Google używa technologii AI do tłumaczenia treści na Twój preferowany język. Tłumaczenia wygenerowane przez AI mogą zawierać błędy.

Konfigurowanie protokołu TLS dla interfejsu API zarządzania

Edge dla chmury prywatnej w wersji 4.17.09

Domyślnie protokół TLS jest wyłączony w przypadku interfejsu API zarządzania, a dostęp do interfejsu API zarządzania Edge odbywa się przez HTTP przy użyciu adresu IP węzła serwera zarządzania i portu 8080. Na przykład:

http://ms_IP:8080

Możesz też skonfigurować dostęp protokół TLS do interfejsu API zarządzania Google Analytics, aby uzyskać do niego dostęp w tej postaci:

https://ms_IP:8443

W tym przykładzie skonfigurujesz dostęp TLS do korzystania z portu 8443. Jednak ten numer portu nie jest wymagany przez Edge – możesz skonfigurować serwer zarządzania tak, aby używał innych wartości portów. Jedynym wymaganiem jest to, aby zapora sieciowa zezwalała na ruch przez określony port.

Aby zapewnić szyfrowanie ruchu do i z interfejsu API zarządzania Google Analytics, skonfiguruj ustawienia w pliku /opt/apigee/customer/application/management-server.properties.

Oprócz konfiguracji TLS możesz też kontrolować sprawdzanie poprawności hasła (długość i siłę hasła), modyfikując plik management-server.properties.

Sprawdź, czy port TLS jest otwarty

Procedura opisana w tej sekcji konfiguruje protokół TLS do używania portu 8443 na serwerze zarządzania. Niezależnie od używanego portu musisz upewnić się, że jest on otwarty na serwerze zarządzania. Możesz go otworzyć na przykład za pomocą tego polecenia:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

Uwaga: w tym przykładzie jako port TLS używany jest port 8443, a nie bardziej popularny port 443. Wynika to z tego, że porty poniżej 1024 są zwykle chronione przez system operacyjny i wymagają, aby proces, który uzyskuje do nich dostęp, miał dostęp do konta root. Serwer zarządzania Edge działa jako użytkownik „apigee”, więc zwykle nie ma dostępu do portów poniżej 1024.

Jedną z alternatyw jest użycie systemu równoważenia obciążenia z interfejsem API Edge i zakończenie TLS w systemie równoważenia obciążenia na porcie 443. Następnie możesz używać protokołu HTTP lub HTTPS między systemem równoważenia obciążenia a interfejsem API Edge.

Inną opcją jest użycie iptables do przekierowywania żądań z portu 443 na port 8443. Na przykład:

iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

Konfigurowanie TLS

Zmodyfikuj plik /opt/apigee/customer/application/management-server.properties, aby kontrolować użycie protokołu TLS w ruchu do i z interfejsu API zarządzania Google Analytics. Jeśli ten plik nie istnieje, utwórz go.

Aby skonfigurować dostęp protokołu TLS do interfejsu API zarządzania Google Analytics, wykonaj te czynności:

Wygeneruj plik JKS magazynu kluczy zawierający certyfikat TLS i klucz prywatny. Więcej informacji znajdziesz w artykule o konfigurowaniu TLS/SSL dla Edge On-Premises.
Skopiuj plik JKS magazynu kluczy do katalogu w węźle serwera zarządzania, np. /opt/apigee/customer/application.
Zmień własność pliku JKS na apigee:
```
chown apigee:apigee keystore.jks
```
gdzie keystore.jks to nazwa pliku magazynu kluczy.

Zmodyfikuj /opt/apigee/customer/application/management-server.properties, aby ustawić te właściwości. Jeśli ten plik nie istnieje, utwórz go:

conf_webserver_ssl.enabled=true
# Leave conf_webserver_http.turn.off set to false
# because many Edge internal calls use HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
# Enter the obfuscated keystore password below.
conf_webserver_keystore.password=OBF:obfuscatedPassword
conf_webserver_cert.alias=apigee-devtest

gdzie keyStore.jks to plik magazynu kluczy, a obfuscatedPassword to zaciemnione hasło do magazynu kluczy. Informacje o generowaniu zaciemnionego hasła znajdziesz w artykule Konfigurowanie TLS/SSL dla Edge On-Premises.

Uruchom ponownie serwer zarządzania Edge za pomocą polecenia:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Interfejs API zarządzania Google Analytics obsługuje teraz dostęp przez protokół TLS.

