Requisiti di installazione

Edge for Private Cloud v. 4.17.05

Requisiti hardware

Devi soddisfare i seguenti requisiti hardware minimi per un'infrastruttura ad alta affidabilità in un ambiente di livello di produzione. Per tutti gli scenari di installazione descritti in Topologie di installazione, le seguenti tabelle elencano i requisiti hardware minimi per i componenti di installazione.

In queste tabelle, i requisiti del disco rigido si aggiungono allo spazio su disco rigido richiesto dal sistema operativo. A seconda delle applicazioni e del traffico di rete, l'installazione potrebbe richiedere più o meno risorse di quelle elencate di seguito.

Inoltre, di seguito sono elencati i requisiti hardware per l'installazione dei servizi di monetizzazione:

Di seguito sono riportati i requisiti hardware per l'installazione di API BaaS:

Nota:

• Se il file system root non è abbastanza grande per l'installazione, ti consigliamo di posizionare i dati su un disco più grande.
• Se sulla macchina è stata installata una versione precedente di Apigee Edge for Private Cloud, assicurati di eliminare la cartella /tmp/java prima di una nuova installazione.
• La cartella temporanea a livello di sistema /tmp deve disporre delle autorizzazioni di esecuzione per avviare Cassandra.
• Se l'utente "apigee" è stato creato prima dell'installazione, assicurati che "/home/apigee" esista come home directory e sia di proprietà di "apigee:apigee".

Requisiti del sistema operativo e del software di terze parti

Queste istruzioni di installazione e i file di installazione forniti sono stati testati sui sistemi operativi e sul software di terze parti elencati qui: https://apigee.com/docs/api-services/reference/supported-software.

Creazione dell'utente Apigee

La procedura di installazione crea un utente di sistema Unix denominato "apigee". Le directory e i file Edge sono di proprietà di "apigee", così come i processi Edge. Ciò significa che i componenti Edge vengono eseguiti come utente "apigee". Se necessario, puoi eseguire i componenti come utente diverso. Per un esempio, consulta "Associazione del router a una porta protetta" in Installa i componenti Edge su un nodo.

Directory di installazione

Per impostazione predefinita, il programma di installazione scrive tutti i file nella directory /opt/apigee. Non puoi modificare la posizione di questa directory. Sebbene non sia possibile modificare questa directory, puoi creare un collegamento simbolico per mappare /opt/apigee a un'altra posizione, come descritto di seguito.

Nelle istruzioni di questa guida, la directory di installazione è indicata come /<inst_root>/apigee, dove /<inst_root> è /opt per impostazione predefinita.

Creazione di un collegamento simbolico da /opt/apigee

Prima di creare il collegamento simbolico, devi creare un utente e un gruppo denominati "apigee". Si tratta dello stesso gruppo e dello stesso utente creati dal programma di installazione di Edge.

Per creare il collegamento simbolico, segui questi passaggi prima di scaricare il file bootstrap_4.17.01.sh. Devi eseguire tutti questi passaggi come root:

1. Crea l'utente e il gruppo "apigee":
   > groupadd -r apigee
   > useradd -r -g apigee -d /opt/apigee -s /sbin/nologin -c "Apigee platform user" apigee
2. Crea un collegamento simbolico da /opt/apigee alla directory root di installazione desiderata:
   > ln -Ts /srv/myInstallDir /opt/apigee
   dove /srv/myInstallDir è la posizione desiderata dei file Edge.
3. Cambia la proprietà della directory root di installazione e del collegamento simbolico all'utente "apigee":
   > chown -h apigee:apigee /srv/myInstallDir /opt/apigee

Java

Prima dell'installazione, devi installare una versione supportata di Java1.8 su ogni macchina. I JDK supportati sono elencati qui:

https://apigee.com/docs/api-services/reference/supported-software

Assicurati che JAVA_HOME punti alla directory root del JDK per l'utente che esegue l'installazione.

