Как настроить TLS для интерфейса управления

Edge for Private Cloud v4.18.01

По умолчанию доступ к пользовательскому интерфейсу управления Edge осуществляется по протоколу HTTP с использованием IP-адреса узла сервера управления и порта 9000. Пример:

http://ms_IP:9000

Вы также можете настроить доступ к интерфейсу управления по протоколу TLS, чтобы использовать URL следующего вида:

https://ms_IP:9443

В этом примере вы настраиваете доступ TLS для использования порта 9443. Однако этот номер порта не является обязательным для Edge – вы можете настроить сервер управления на использование других значений портов. Единственное требование – брандмауэр должен разрешать трафик через указанный порт.

Убедитесь, что порт TLS открыт

В этом разделе описывается, как настроить TLS для использования порта 9443 на сервере управления. Независимо от того, какой порт вы используете, убедитесь, что он открыт на сервере управления. Например, вы можете использовать следующую команду:

$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

Настройте TLS

Чтобы настроить доступ к интерфейсу управления по протоколу TLS, выполните следующие действия:

  1. Сгенерируйте файл JKS хранилища ключей, содержащий сертификат TLS и закрытый ключ, и скопируйте его на узел сервера управления. Подробнее о настройке TLS/SSL для локальной версии Edge…
  2. Чтобы настроить TLS, выполните следующую команду:
    $ /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl
  3. Введите номер порта HTTPS, например 9443.
  4. Укажите, нужно ли отключить доступ по протоколу HTTP к интерфейсу управления. По умолчанию пользовательский интерфейс управления доступен по протоколу HTTP через порт 9000.
  5. Введите алгоритм хранилища ключей. По умолчанию используется JKS.
  6. Укажите абсолютный путь к файлу JKS хранилища ключей.

    Скрипт скопирует файл в каталог /opt/apigee/customer/conf на узле сервера управления и изменит владельца файла на apigee.
  7. Введите пароль хранилища ключей в виде обычного текста.
  8. Затем скрипт перезапускает пользовательский интерфейс управления Edge. После перезапуска интерфейс управления будет поддерживать доступ по протоколу TLS.
    Эти настройки можно посмотреть в файле /opt/apigee/etc/edge-ui.d/SSL.sh.

Вы также можете передать команде файл конфигурации, чтобы не отвечать на запросы. Файл конфигурации содержит следующие свойства:

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

Затем используйте следующую команду, чтобы настроить TLS для Edge UI:

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

Как настроить Edge UI, если трафик TLS не идет дальше балансировщика нагрузки

Если у вас есть балансировщик нагрузки, который перенаправляет запросы в Edge UI, вы можете завершить TLS-подключение на балансировщике нагрузки, а затем настроить его так, чтобы он перенаправлял запросы в Edge UI по протоколу HTTP. Эта конфигурация поддерживается, но вам нужно настроить балансировщик нагрузки и Edge UI соответствующим образом.

Дополнительная настройка требуется, когда Edge UI отправляет пользователям электронные письма для установки пароля при создании пользователя или когда пользователь запрашивает сброс утерянного пароля. В этом письме содержится URL, по которому пользователь может перейти, чтобы задать или сбросить пароль. По умолчанию, если пользовательский интерфейс Edge не настроен на использование TLS, URL-адрес в сгенерированном электронном письме использует протокол HTTP, а не HTTPS. Вам необходимо настроить балансировщик нагрузки и Edge UI, чтобы сгенерировать адрес электронной почты, использующий HTTPS.

Чтобы настроить балансировщик нагрузки, убедитесь, что он устанавливает следующий заголовок для запросов, перенаправляемых в Edge UI:

X-Forwarded-Proto: https

Чтобы настроить Edge UI, выполните следующие действия:

  1. Откройте файл /opt/apigee/customer/application/ui.properties в редакторе. Если файла нет, создайте его:
    > vi /opt/apigee/customer/application/ui.properties
  2. Задайте следующее свойство в файле ui.properties:
    conf/application.conf+trustxforwarded=true
  3. Сохраните изменения в файле ui.properties.
  4. Перезапустите Edge UI:
    > /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Как отключить TLS в Edge UI

Чтобы отключить TLS в Edge UI, используйте следующую команду:

/opt/apigee/apigee-service/bin/apigee-service edge-ui disable-ssl