Konfigurowanie interfejsu Edge pod kątem korzystania z protokołu TLS w celu uzyskiwania dostępu do interfejsu API Edge

W powyższej procedurze Apigee zaleca pozostawienie conf_webserver_http.turn.off=false, aby interfejs Edge mógł nadal wykonywać wywołania interfejsu API Edge przez HTTP.

Aby skonfigurować interfejs Edge tak, aby wykonywał te wywołania tylko przez HTTPS, wykonaj te czynności:

Skonfiguruj dostęp protokołu TLS do interfejsu API zarządzania Google Analytics zgodnie z opisem powyżej.
Po potwierdzeniu, że protokół TLS działa w przypadku interfejsu API zarządzania Google Analytics, zmodyfikuj plik /opt/apigee/customer/application/management-server.properties, aby ustawić tę właściwość:conf_webserver_http.turn.off=true

Uruchom ponownie serwer zarządzania Edge za pomocą polecenia:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Edytuj plik /opt/apigee/customer/application/ui.properties, aby ustawić tę właściwość interfejsu Edge. Jeśli ten plik nie istnieje, utwórz go: conf_apigee_apigee.mgmt.baseurl="https://FQDN:8443/v1" gdzie FQDN to pełna nazwa domeny, zgodnie z adresem certyfikatu serwera zarządzania, a numer portu to port określony powyżej przez conf_webserver_ssl.port.
Tylko jeśli podczas konfigurowania dostępu protokołu TLS do interfejsu API zarządzania Google Analytics powyżej użyto certyfikatu podpisanego samodzielnie (niezalecane w środowisku produkcyjnym), dodaj do pliku ui.properties tę właściwość: conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true W przeciwnym razie interfejs Edge odrzuci certyfikat podpisany samodzielnie.

Uruchom ponownie interfejs Edge za pomocą polecenia:

/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Właściwości TLS serwera zarządzania

W tabeli poniżej znajdziesz wszystkie właściwości TLS/SSL, które możesz ustawić w management-server.properties:

Usługi	Opis
`conf_webserver_http.port=8080`	Wartość domyślna to 8080.
`conf_webserver_ssl.enabled=false`	Aby włączyć lub wyłączyć TLS/SSL. Jeśli protokół TLS/SSL jest włączony (true), musisz też ustawić właściwości ssl.port i keystore.path.
`conf_webserver_http.turn.off=true`	Aby włączyć lub wyłączyć http razem z https. Jeśli chcesz używać tylko protokołu HTTPS, pozostaw wartość domyślną `true`.
`conf_webserver_ssl.port=8443`	Port TLS/SSL. Wymagane, gdy włączony jest protokół TLS/SSL (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.path=<path>`	Ścieżka do pliku magazynu kluczy. Wymagane, gdy włączony jest protokół TLS/SSL (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.password=`	Użyj zaciemnionego hasła w tym formacie: OBF:xxxxxxxxxx
`conf_webserver_cert.alias=`	Opcjonalny alias certyfikatu magazynu kluczy
`conf_webserver_keymanager.password=`	Jeśli menedżer kluczy ma hasło, wpisz jego zaciemnioną wersję w tym formacie: OBF:xxxxxxxxxx
`conf_webserver_trust.all= <false \| true>` `conf_webserver_trust.store.path=<path>` `conf_webserver_trust.store.password=`	Skonfiguruj ustawienia magazynu zaufania. Określ, czy chcesz akceptować wszystkie certyfikaty TLS/SSL (na przykład, aby akceptować niestandardowe typy). Wartość domyślna to `false`. Podaj ścieżkę do magazynu zaufania i wpisz zaciemnione hasło do magazynu zaufania w tym formacie: OBF:xxxxxxxxxx
`conf_webserver_exclude.cipher.suites=<CIPHER_SUITE_1 CIPHER_SUITE_2>` `conf_webserver_include.cipher.suites=`	Wskaż zestawy szyfrów, które chcesz uwzględnić lub wykluczyć. Jeśli na przykład odkryjesz lukę w zabezpieczeniach szyfru, możesz go tutaj wykluczyć. Poszczególne mechanizmy szyfrowania oddziel spacją. Informacje o pakietach mechanizmów szyfrujących i architekturze kryptograficznej znajdziesz w tych artykułach: http://docs.oracle.com/javase/8/docs/technotes/guides/security/SunProviders.html#SunJSSE
`conf_webserver_ssl.session.cache.size=` `conf_webserver_ssl.session.timeout=`	Liczby całkowite, które określają: Rozmiar pamięci podręcznej sesji TLS/SSL (w bajtach) na potrzeby przechowywania informacji o sesji dla wielu klientów. Czas trwania sesji TLS/SSL przed przekroczeniem limitu czasu (w milisekundach).