SELinux

A seconda delle impostazioni di SELinux, Edge potrebbe riscontrare problemi con l'installazione e l'avvio dei componenti Edge. Se necessario, puoi disattivare SELinux o impostarlo sulla modalità permissiva durante l'installazione e poi riattivarlo dopo l'installazione. Per saperne di più, consulta Installa l'utilità apigee-setup di Edge.

Impostazione della rete

Ti consigliamo di controllare l'impostazione della rete prima dell'installazione. Il programma di installazione prevede che tutte le macchine abbiano indirizzi IP fissi. Utilizza i seguenti comandi per convalidare l'impostazione:

• hostname restituisce il nome della macchina
• hostname -i restituisce l'indirizzo IP per il nome host che può essere indirizzato da altre macchine.

A seconda del tipo e della versione del sistema operativo, potresti dover modificare /etc/hosts e /etc/sysconfig/network se il nome host non è impostato correttamente. Per saperne di più, consulta la documentazione del tuo sistema operativo specifico.

TCP Wrapper

I wrapper TCP possono bloccare la comunicazione di alcune porte e possono influire sull'installazione di OpenLDAP, Postgres e Cassandra. Su questi nodi, controlla /etc/hosts.allow e /etc/hosts.deny per assicurarti che non siano presenti limitazioni sulle porte OpenLDAP, Postgres e Cassandra richieste.

iptables

Verifica che non esistano policy iptables che impediscono la connettività tra i nodi sulle porte Edge richieste. Se necessario, puoi arrestare iptables durante l'installazione utilizzando il comando:

> sudo/etc/init.d/iptables stop

In CentOS 7.x:

> systemctl stop firewalld

Assicurati che il router perimetrale possa accedere a /etc/rc.d/init.d/functions

I nodi Edge Router e BaaS Portal utilizzano il router Nginx e richiedono l'accesso in lettura a /etc/rc.d/init.d/functions.

Se la tua procedura di sicurezza richiede l'impostazione delle autorizzazioni su /etc/rc.d/init.d/functions, non impostarle su 700, altrimenti l'avvio del router non andrà a buon fine. Le autorizzazioni possono essere impostate su 744 per consentire l'accesso in lettura a /etc/rc.d/init.d/functions.

Cassandra

Tutti i nodi Cassandra devono essere connessi a un anello. Cassandra archivia le repliche dei dati su più nodi per garantire affidabilità e tolleranza di errore. La strategia di replica per ogni keyspace Edge determina i nodi Cassandra in cui vengono posizionate le repliche. Per saperne di più,consulta Informazioni sul fattore di replica e sul livello di coerenza di Cassandra.

Cassandra regola automaticamente le dimensioni dell'heap Java in base alla memoria disponibile. Per saperne di più, consulta Ottimizzazione delle risorse Java. In caso di peggioramento delle prestazioni o di consumo elevato della memoria.

Dopo aver installato Edge for Private Cloud, puoi verificare che Cassandra sia configurato correttamente esaminando il file /<inst_root>/apigee/apigee-cassandra/conf/cassandra.yaml. Ad esempio, assicurati che lo script di installazione di Edge for Private Cloud abbia impostato le seguenti proprietà:

• cluster_name
• initial_token
• partitioner
• semi
• listen_address
• rpc_address
• snitch

Avviso: non modificare questo file.

Database PostgreSQL

Dopo aver installato Edge, puoi regolare le seguenti impostazioni del database PostgreSQL in base alla quantità di RAM disponibile sul tuo sistema:

conf_postgresql_shared_buffers = 35% of RAM      # min 128kB
conf_postgresql_effective_cache_size = 45% of RAM
conf_postgresql_work_mem = 512MB       # min 64kB

Per impostare questi valori:

1. Modifica postgresql.properties:
   > vi /<inst_root>/apigee/customer/application/postgresql.properties
   
   Se il file non esiste, crealo.
2. Imposta le proprietà elencate sopra.
3. Salva le modifiche.
4. Riavvia il database PostgreSQL:
   > /<inst_root>/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

