Edge for Private Cloud เวอร์ชัน 4.17.09
TLS (Transport Layer Security ซึ่งเป็นรุ่นก่อนหน้าของ SSL) เป็นเทคโนโลยีการรักษาความปลอดภัยมาตรฐานที่ช่วยให้มั่นใจได้ว่าการรับส่งข้อความจะปลอดภัยและมีการเข้ารหัสในสภาพแวดล้อม API ตั้งแต่แอปไปจนถึง Apigee Edge และบริการแบ็กเอนด์
ไม่ว่าการกำหนดค่าสภาพแวดล้อมสำหรับ Management API จะเป็นอย่างไร เช่น คุณใช้พร็อกซี, เราเตอร์ และ/หรือตัวจัดสรรภาระงานหน้า Management API (หรือไม่) Edge จะช่วยให้คุณเปิดใช้และกำหนดค่า TLS ได้ ซึ่งจะช่วยให้คุณควบคุมการเข้ารหัสข้อความในสภาพแวดล้อมการจัดการ API ภายในองค์กรได้
สำหรับการติดตั้ง Edge Private Cloud ในองค์กร คุณสามารถกำหนดค่า TLS ได้หลายที่ ดังนี้
- ระหว่างเราเตอร์กับ Message Processor
- สำหรับการเข้าถึง Edge Management API
- สำหรับการเข้าถึง UI การจัดการ Edge
- สำหรับการเข้าถึง API จากแอป
- สำหรับการเข้าถึงจาก Edge ไปยังบริการแบ็กเอนด์
การกำหนดค่า TLS สำหรับ 3 รายการแรกมีคำอธิบายอยู่ด้านล่าง ขั้นตอนทั้งหมดนี้ถือว่าคุณได้สร้างไฟล์ JKS ที่มีใบรับรอง TLS และคีย์ส่วนตัวแล้ว
หากต้องการกำหนดค่า TLS สำหรับการเข้าถึงจากแอปไปยัง API ของคุณ (ข้อ 4 ด้านบน) โปรดดูหัวข้อการกำหนดค่าการเข้าถึง TLS ไปยัง API สำหรับ Private Cloud หากต้องการกำหนดค่า TLS สำหรับการเข้าถึงจาก Edge ไปยังบริการแบ็กเอนด์ (ข้อ 5 ด้านบน) โปรดดูหัวข้อการกำหนดค่า TLS จาก Edge ไปยังแบ็กเอนด์ (ระบบคลาวด์และระบบคลาวด์ส่วนตัว)
ดูภาพรวมทั้งหมดของการกำหนดค่า TLS ใน Edge ได้ที่ TLS/SSL
การสร้างไฟล์ JKS
คุณแสดงคีย์สโตร์เป็นไฟล์ JKS โดยที่คีย์สโตร์มีใบรับรอง TLS และคีย์ส่วนตัว การสร้างไฟล์ JKS มีหลายวิธี แต่วิธีหนึ่งคือการใช้ยูทิลิตี openssl และ keytool
ตัวอย่างเช่น คุณมีไฟล์ PEM ชื่อ server.pem ที่มีใบรับรอง TLS และไฟล์ PEM ชื่อ private_key.pem ที่มีคีย์ส่วนตัว ใช้คำสั่งต่อไปนี้เพื่อสร้างไฟล์ PKCS12
> openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12
คุณต้องป้อนพาสเฟรสสำหรับคีย์ (หากมี) และรหัสผ่านการส่งออก คำสั่งนี้จะสร้างไฟล์ PKCS12 ชื่อ keystore.pkcs12
ใช้คำสั่งต่อไปนี้เพื่อแปลงเป็นไฟล์ JKS ชื่อ keystore.jks
> keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks
ระบบจะแจ้งให้คุณป้อนรหัสผ่านใหม่สำหรับไฟล์ JKS และรหัสผ่านที่มีอยู่สำหรับไฟล์ PKCS12 ตรวจสอบว่าคุณใช้รหัสผ่านเดียวกันสำหรับไฟล์ JKS กับที่ใช้สำหรับไฟล์ PKCS12
หากคุณต้องระบุนามแฝงของคีย์ เช่น เมื่อกำหนดค่า TLS ระหว่างเราเตอร์กับ Message Processor ให้ใส่ตัวเลือก "-name" ลงในคำสั่ง openssl ดังนี้
> openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12 -name devtest
จากนั้นใส่ตัวเลือก "-alias" ในคำสั่ง keytool ดังนี้
> keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks -alias devtest
กำลังสร้างรหัสผ่านที่สร้างความสับสน
ขั้นตอนการกำหนดค่า Edge TLS บางส่วนกำหนดให้คุณต้องป้อนรหัสผ่านที่สร้างความสับสนในไฟล์การกำหนดค่า รหัสผ่านที่สร้างความสับสนเป็นทางเลือกที่ปลอดภัยกว่าการป้อนรหัสผ่านเป็นข้อความธรรมดา
คุณสร้างรหัสผ่านที่สร้างความสับสนได้โดยใช้คำสั่งต่อไปนี้ใน Edge Management Server
> /opt/apigee/apigee-service/bin/apigee-service edge-management-server generate-obfuscated-password
ป้อนรหัสผ่านใหม่ แล้วยืนยันรหัสผ่านที่ข้อความแจ้ง ระบบจะไม่แสดงข้อความของรหัสผ่านเนื่องจากเหตุผลด้านความปลอดภัย คำสั่งนี้จะแสดงรหัสผ่านในรูปแบบต่อไปนี้
OBF:58fh40h61svy156789gk1saj MD5:902fobg9d80e6043b394cb2314e9c6
ใช้รหัสผ่านที่สร้างความสับสนซึ่งระบุโดย OBF เมื่อกำหนดค่า TLS
ดูข้อมูลเพิ่มเติมได้ที่บทความนี้