Edge-SSO für Hochverfügbarkeit installieren

Edge for Private Cloud v. 4.17.09

Sie installieren mehrere Instanzen von Edge SSO für Hochverfügbarkeit in zwei Szenarien:

  • Installieren Sie in einer Umgebung mit einem einzelnen Rechenzentrum zwei Edge-SSO-Instanzen, um eine Hochverfügbarkeitsumgebung zu erstellen. Das bedeutet, dass das System weiterhin funktioniert, wenn eines der Edge-SSO-Module ausfällt.
  • Installieren Sie Edge SSO in einer Umgebung mit zwei Rechenzentren in beiden Rechenzentren, damit das System auch dann weiter funktioniert, wenn eines der Edge SSO-Module ausfällt.

Zwei Edge-SSO-Module im selben Rechenzentrum installieren

Sie stellen zwei Instanzen von Edge SSO auf verschiedenen Knoten in einem einzelnen Rechenzentrum bereit, um Hochverfügbarkeit zu unterstützen. Für dieses Beispiel gilt:

  • Beide Instanzen von Edge SSO müssen mit demselben Postgres-Server verbunden sein. Apigee empfiehlt, einen dedizierten Postgres-Server für Edge-SSO zu verwenden und nicht denselben Postgres-Server, den Sie mit Edge installiert haben.
  • Sie benötigen einen Load Balancer vor den beiden Instanzen von Edge SSO:
    • Der Load Balancer muss die von der Anwendung generierte Cookie-Stickiness unterstützen und das Sitzungscookie muss den Namen JSESSIONID haben.
    • Konfigurieren Sie den Load-Balancer so, dass er eine TCP- oder HTTP-Systemdiagnose für Edge-SSO durchführt. Verwenden Sie für TCP die URL von Edge SSO:

      http_or_https://edge_sso_IP_DNS:9099

      Geben Sie den Port an, der von Edge SSO festgelegt wurde. Port 9099 ist der Standardport.

      Fügen Sie für HTTP /healthz ein:

      http_or_https://edge_sso_IP_DNS:9099/healthz
    • Einige Load-Balancer-Einstellungen hängen davon ab, ob Sie HTTPS für Edge-SSO aktiviert haben. Weitere Informationen finden Sie in den folgenden Abschnitten.

HTTP-Zugriff auf Edge-SSO verwenden

Wenn Sie HTTP-Zugriff auf Edge SSO verwenden, konfigurieren Sie den Load Balancer so:

  • HTTP-Modus für die Verbindung mit Edge-SSO verwenden
  • Überwachung desselben Ports wie Edge SSO

    Standardmäßig überwacht Edge SSO Port 9099 auf HTTP-Anfragen. Optional können Sie mit SSO_TOMCAT_PORT den Edge-SSO-Port festlegen. Wenn Sie den Edge-SSO-Port mit SSO_TOMCAT_PORT geändert haben, achten Sie darauf, dass der Load Balancer diesen Port überwacht.

In jeder Edge-SSO-Instanz legen Sie beispielsweise den Port auf 9033 fest, indem Sie der Konfigurationsdatei Folgendes hinzufügen:

SSO_TOMCAT_PORT=9033

Anschließend konfigurieren Sie den Load-Balancer so, dass er Port 9033 überwacht und Anfragen an eine Edge-SSO-Instanz an Port 9033 weiterleitet. Die öffentliche URL von Edge SSO in diesem Szenario lautet:

http://LB_DNS_NAME:9033

HTTPS-Zugriff auf Edge-SSO verwenden

Sie können die Edge-SSO-Instanzen für die Verwendung von HTTPS konfigurieren. Führen Sie in diesem Szenario die Schritte unter apigee-sso für HTTPS-Zugriff konfigurieren aus. Im Rahmen der Aktivierung von HTTPS legen Sie SSO_TOMCAT_PROFILE in der Edge-SSO-Konfigurationsdatei wie unten dargestellt fest:

