Bu sayfa, Cloud Translation API ile çevrilmiştir.

Management API için TLS'yi yapılandırma

Edge for Private Cloud s. 4.17.09

TLS, Management API için varsayılan olarak devre dışıdır ve Edge management API'ye şu üzerinden erişirsiniz: Yönetim Sunucusu düğümünün ve bağlantı noktası 8080'in IP adresini kullanarak HTTP sağlayın. Örneğin:

http://ms_IP:8080

Alternatif olarak, Management API'ye TLS erişimini yapılandırarak buna şu sayfadan erişebilirsiniz: şu formu kullanın:

https://ms_IP:8443

Bu örnekte, TLS erişimini 8443 numaralı bağlantı noktasını kullanacak şekilde yapılandıracaksınız. Ancak bu bağlantı noktası numarası Yönetim Sunucusu'nu diğer bağlantı noktası değerlerini kullanacak şekilde yapılandırabilirsiniz. Tek güvenlik duvarınızın belirtilen bağlantı noktası üzerinden trafiğe izin vermesidir.

Management API'niz ile gelen ve giden trafik şifrelemesini sağlamak için /opt/apigee/customer/application/management-server.properties. dosyası olarak kaydedebilirsiniz.

TLS yapılandırmasına ek olarak, şifre doğrulamayı da kontrol edebilirsiniz (şifre uzunluğu ve güç) management-server.properties dosyasını değiştirin.

TLS bağlantı noktanızın açık olduğundan emin olun

Bu bölümdeki prosedür, TLS'yi Yönetim Sunucusu'nda bağlantı noktası 8443'ü kullanacak şekilde yapılandırır. Kullandığınız bağlantı noktası ne olursa olsun, Management'ta bağlantı noktasının açık olduğundan emin olmanız gerekir. Sunucu. Örneğin, dosyayı açmak için aşağıdaki komutu kullanabilirsiniz:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

Not: Bu örnekte, TLS bağlantı noktası için 8443 numaralı bağlantı noktası kullanılmaktadır, daha yaygın olan 443 bağlantı noktası kullanılmaz. Bunun nedeni, 1024'ün altındaki bağlantı noktalarının genellikle işletim sistemi tarafından korunması ve kök erişimi için erişimi kolaylaştıran bir süreçtir. Uç Yönetim Sunucusu "Apigee" kullanıcısına ait olan ve bu nedenle genellikle 1024'ün altındaki bağlantı noktalarına erişimi yoktur.

Alternatif olarak, Edge API ile bir yük dengeleyici kullanmak ve yükte TLS'yi sonlandırmak bağlantı noktası 443'teki dengeleyicidir. Ardından yük dengeleyici ile Edge API'si.

Diğer bir alternatif de istekleri 443 numaralı bağlantı noktasına yönlendirmek için iptables işlevini kullanmaktır. bağlantı noktası 8443'tür. Örneğin:

iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

TLS'yi yapılandırın

/opt/apigee/customer/application/management-server.properties sütununu düzenleyin yönetim API'nize gelen ve yönetim API'nizden gelen trafikte TLS kullanımını kontrol etmek için Bu dosya mevcut değilse oluşturacağım.

Management API'ye TLS erişimini yapılandırmak için aşağıdaki prosedürü kullanın:

TLS sertifikanızı ve özel anahtarınızı içeren anahtar deposu JKS dosyasını oluşturun. Daha fazla Uç Açık için TLS/SSL'yi Yapılandırma başlıklı makaleyi inceleyin Tesis.
Anahtar deposu JKS dosyasını, şunun gibi Yönetim Sunucusu düğümündeki bir dizine kopyalayın: /opt/apigee/customer/application olarak.
JKS dosyasının sahipliğini Apigee olarak değiştirin:
```
chown apigee:apigee keystore.jks
```
. Burada keystore.jks, anahtar deposu dosyanızın adıdır.

/opt/apigee/customer/application/management-server.properties öğesini düzenle kullanın. Böyle bir dosya yoksa, dosyayı oluşturun:

conf_webserver_ssl.enabled=true
# Leave conf_webserver_http.turn.off set to false
# because many Edge internal calls use HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
# Enter the obfuscated keystore password below.
conf_webserver_keystore.password=OBF:obfuscatedPassword
conf_webserver_cert.alias=apigee-devtest

. Burada keyStore.jks, anahtar deposu dosyanız ve obfuscatedPassword, kodu karartılmış anahtar deposu şifrenizdir. Edge On-Premises için TLS/SSL'yi Yapılandırma karartılmış şifre oluşturma hakkında bilgi edinin.

Şu komutu kullanarak Uç Yönetim Sunucusu'nu yeniden başlatın:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Management API artık TLS üzerinden erişimi desteklemektedir.

