TLS für die Verwaltungs-UI konfigurieren

Edge for Private Cloud Version 4.17.05

Standardmäßig greifen Sie über HTTP auf die Edge-Verwaltungsbenutzeroberfläche mithilfe der IP-Adresse der Verwaltungsserverknoten und Port 9000. Beispiel:

http://ms_IP:9000

Alternativ können Sie den TLS-Zugriff auf die Verwaltungsoberfläche konfigurieren, sodass Sie darauf zugreifen können in das Formular:

https://ms_IP:9443

In diesem Beispiel konfigurieren Sie den TLS-Zugriff für Port 9443. Diese Portnummer muss jedoch nicht für Edge erforderlich: Sie können den Verwaltungsserver so konfigurieren, dass andere Portwerte verwendet werden. Die einzige Voraussetzung ist, dass Ihre Firewall den Traffic über den angegebenen Port zulässt.

Achten Sie darauf, dass der TLS-Port geöffnet ist

Mit dem Verfahren in diesem Abschnitt wird TLS für die Verwendung von Port 9443 auf dem Verwaltungsserver konfiguriert. Unabhängig vom verwendeten Port muss er auf dem Verwaltungsserver geöffnet sein. Sie können es beispielsweise mit dem folgenden Befehl öffnen:

$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

TLS konfigurieren

So konfigurieren Sie den TLS-Zugriff auf die Verwaltungsbenutzeroberfläche:

  1. Generieren Sie die Schlüsselspeicher-JKS-Datei mit Ihrer TLS-Zertifizierung und Ihrem privaten Schlüssel und kopieren Sie sie an den Verwaltungsserverknoten. Weitere Informationen finden Sie unter TLS/SSL für Edge On-Premises konfigurieren.
  2. Führen Sie den folgenden Befehl aus, um TLS zu konfigurieren:
    € /opt/apigee/apigee-service/bin/apigee-service Edge-uiconfigure-ssl
  3. Geben Sie die HTTPS-Portnummer ein, z. B. 9443.
  4. Geben Sie an, ob Sie den HTTP-Zugriff auf die Verwaltungsoberfläche deaktivieren möchten. Standardmäßig legt die Verwaltung Die UI ist über HTTP an Port 9000 zugänglich.
  5. Geben Sie den Schlüsselspeicheralgorithmus ein. Der Standardwert ist JKS.
  6. Geben Sie den absoluten Pfad zur JKS-Datei des Schlüsselspeichers ein.

    Das Skript kopiert die Datei in das Verzeichnis /opt/apigee/customer/conf des Verwaltungsserverknoten und ändert die Eigentümerschaft der Datei in apigee.
  7. Geben Sie das Klartextpasswort für den Schlüsselspeicher ein.
  8. Das Skript startet dann die Edge-Management-Benutzeroberfläche neu. Nach dem Neustart unterstützt die Verwaltungsoberfläche den Zugriff über TLS.
    Sie können diese Einstellungen unter /opt/apigee/etc/edge-ui.d/SSL.sh einsehen.

Sie können dem Befehl auch eine Konfigurationsdatei übergeben, anstatt auf Aufforderungen zu reagieren. Die Konfiguration hat folgende Eigenschaften:

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

Verwenden Sie dann den folgenden Befehl, um TLS der Edge-Benutzeroberfläche zu konfigurieren:

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

Konfigurieren Sie die Edge-Benutzeroberfläche bei TLS wird auf dem Load-Balancer beendet.

Wenn Sie einen Load-Balancer haben, der Anfragen an die Edge-Benutzeroberfläche weiterleitet, können Sie beenden Sie die TLS-Verbindung auf dem Load-Balancer und lassen Sie den Load-Balancer dann weiterleiten. Anfragen an die Edge-Benutzeroberfläche über HTTP. Diese Konfiguration wird unterstützt, Sie müssen jedoch den Load Balancer und die Edge-Benutzeroberfläche entsprechend konfigurieren.

Die zusätzliche Konfiguration ist erforderlich, wenn die Edge-Benutzeroberfläche Nutzern E-Mails zum Festlegen ihres Passworts sendet, wenn der Nutzer erstellt wird oder wenn der Nutzer das Zurücksetzen eines verlorenen Passworts anfordert. Diese E-Mail enthält eine URL, über die der Nutzer ein Passwort festlegen oder zurücksetzen kann. Wenn die Edge-Benutzeroberfläche nicht für die Verwendung von TLS konfiguriert ist, wird für die URL in der generierten E-Mail standardmäßig das HTTP-Protokoll und nicht HTTPS verwendet. Sie müssen den Load Balancer und die Edge-Benutzeroberfläche so konfigurieren, dass eine E-Mail-Adresse mit HTTPS generiert wird.

Achten Sie bei der Konfiguration des Load Balancers darauf, dass er den folgenden Header für Anfragen festlegt, die an die Edge-Benutzeroberfläche weitergeleitet werden:

X-Forwarded-Proto: https

So konfigurieren Sie die Edge-Benutzeroberfläche:

  1. Öffnen Sie die Datei /opt/apigee/customer/application/ui.properties. in einem Editor öffnen. Wenn die Datei nicht vorhanden ist, erstellen Sie sie:
    > vi /opt/apigee/customer/application/ui.properties
  2. Legen Sie die folgende Property in ui.properties fest:
    conf/application.conf+trustxforwarded=true
  3. Speichern Sie die Änderungen an ui.properties.
  4. Starten Sie die Edge-Benutzeroberfläche neu:
    > /opt/apigee/apigee-service/bin/apigee-service Edge-ui neustart