Configurar o apigee-sso para acesso HTTPS

Edge para nuvem privada v4.18.01

Instalar e configurar o SSO do Edge descreve como instalar e configurar o módulo de SSO do Edge para usar HTTP na porta 9099, conforme especificado pela seguinte propriedade no arquivo de configuração:

SSO_TOMCAT_PROFILE=DEFAULT

Como alternativa, é possível definir SSO_TOMCAT_PROFILE como um dos seguintes valores para ativar o acesso HTTPS:

  • SSL_PROXY: configura o apigee-sso no modo de proxy, o que significa que você instalou um balanceador de carga na frente do apigee-sso e encerrou o TLS no balanceador de carga. Em seguida, especifique a porta usada em apigee-sso para solicitações do balanceador de carga.
  • SSL_TERMINATION: ativa o acesso TLS ao apigee-sso, o módulo de SSO do Edge, na porta de sua escolha. É preciso especificar um keystore para esse modo que contenha um certificado assinado por uma CA. Não é possível usar um certificado autoassinado.

É possível ativar o HTTPS no momento da instalação e configuração inicial do apigee-sso ou mais tarde.

Ativar o acesso HTTPS ao apigee-sso usando qualquer um dos modos desativa o acesso HTTP. Ou seja, não é possível acessar apigee-sso usando HTTP e HTTPS simultaneamente.

Ativar o modo SSL_PROXY

No modo SSL_PROXY, o sistema usa um balanceador de carga na frente do módulo de SSO do Edge e encerra o TLS no balanceador de carga. Na figura a seguir, o balanceador de carga encerra o TLS na porta 443 e encaminha as solicitações para o módulo de SSO do Edge na porta 9099:

Nessa configuração, você confia na conexão do balanceador de carga com o módulo de SSO do Edge, portanto, não é necessário usar o TLS para essa conexão. No entanto, entidades externas, como o IDP SAML, agora precisam acessar o módulo de SSO do Edge na porta 443, não na porta desprotegida de 9099.

O motivo para configurar o módulo de SSO do Edge no modo SSL_PROXY é que o módulo de SSO do Edge gera automaticamente URLs de redirecionamento usados externamente pelo IDP como parte do processo de autenticação. Portanto, esses URLs de redirecionamento precisam conter o número da porta externa no balanceador de carga, 443 neste exemplo, e não a porta interna no módulo de SSO do Edge, 9099.

Observação: não é necessário criar um certificado e uma chave TLS para o modo SSL_PROXY porque a conexão do balanceador de carga com o módulo de SSO do Edge usa HTTP.

Para configurar o módulo de SSO do Edge para o modo SSL_PROXY:

  1. Adicione as seguintes configurações ao arquivo de configuração:
    # Ative o modo SSL_PROXY.
    SSO_TOMCAT_PROFILE=SSL_PROXY

    # Specify the apigee-sso port, typically between 1025 and 65535.
    # Normalmente, as portas 1024 e anteriores exigem acesso raiz por apigee-sso.
    # O padrão é 9099.
    SSO_TOMCAT_PORT=9099

    # Especifique o número da porta no balanceador de carga para encerrar o TLS.
    # This port number is necessary for apigee-sso to auto-generate redirect URLs.
    SSO_TOMCAT_PROXY_PORT=443
    SSO_PUBLIC_URL_PORT=443

    # Set public access scheme of apigee-sso to https.
    SSO_PUBLIC_URL_SCHEME=https
  2. Configure o módulo de SSO do Edge:
    > /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. Atualize a configuração do IDP para fazer uma solicitação HTTPS na porta 443 do balanceador de carga para acessar o SSO do Edge. Consulte Configurar o IdP SAML para saber mais.
  4. Atualize a configuração da IU do Edge para HTTPS definindo as seguintes propriedades:
    SSO_PUBLIC_URL_PORT=443
    SSO_PUBLIC_URL_SCHEME=https

    Consulte Ativar o SAML na IU do Edge para saber mais.
  5. Se você instalou o portal de serviços para desenvolvedores ou a API BaaS, atualize-os para usar HTTPS para acessar o SSO do Edge. Para mais informações, consulte:

Ativar o modo SSL_TERMINATION

Para o modo SSL_TERMINATION, é necessário:

  • Gerou um certificado e uma chave TLS e os armazenou em um arquivo de keystore. Não é possível usar um certificado autoassinado. É preciso gerar um certificado de uma CA.
  • Atualize as definições de configuração de apigee-sso.