Erişim için TLS kullanacak şekilde Edge kullanıcı arayüzünü yapılandırma Edge API

Yukarıdaki prosedürde, Apigee; conf_webserver_http.turn.off=false ürününden çıkmanızı önerdi. uçta kullanıcı arayüzü, HTTP üzerinden Edge API çağrıları yapmaya devam edebilir.

Edge kullanıcı arayüzünü bu çağrıları yalnızca HTTPS üzerinden yapacak şekilde yapılandırmak için aşağıdaki prosedürü kullanın:

Management API'ye TLS erişimini yukarıda açıklandığı şekilde yapılandırın.
TLS'nin Management API için çalıştığını onayladıktan sonra /opt/apigee/customer/application/management-server.properties öğesini şu şekilde düzenleyin: şu özelliği ayarlayın: conf_webserver_http.turn.off=true

Şu komutu kullanarak Uç Yönetim Sunucusu'nu yeniden başlatın:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

/opt/apigee/customer/application/ui.properties öğesini düzenle kullanın. Böyle bir dosya yoksa, dosyayı oluşturun: conf_apigee_apigee.mgmt.baseurl="https://FQDN:8443/v1". Burada FQDN, sertifikanıza göre tam alan adıdır Yönetim Sunucusu'nun adresini ve bağlantı noktası numarası, yukarıda conf_webserver_ssl.port.
Yalnızca kendinden imzalı bir sertifika kullandıysanız (üretim ortamında önerilmez.) ortamı) yukarıdaki yönetim API'sine TLS erişimini yapılandırırken ui.properties mülkü için aşağıdaki mülk: conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true Aksi takdirde, Edge kullanıcı arayüzü kendinden imzalı sertifikaları reddeder.
Şu komutu kullanarak Edge kullanıcı arayüzünü yeniden başlatın:
```
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart
```
.

Yönetim Sunucusu için TLS özellikleri

management-server.properties içinde ayarlayabileceğiniz tüm TLS/SSL özellikleri aşağıdaki tabloda listelenmiştir:

Mülkler	Açıklama
`conf_webserver_http.port=8080`	Varsayılan değer 8080'dir.
`conf_webserver_ssl.enabled=false`	TLS/SSL'yi etkinleştirmek/devre dışı bırakmak için. TLS/SSL etkinleştirildiğinde (doğru) ssl.port'u da ayarlamanız gerekir. ve keystore.path özellikleri arasındadır.
`conf_webserver_http.turn.off=true`	https ile birlikte http'yi etkinleştirmek/devre dışı bırakmak için. Yalnızca HTTPS kullanmak istiyorsanız `true` olarak ayarlayacağım.
`conf_webserver_ssl.port=8443`	TLS/SSL bağlantı noktası. TLS/SSL etkinleştirildiğinde gerekir (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.path=<path>`	Anahtar deposu dosyanızın yolu. TLS/SSL etkinleştirildiğinde gerekir (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.password=`	Şu biçimde, karartılmış bir şifre kullanın: OBF:xxxxxxxxxx
`conf_webserver_cert.alias=`	İsteğe bağlı anahtar deposu sertifika takma adı
`conf_webserver_keymanager.password=`	Anahtar yöneticinizin şifresi varsa şifrenin kodu karartılmış bir sürümünü şu biçim: OBF:xxxxxxxxxx
`conf_webserver_trust.all= <false \| true>` `conf_webserver_trust.store.path=<path>` `conf_webserver_trust.store.password=`	Güven deponuzun ayarlarını yapılandırın. Tümünü kabul etmek isteyip istemediğinize karar verin TLS/SSL sertifikaları (örneğin, standart olmayan türleri kabul etmek için). Varsayılan değer: `false`. Yolu belirtin ekleyin ve kodu karartılmış olarak şu biçimde bir güven deposu şifresi girin: OBF:xxxxxxxxxx
`conf_webserver_exclude.cipher.suites=<CIPHER_SUITE_1 CIPHER_SUITE_2>` `conf_webserver_include.cipher.suites=`	Dahil etmek veya hariç tutmak istediğiniz şifre paketlerini belirtin. Örneğin, bir şifrede güvenlik açığı keşfederseniz, buradan hariç tutabilirsiniz. Birden çok şifreyi ayırın bir alanla birlikte. Şifreleme paketleri ve kriptografi mimarisi hakkında bilgi edinmek için aşağıdaki konulara bakın: http://docs.oracle.com/javase/8/docs/technotes/guides/security/SunProviders.html#SunJSSE
`conf_webserver_ssl.session.cache.size=` `conf_webserver_ssl.session.timeout=`	Şunları belirleyen tam sayılar: Şu alan için oturum bilgilerini depolamak üzere kullanılan TLS/SSL oturum önbelleği boyutu (bayt cinsinden): kullanabilirsiniz. TLS/SSL oturumlarının zaman aşımına uğramadan önce ne kadar süreceği ( milisaniye).