Limiti del sistema

Assicurati di aver impostato i seguenti limiti di sistema sui nodi Cassandra e processore di messaggi:

• Sui nodi Cassandra, imposta i limiti soft e hard di memlock, nofile e spazio degli indirizzi (as) per l'utente di installazione (il valore predefinito è "apigee") in /etc/security/limits.d/90-apigee-edge-limits.conf come mostrato di seguito:
  apigee soft memlock unlimited
  apigee hard memlock unlimited
  apigee soft nofile 32768
  apigee hard nofile 65536
  apigee soft as unlimited
  apigee hard as unlimited
  
• Sui nodi Processore di messaggi, imposta il numero massimo di descrittori del file aperti su 64K in /etc/security/limits.d/90-apigee-edge-limits.conf come mostrato di seguito:
  apigee soft nofile 32768
  apigee hard nofile 65536
  
  Se necessario, puoi aumentare questo limite. Ad esempio, se hai un numero elevato di file temporanei aperti contemporaneamente.

jsvc

"jsvc" è un prerequisito per l'utilizzo di API BaaS. La versione 1.0.15-dev viene installata quando installi API BaaS.

Network Security Services (NSS)

Network Security Services (NSS) è un insieme di librerie che supporta lo sviluppo di applicazioni client e server con funzionalità di sicurezza. Assicurati di aver installato NSS v3.19 o versioni successive.

Per controllare la versione corrente:

> yum info nss

Per aggiornare NSS:

> yum update nss

Per saperne di più, consulta questo articolo di RedHat.

Disattiva la ricerca DNS su IPv6 quando utilizzi NSCD (Name Service Cache Daemon)

Se hai installato e attivato NSCD (Name Service Cache Daemon), i processori di messaggi eseguono due ricerche DNS: una per IPv4 e una per IPv6. Quando utilizzi NSCD, devi disattivare la ricerca DNS su IPv6.

Per disattivare la ricerca DNS su IPv6:

1. Su ogni nodo del processore di messaggi, modifica /etc/nscd.conf
2. Imposta la seguente proprietà:
   enable-cache hosts no

Disattiva IPv6 su Google Cloud Platform per RedHat/CentOS 7

Se installi Edge su RedHat 7 o CentOS 7 su Google Cloud, devi disattivare IPv6 su tutti i nodi Qpid.

Per istruzioni su come disattivare IPv6, consulta la documentazione di RedHat o CentOS per la versione specifica del sistema operativo. Ad esempio, puoi:

1. Apri /etc/hosts in un editor.
2. Inserisci un carattere "#" nella prima colonna della riga seguente per impostarla come commento:
   #::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
3. Salva il file.

AWS AMI

Se stai installando Edge su un'immagine Amazon Machine Image (AMI) AWS per Red Hat Enterprise Linux 7.x, devi prima eseguire il seguente comando:

> yum-config-manager --enable rhui-REGION-rhel-server-extras rhui-REGION-rhel-server-optional

Strumenti

Il programma di installazione utilizza i seguenti strumenti UNIX nella versione standard fornita da EL5 o EL6.

Nota:

• Il file eseguibile per lo strumento "useradd" si trova in /usr/sbin e per chkconfig in /sbin.
• Con l'accesso sudo puoi accedere all'ambiente dell'utente chiamante, ad esempio, di solito chiami "sudo <command>" o "sudo PATH=$PATH:/usr/sbin:/sbin <command>".
• Assicurati di aver installato lo strumento "patch" prima di installare un service pack (patch).

ntpdate: si consiglia di sincronizzare l'ora dei server. Se non è già configurata, l'utilità "ntpdate" potrebbe servire a questo scopo, ovvero verificare se i server sono sincronizzati con l'ora. Puoi utilizzare "yum install ntp" per installare l'utilità. Questo è particolarmente utile per replicare le configurazioni OpenLDAP. Tieni presente che il fuso orario del server è impostato su UTC.

openldap 2.4: l'installazione on-premise richiede OpenLDAP 2.4. Se il tuo server dispone di una connessione a internet, lo script di installazione di Edge scarica e installa OpenLDAP. Se il tuo server non dispone di una connessione a internet, devi assicurarti che OpenLDAP sia già installato prima di eseguire lo script di installazione di Edge. Su RHEL/CentOS, puoi eseguire "yum install openldap-clients openldap-servers" per installare OpenLDAP.