SSO_TOMCAT_PROFILE=SSL_TERMINATION

Optional können Sie auch den Port festlegen, der von Edge SSO für den HTTPS-Zugriff verwendet wird:

SSO_TOMCAT_PORT=9443

Wenn Sie HTTPS-Zugriff auf Edge SSO verwenden, konfigurieren Sie den Load Balancer so:

  • Verwenden Sie den TCP-Modus, nicht den HTTP-Modus, um eine Verbindung zu Edge-SSO herzustellen.
  • Überwachen Sie denselben Port wie Edge SSO, wie durch SSO_TOMCAT_PORT definiert.

Anschließend konfigurieren Sie den Load Balancer so, dass Anfragen an eine Edge-SSO-Instanz auf Port 9433 weitergeleitet werden. Die öffentliche URL von Edge SSO in diesem Szenario lautet:

https://LB_DNS_NAME:9443

Edge-SSO in mehreren Rechenzentren installieren

In einer Umgebung mit mehreren Rechenzentren installieren Sie in jedem Rechenzentrum eine Edge-SSO-Instanz. Eine Edge-SSO-Instanz verarbeitet dann den gesamten Traffic. Wenn diese Edge-SSO-Instanz ausfällt, können Sie zur zweiten Edge-SSO-Instanz wechseln.

Bevor Sie Edge SSO in zwei Rechenzentren installieren, benötigen Sie Folgendes:

  • Die IP-Adresse oder der Domainname des Master-Postgres-Servers.

    In einer Umgebung mit mehreren Rechenzentren installieren Sie in der Regel einen Postgres-Server in jedem Rechenzentrum und konfigurieren ihn im Master-Standby-Replikationsmodus. In diesem Beispiel enthält Rechenzentrum 1 den Master-Postgres-Server und Rechenzentrum 2 den Standby-Server. Weitere Informationen finden Sie unter Master-Standby-Replikation für Postgres einrichten.
  • Ein einzelner DNS-Eintrag, der auf eine Edge-SSO-Instanz verweist. Sie erstellen beispielsweise einen DNS-Eintrag im folgenden Format, der auf die Edge-SSO-Instanz in Rechenzentrum 1 verweist:

    my-sso.domain.com => apigee-sso-dc1-ip-or-lb

Wenn Sie Edge-SSO in jedem Rechenzentrum installieren, konfigurieren Sie beide so, dass der Postgres-Master in Rechenzentrum 1 verwendet wird:

## Postgres configuration.
PG_HOST=IP_or_DNS_of_PG_Master_in_DC1
 PG_PORT=5432

Außerdem konfigurieren Sie beide so, dass der DNS-Eintrag als öffentlich zugängliche URL verwendet wird:

# Externally accessible URL of Edge SSO.
SSO_PUBLIC_URL_HOSTNAME=my-sso.domain.com
# Default port is 9099.
SSO_PUBLIC_URL_PORT=9099

Wenn Edge-SSO in Rechenzentrum 1 ausfällt, können Sie zur Edge-SSO-Instanz in Rechenzentrum 2 wechseln:

  • Konvertieren Sie den Postgres-Standby-Server in Rechenzentrum 2 in einen Master, wie unter PostgreSQL-Datenbank-Failover verarbeiten beschrieben.
  • Aktualisieren Sie den DNS-Eintrag, sodass my-sso.domain.com auf die Edge-SSO-Instanz in Rechenzentrum 2 verweist:
    my-sso.domain.com => apigee-sso-dc2-ip-or-lb
  • Aktualisieren Sie die Konfigurationsdatei für Edge-SSO in Rechenzentrum 2, sodass sie auf den neuen Postgres-Masterserver in Rechenzentrum 2 verweist:
    ## Postgres configuration.
    PG_HOST=IP_or_DNS_of_PG_Master_in_DC2
  • Starten Sie Edge SSO in Rechenzentrum 2 neu, um die Konfiguration zu aktualisieren:
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso restart