obtener información sobre cómo generar una contraseña ofuscada.
  7. Asegúrate de que el archivo message-processor.properties es propiedad del servicio de Apigee usuario:
    > chown apigee:apigee /opt/apigee/customer/application/message-processor.properties
  8. Detén los procesadores de mensajes y los routers:
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor stop
    /opt/apigee/apigee-service/bin/apigee-service edge-router stop
  9. En el router, borra todos los archivos de /opt/nginx/conf.d:
    > rm -f /opt/nginx/conf.d/*
  10. Inicia los procesadores de mensajes y los routers:
    /opt/apigee/apigee-service/bin/apigee-service Edge-message-processor start
    /opt/apigee/apigee-service/bin/apigee-service Edge-router start
  11. Repite el procedimiento para todos los procesadores de mensajes adicionales.

Después de habilitar TLS entre el router y Message Processor, el archivo de registro de Message Processor contiene este mensaje INFO:

MessageProcessorHttpSkeletonFactory.configureSSL() : Instantiating Keystore of type: jks

Esta sentencia INFO confirma que TLS funciona entre el router y el procesador de mensajes.

En la siguiente tabla, se enumeran todas las propiedades disponibles en message-processor.properties:

Propiedades

Descripción

conf_message-processor-communication_local.http.host=<localhost or IP address>

Opcional. Es el nombre de host en el que se escucharán las conexiones del router. Esto anulará el nombre de host configurado en el registro.

conf/message-processor-communication.properties+local.http.port=8998

Opcional. Es el puerto en el que se escuchan las conexiones del router. El valor predeterminado es 8,998.

conf_message-processor-communication_local.http.ssl=&lt;false | true&gt;

Configúralo como verdadero para habilitar TLS/SSL. El valor predeterminado es falso. Cuando TLS/SSL está habilitado, se debe configurar local.http.ssl.keystore.path y local.http.ssl.keyalias.

conf/message-processor-communication.properties+local.http.ssl.keystore.path=

Ruta de acceso del sistema de archivos local al almacén de claves (JKS o PKCS12). Es obligatorio cuando es local.http.ssl=true.

conf/message-processor-communication.properties+local.http.ssl.keyalias=

Es el alias de clave del almacén de claves que se usará para las conexiones TLS/SSL. Obligatorio cuando local.http.ssl=true

conf/message-processor-communication.properties+local.http.ssl.keyalias.password=

Es la contraseña que se usa para encriptar la clave dentro del almacén de claves. Usa una contraseña ofuscada en este formato: OBF:xxxxxxxxxx

conf/message-processor-communication.properties+local.http.ssl.keystore.type=jks

Tipo de almacén de claves. Por el momento, solo se admiten JKS y PKCS12. El valor predeterminado es JKS.

conf/message-processor-communication.properties+local.http.ssl.keystore.password=

Opcional. Contraseña ofuscada para el almacén de claves. Usa una contraseña ofuscada en este formato: OBF:xxxxxxxxxx

conf_message-processor-communication_local.http.ssl.ciphers=&lt;cipher1,cipher2&gt;

Opcional. Cuando se configura, solo se permiten los algoritmos de cifrado que se enumeran. Si se omite, usa todos los algoritmos de cifrado compatibles con el JDK.