Per le installazioni con 13 host e con 12 host con due data center, è necessaria la replica OpenLDAP perché esistono più nodi che ospitano OpenLDAP.

Firewall e host virtuali

Il termine "virtuale" viene comunemente utilizzato in modo eccessivo nel settore IT, così come avviene per un deployment di Apigee Edge for Private Cloud e gli host virtuali. Per chiarire, esistono due utilizzi principali del termine "virtuale":

• Macchine virtuali (VM): non obbligatorie, ma alcuni deployment utilizzano la tecnologia VM per creare server isolati per i componenti Apigee. Gli host VM, come gli host fisici, possono avere interfacce di rete e firewall.
• Host virtuali: endpoint web, analoghi a un host virtuale Apache.

Un router in una VM può esporre più host virtuali (purché siano diversi l'uno dall'altro nell'alias host o nella porta dell'interfaccia).

Per fare un esempio di denominazione, un singolo server fisico "A" potrebbe eseguire due VM, denominate "VM1" e "VM2". Supponiamo che VM1 esponga un'interfaccia Ethernet virtuale, denominata eth0 all'interno della VM, a cui viene assegnato l'indirizzo IP 111.111.111.111 dal sistema di virtualizzazione o da un server DHCP di rete. Supponiamo poi che VM2 esponga un'interfaccia Ethernet virtuale denominata anch'essa eth0, a cui viene assegnato l'indirizzo IP 111.111.111.222.

Potremmo avere un router Apigee in esecuzione in ciascuna delle due VM. I router espongono gli endpoint degli host virtuali come in questo esempio ipotetico:

Il router Apigee nella VM1 espone tre host virtuali sulla sua interfaccia eth0 (che ha un indirizzo IP specifico), api.mycompany.com:80, api.mycompany.com:443 e test.mycompany.com:80.

Il router nella VM2 espone api.mycompany.com:80 (stesso nome e stessa porta esposti dalla VM1).

Il sistema operativo dell'host fisico potrebbe avere un firewall di rete; in tal caso, il firewall deve essere configurato per trasmettere il traffico TCP destinato alle porte esposte sulle interfacce virtualizzate (111.111.111.111:{80, 443} e 111.111.111.222:80). Inoltre, il sistema operativo di ogni VM può fornire il proprio firewall sulla sua interfaccia eth0 e anche questo deve consentire il traffico sulle porte 80 e 443 per la connessione.

Il percorso di base è il terzo componente coinvolto nel routing delle chiamate API ai diversi proxy API di cui potresti aver eseguito il deployment. I bundle di proxy API possono condividere un endpoint se hanno percorsi di base diversi. Ad esempio, un percorso di base può essere definito come http://api.mycompany.com:80/ e un altro come http://api.mycompany.com:80/salesdemo.

In questo caso, hai bisogno di un bilanciatore del carico o di un Traffic Director di qualche tipo che suddivida il traffico http://api.mycompany.com:80/ tra i due indirizzi IP (111.111.111.111 su VM1 e 111.111.111.222 su VM2). Questa funzione è specifica per la tua installazione particolare ed è configurata dal tuo gruppo di networking locale.

Il percorso di base viene impostato quando esegui il deployment di un'API. Nell'esempio precedente, puoi eseguire il deployment di due API, mycompany e testmycompany, per l'organizzazione mycompany-org con l'host virtuale che ha l'alias host api.mycompany.com e la porta impostata su 80. Se non dichiari un percorso di base nel deployment, il router non sa a quale API inviare le richieste in entrata.