Para criar um arquivo de keystore com base no certificado e na chave:

  1. Crie um diretório para o arquivo JKS:
    > sudo mkdir -p /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  2. Mude para o novo diretório:
    > cd /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  3. Crie um arquivo JKS com o certificado e a chave. É preciso especificar um keystore para esse modo que contenha um certificado assinado por uma CA. Não é possível usar um certificado autoassinado. Para ver um exemplo de como criar um arquivo JKS, consulte Como configurar TLS/SSL para o Edge para nuvem privada.
  4. Faça com que o arquivo JKS seja de propriedade do usuário "apigee":
    > sudo chown -R apigee:apigee /opt/apigee/customer/application/apigee-sso/tomcat-ssl

Para configurar o módulo de SSO do Edge:

  1. Adicione as seguintes configurações ao arquivo de configuração:
    # Ative o modo SSL_TERMINATION.
    SSO_TOMCAT_PROFILE=SSL_TERMINATION

    # Especifique o caminho para o arquivo keystore.
    SSO_TOMCAT_KEYSTORE_FILEPATH=/opt/apigee/customer/application/apigee-sso/tomcat-ssl/keystore.jks
    SSO_TOMCAT_KEYSTORE_ALIAS=sso

    # A senha especificada quando você criou o keystore.
    SSO_TOMCAT_KEYSTORE_PASSWORD=keystorePassword

    # Specify the HTTPS port number between 1025 and 65535.
    # Normalmente, as portas 1024 e anteriores exigem acesso raiz por apigee-sso.
    # O padrão é 9099.
    SSO_TOMCAT_PORT=9443
    SSO_PUBLIC_URL_PORT=9443

    # Defina o esquema de acesso público de apigee-sso como https.
    SSO_PUBLIC_URL_SCHEME=https
  2. Configure o módulo de SSO do Edge:
    > /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. Atualize a configuração do IDP para fazer uma solicitação HTTPS na porta 9443 do balanceador de carga para acessar o SSO do Edge. Consulte Configurar o IdP SAML para mais informações.
  4. Atualize a configuração da IU do Edge para HTTPS definindo as seguintes propriedades:
    SSO_PUBLIC_URL_PORT=9443
    SSO_PUBLIC_URL_SCHEME=https

    Consulte Ativar o SAML na IU do Edge para saber mais.
  5. Se você instalou o portal de serviços para desenvolvedores ou a API BaaS, atualize-os para usar HTTPS para acessar o SSO do Edge. Para mais informações, consulte:

Como definir SSO_TOMCAT_PROXY_PORT ao usar o modo SSL_TERMINATION

Talvez você tenha um balanceador de carga na frente do módulo de SSO do Edge que encerra o TLS no balanceador de carga, mas também ativa o TLS entre o balanceador de carga e o SSO do Edge. Na figura acima, para o modo SSL_PROXY, isso significa que a conexão do balanceador de carga com o SSO do Edge usa TLS.

Nesse cenário, você configura o TLS no SSO do Edge da mesma forma que fez acima para o modo SSL_TERMINATION. No entanto, se o balanceador de carga usar um número de porta TLS diferente do usado pelo SSO do Edge para TLS, você também precisará especificar a propriedade SSO_TOMCAT_PROXY_PORT no arquivo de configuração. Exemplo:

  • O balanceador de carga encerra o TLS na porta 443
  • O SSO do Edge encerra o TLS na porta 9443

Inclua a seguinte configuração no arquivo de configuração:

# Especifique o número da porta no balanceador de carga para encerrar o TLS.
# This port number is necessary for apigee-sso to generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

Configure o IDP e a IU do Edge para fazer solicitações HTTPS na porta 443.