Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Management API の TLS の構成

Edge for Private Cloud v. 4.17.09

デフォルトでは、Management API の TLS は無効になっています。Edge Management API には、Management Server ノードの IP アドレスとポート 8080 を使用して HTTP 経由でアクセスします。次に例を示します。

http://ms_IP:8080

または、次の形式でアクセスできるように、Management API への TLS アクセスを構成することもできます。

https://ms_IP:8443

この例では、ポート 8443 を使用するように TLS アクセスを構成します。ただし、このポート番号は Edge で必須ではありません。Management Server を構成して、他のポート値を使用できます。唯一の要件は、ファイアウォールが指定されたポートを介したトラフィックを許可することです。

管理 API との間のトラフィックを暗号化するには、/opt/apigee/customer/application/management-server.properties ファイルで設定を構成します。

TLS 構成に加えて、management-server.properties ファイルを変更することで、パスワード検証（パスワードの長さと強度）を制御することもできます。

TLS ポートが開いていることを確認する

このセクションの手順では、Management Server のポート 8443 を使用するように TLS を構成します。使用するポートに関係なく、Management Server でポートが開いていることを確認する必要があります。たとえば、次のコマンドを使用して開くことができます。

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

注: この例では、TLS ポートに一般的なポート 443 ではなく、ポート 8443 を使用しています。これは、1024 未満のポートは通常、オペレーティングシステムによって保護されており、それらのポートにアクセスするプロセスに root アクセス権が必要になるためです。Edge Management Server は「apigee」ユーザーとして実行されるため、通常は 1024 未満のポートにアクセスできません。

1 つの方法は、Edge API でロードバランサを使用し、ポート 443 のロードバランサで TLS を終端することです。ロードバランサと Edge API の間では、HTTP または HTTPS を使用できます。

別の方法として、iptables を使用してポート 443 へのリクエストをポート 8443 に転送することもできます。次に例を示します。

iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

TLS の構成

/opt/apigee/customer/application/management-server.properties ファイルを編集して、管理 API との間のトラフィックでの TLS の使用を制御します。このファイルが存在しない場合は作成します。

管理 API への TLS アクセスを構成する手順は次のとおりです。

TLS 証明書と秘密鍵を含むキーストア JKS ファイルを生成します。詳細については、Edge On Premises の TLS/SSL の構成をご覧ください。
キーストア JKS ファイルを Management Server ノードのディレクトリ（/opt/apigee/customer/application など）にコピーします。
JKS ファイルのオーナー権限を apigee に変更します。
```
chown apigee:apigee keystore.jks
```
ここで、keystore.jks はキーストアファイルの名前です。
/opt/apigee/customer/application/management-server.properties を編集して、次のプロパティを設定します。このファイルが存在しない場合は作成します。
```
conf_webserver_ssl.enabled=true
# Leave conf_webserver_http.turn.off set to false
# because many Edge internal calls use HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
# Enter the obfuscated keystore password below.
conf_webserver_keystore.password=OBF:obfuscatedPassword
conf_webserver_cert.alias=apigee-devtest
```
ここで、keyStore.jks はキーストアファイル、obfuscatedPassword は難読化されたキーストアパスワードです。難読化されたパスワードの生成については、Edge On Premises の TLS/SSL の構成をご覧ください。
次のコマンドを使用して、Edge Management Server を再起動します。
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
```

管理 API が TLS 経由のアクセスをサポートするようになりました。

TLS を使用して Edge API にアクセスするように Edge UI を構成する

上記の手順では、Edge UI が HTTP 経由で Edge API 呼び出しを継続できるように、conf_webserver_http.turn.off=false を残すことをおすすめしました。

Edge UI でこれらの呼び出しを HTTPS 経由でのみ行うように構成するには、次の手順を行います。

上記の説明に沿って、管理 API への TLS アクセスを構成します。
管理 API で TLS が機能していることを確認したら、/opt/apigee/customer/application/management-server.properties を編集して次のプロパティを設定します。 conf_webserver_http.turn.off=true
次のコマンドを使用して、Edge Management Server を再起動します。
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 
```
/opt/apigee/customer/application/ui.properties を編集して、Edge UI に次のプロパティを設定します。このファイルが存在しない場合は、作成します。 conf_apigee_apigee.mgmt.baseurl="https://FQDN:8443/v1" ここで、FQDN は、Management Server の証明書アドレスに従った完全なドメイン名です。ポート番号は、conf_webserver_ssl.port で指定したポートです。
上記の Management API への TLS アクセスを構成するときに、自己署名証明書を使用した場合のみ（本番環境では推奨されません）、次のプロパティを ui.properties に追加します。 conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true それ以外の場合、Edge UI は自己署名証明書を拒否します。
次のコマンドを使用して Edge UI を再起動します。
```
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart
```

Management Server の TLS プロパティ

次の表に、management-server.properties で設定できるすべての TLS/SSL プロパティを示します。

プロパティ	説明
`conf_webserver_http.port=8080`	デフォルトは 8080 です。
`conf_webserver_ssl.enabled=false`	TLS / SSL を有効または無効にします。TLS/SSL を有効（true）にした場合は、ssl.port プロパティと keystore.path プロパティも設定する必要があります。
`conf_webserver_http.turn.off=true`	https とともに http を有効または無効にします。HTTPS のみを使用する場合は、デフォルト値の `true` のままにします。
`conf_webserver_ssl.port=8443`	TLS/SSL ポート。 TLS/SSL が有効な場合に必要です（`conf_webserver_ssl.enabled=true`）。
`conf_webserver_keystore.path=<path>`	キーストアファイルのパス。 TLS/SSL が有効になっている場合に必要です（`conf_webserver_ssl.enabled=true`）。
`conf_webserver_keystore.password=`	難読化されたパスワードを OBF:xxxxxxxxxx の形式で使用します。
`conf_webserver_cert.alias=`	キーストア証明書のエイリアス（省略可）
`conf_webserver_keymanager.password=`	鍵マネージャーにパスワードがある場合は、難読化されたパスワードを OBF:xxxxxxxxxx の形式で入力します。
`conf_webserver_trust.all= <false \| true>` `conf_webserver_trust.store.path=<path>` `conf_webserver_trust.store.password=`	トラストストアの設定を構成します。すべての TLS/SSL 証明書を受け入れるかどうか（たとえば、非標準タイプを受け入れるかどうか）を決定します。デフォルトは `false` です。トラストストアへのパスを指定し、難読化されたトラストストアのパスワードを OBF:xxxxxxxxxx の形式で入力します。
`conf_webserver_exclude.cipher.suites=<CIPHER_SUITE_1 CIPHER_SUITE_2>` `conf_webserver_include.cipher.suites=`	追加または除外する暗号スイートを指定します。たとえば、暗号に脆弱性が見つかった場合は、ここで除外できます。複数の暗号はスペースで区切ります。暗号スイートと暗号アーキテクチャの詳細については、以下をご覧ください。 http://docs.oracle.com/javase/8/docs/technotes/guides/security/SunProviders.html#SunJSSE
`conf_webserver_ssl.session.cache.size=` `conf_webserver_ssl.session.timeout=`	以下を決定する整数: 複数のクライアントのセッション情報を保存するための TLS/SSL セッションキャッシュサイズ（バイト単位）。 TLS/SSL セッションがタイムアウトするまでの時間（ミリ秒単位）。