Tuttavia, se esegui il deployment dell'API testmycompany con l'URL di base /salesdemo, gli utenti accedono all'API utilizzando http://api.mycompany.com:80/salesdemo. Se esegui il deployment dell'API mycompany con l'URL di base /, gli utenti accedono all'API tramite l'URL http://api.mycompany.com:80/.

Requisiti delle porte perimetrali

La necessità di gestire il firewall va oltre i semplici host virtuali; i firewall degli host VM e fisici devono consentire il traffico per le porte richieste dai componenti per comunicare tra loro.

L'immagine seguente mostra i requisiti delle porte per ogni componente Edge:

Note su questo diagramma:

• *La porta 8082 del processore di messaggi deve essere aperta per l'accesso da parte del router solo quando configuri TLS/SSL tra il router e il processore di messaggi. Se non configuri TLS/SSL tra il router e il processore di messaggi, la configurazione predefinita, la porta 8082 deve comunque essere aperta sul processore di messaggi per gestire il componente, ma il router non richiede l'accesso.
• Le porte con prefisso "M" vengono utilizzate per gestire il componente e devono essere aperte sul componente per l'accesso da parte del server di gestione.
• I seguenti componenti richiedono l'accesso alla porta 8080 sul server di gestione: router, processore di messaggi, UI, Postgres e Qpid.
• Un processore di messaggi deve aprire la porta 4528 come porta di gestione. Se hai più processori di messaggi, devono essere tutti in grado di accedere l'uno all'altro tramite la porta 4528 (indicata dalla freccia di loop nel diagramma precedente per la porta 4528 sul processore di messaggi). Se hai più data center, la porta deve essere accessibile da tutti i processori di messaggi in tutti i data center.
• Sebbene non sia obbligatorio, puoi aprire la porta 4527 sul router per l'accesso da parte di qualsiasi processore di messaggi. In caso contrario, potresti visualizzare messaggi di errore nei file di log del processore di messaggi.
• Un router deve aprire la porta 4527 come porta di gestione. Se hai più router, devono essere tutti in grado di accedere l'uno all'altro tramite la porta 4527 (indicata dalla freccia di loop nel diagramma precedente per la porta 4527 sul router).
• La UI Edge richiede l'accesso al router, sulle porte esposte dai proxy API, per supportare il pulsante Invia nello strumento di traccia.
• Il server di gestione richiede l'accesso alla porta JMX sui nodi Cassandra.
• L'accesso alle porte JMX può essere configurato in modo da richiedere un nome utente e una password. Per saperne di più, consulta Come monitorare.
• Facoltativamente, puoi configurare l'accesso TLS/SSL per determinate connessioni, che possono utilizzare porte diverse. Per saperne di più, consulta TLS/SSL.
• Se configuri due nodi Postgres per utilizzare la replica master-standby, devi aprire la porta 22 su ciascun nodo per l'accesso SSH. Facoltativamente, puoi aprire le porte sui singoli nodi per consentire l'accesso SSH.
• Puoi configurare il server di gestione e la UI di Edge per inviare email tramite un server SMTP esterno. In questo caso, devi assicurarti che il server di gestione e l'interfaccia utente possano accedere alla porta necessaria sul server SMTP. Per SMTP non TLS, il numero di porta è in genere 25. Per SMTP con TLS abilitato, spesso è 465, ma verifica con il tuo provider SMTP.

La tabella seguente mostra le porte che devono essere aperte nei firewall, per componente Edge:

> curl -v http://<routerIP>:15999/v1/servers/self/reachable

La tabella seguente mostra le stesse porte, elencate in ordine numerico, con i componenti di origine e di destinazione:

Un processore di messaggi mantiene aperto un pool di connessioni dedicato a Cassandra, configurato per non scadere mai. Quando un firewall si trova tra un processore di messaggi e un server Cassandra, il firewall può causare il timeout della connessione. Tuttavia, il processore di messaggi non è progettato per ristabilire le connessioni a Cassandra.

Per evitare questa situazione, Apigee consiglia di collocare il server Cassandra, il processore di messaggi e i router nella stessa subnet, in modo che il firewall non sia coinvolto nel deployment di questi componenti.

Se tra il router e i processori di messaggi è presente un firewall con un timeout TCP di inattività impostato, ti consigliamo di:

1. Imposta net.ipv4.tcp_keepalive_time = 1800 nelle impostazioni sysctl sul sistema operativo Linux, dove 1800 deve essere inferiore al timeout TCP di inattività del firewall. Questa impostazione dovrebbe mantenere la connessione in uno stato stabilito, in modo che il firewall non la disconnetta.
2. In tutti i processori di messaggi, modifica /<inst_root>/apigee/customer/application/message-processor.properties per aggiungere la seguente proprietà. Se il file non esiste, crealo.
   conf_system_cassandra.maxconnecttimeinmillis=-1
3. Riavvia il processore di messaggi:
   > /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
4. Su tutti i router, modifica /<inst_root>/apigee/customer/application/router.properties per aggiungere la seguente proprietà. Se il file non esiste, crealo.
   conf_system_cassandra.maxconnecttimeinmillis=-1
5. Riavvia il router:
   > /opt/apigee/apigee-service/bin/apigee-service edge-router restart

Se installi la configurazione in cluster con 12 host e due data center, assicurati che i nodi nei due data center possano comunicare tramite le porte mostrate di seguito:

Requisiti delle porte API BaaS

Se scegli di installare API BaaS, aggiungi i componenti API BaaS Stack e API BaaS Portal. Questi componenti utilizzano le porte mostrate nella figura seguente:

Note su questo diagramma:

• Il portale API BaaS non effettua mai richieste direttamente a un nodo BaaS Stack. Quando uno sviluppatore accede al portale, l'app del portale viene scaricata nel browser. L'app Portal in esecuzione nel browser effettua quindi richieste ai nodi dello stack BaaS.
• Un'installazione di produzione di API BaaS utilizza un bilanciatore del carico tra il nodo del portale API BaaS e i nodi dello stack API BaaS. Quando configuri il portale e quando effettui chiamate API BaaS, specifichi l'indirizzo IP o il nome DNS del bilanciatore del carico, non dei nodi dello stack.
• Tutti i nodi Stack devono aprire la porta 2551 per l'accesso da tutti gli altri nodi Stack (indicato dalla freccia di loop nel diagramma sopra per la porta 2551 sui nodi Stack). Se hai più data center, la porta deve essere accessibile da tutti i nodi Stack in tutti i data center.
• Devi configurare tutti i nodi Baas Stack per l'invio di email tramite un server SMTP esterno. Per SMTP non TLS, il numero di porta è in genere 25. Per SMTP con TLS abilitato, spesso è 465, ma verifica con il tuo provider SMTP.
• I nodi Cassandra possono essere dedicati ad API BaaS o condivisi con Edge.

La tabella seguente mostra le porte predefinite che devono essere aperte nei firewall, per componente:

Licenze

Ogni installazione di Edge richiede un file di licenza univoco che ottieni da Apigee. Durante l'installazione del server di gestione, dovrai fornire il percorso del file di licenza, ad esempio /tmp/license.txt.

Il programma di installazione copia il file di licenza in /<inst_root>/apigee/customer/conf/license.txt.

Se il file di licenza è valido, il server di gestione convalida la scadenza e il numero di processori di messaggi (MP) consentiti. Se una delle impostazioni della licenza è scaduta, puoi trovare i log nella seguente posizione: /<inst_root>/apigee/var/log/edge-management-server/logs. In questo caso, puoi contattare l'assistenza Apigee per i dettagli sulla migrazione.

Se non hai ancora una licenza, contatta il team di vendita qui.