پیکربندی «امنیت لایه انتقال» برای واسط کاربر مدیریت

Edge for Private Cloud نسخه ۴.۱۸.۰۱

به‌طور پیش‌فرض، بااستفاده از نشانی IP گره «سرور مدیریت» و درگاه ۹۰۰۰، ازطریق HTTP به میانای کاربر مدیریت Edge دسترسی پیدا می‌کنید. برای مثال:

http://ms_IP:9000

یا می‌توانید دسترسی TLS به واسط کاربر مدیریت را پیکربندی کنید تا بتوانید به آن در فرم دسترسی داشته باشید:

https://ms_IP:9443

در این مثال، دسترسی «امنیت لایه انتقال» را برای استفاده از درگاه ۹۴۴۳ پیکربندی می‌کنید. اما Edge به آن شماره درگاه نیاز ندارد - می‌توانید «سرور مدیریت» را برای استفاده از مقادیر درگاه دیگر پیکربندی کنید. تنها الزام این است که دیوار آتش شما ترافیک را ازطریق درگاه مشخص‌شده مجاز کند.

مطمئن شوید درگاه TLS باز باشد

روال این بخش TLS را برای استفاده از درگاه ۹۴۴۳ در «سرور مدیریت» پیکربندی می‌کند. صرف‌نظر از درگاهی که استفاده می‌کنید، باید مطمئن شوید که درگاه در Management Server باز است. برای مثال، می‌توانید از فرمان زیر برای باز کردن آن استفاده کنید:

$ iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

پیکربندی «امنیت لایه انتقال» (TLS)

برای پیکربندی دسترسی TLS به واسط کاربر مدیریت، از روال زیر استفاده کنید:

  1. فایل JKS مخزن کلید حاوی گواهی TLS و کلید خصوصی‌تان را تولید کنید و آن را در گره «سرور مدیریت» کپی کنید. برای اطلاعات بیشتر، به پیکربندی TLS/SSL برای Edge On Premises مراجعه کنید.
  2. فرمان زیر را برای پیکربندی TLS اجرا کنید:
    $ /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl
  3. شماره درگاه HTTPS را وارد کنید، برای مثال، ۹۴۴۳.
  4. مشخص کنید که آیا می‌خواهید دسترسی HTTP به میانای کاربری مدیریت را غیرفعال کنید یا نه. به‌طور پیش‌فرض، واسط کاربری مدیریت ازطریق HTTP در درگاه ۹۰۰۰ دردسترس است.
  5. الگوریتم keystore را وارد کنید. پیش‌فرض JKS است.
  6. مسیر مطلق به فایل JKS مخزن کلید را وارد کنید.

    اسکریپت فایل را در فهرست راهنمای /opt/apigee/customer/conf در گره «سرور مدیریت» کپی می‌کند و مالکیت فایل را به apigee تغییر می‌دهد.
  7. گذرواژه حافظه کلید نوشتار واضح را وارد کنید.
  8. سپس اسکریپت میانای کاربر مدیریت Edge را بازراه‌اندازی می‌کند. پس‌از بازراه‌اندازی، واسط کاربر مدیریت از دسترسی ازطریق TLS پشتیبانی می‌کند.
    می‌توانید این تنظیمات را در /opt/apigee/etc/edge-ui.d/SSL.sh ببینید.

همچنین می‌توانید به‌جای پاسخ دادن به پیام‌واره‌ها، فایل پیکربندی را به فرمان ارسال کنید. فایل پیکربندی ویژگی‌های زیر را می‌گیرد:

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

سپس از فرمان زیر برای پیکربندی TLS در Edge UI استفاده کنید:

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

پیکربندی Edge UI وقتی TLS در متعادل‌کننده بار خاتمه می‌یابد

اگر متعادل‌کننده باری دارید که درخواست‌ها را به Edge UI بازارسال می‌کند، می‌توانید اتصال TLS را در متعادل‌کننده بار خاتمه دهید و سپس متعادل‌کننده بار درخواست‌ها را ازطریق HTTP به Edge UI بازارسال کند. این پیکربندی پشتیبانی می‌شود اما باید ترازکننده بار و Edge UI را مطابق با آن پیکربندی کنید.

وقتی Edge UI برای تنظیم گذرواژه به کاربران ایمیل ارسال می‌کند، پیکربندی اضافی لازم است گذرواژه هنگام ایجاد کاربر یا وقتی کاربر درخواست بازنشانی گذرواژه گم‌شده را می‌دهد. این ایمیل حاوی نشانی وبی است که کاربر برای تنظیم یا بازنشانی گذرواژه انتخاب می‌کند. به‌طور پیش‌فرض، اگر Edge UI برای استفاده از TLS پیکربندی نشده باشد، نشانی وب در ایمیل تولیدشده از پروتکل HTTP استفاده می‌کند و نه HTTPS. باید متعادل‌کننده بار و Edge UI را برای تولید نشانی ایمیلی که از HTTPS استفاده می‌کند پیکربندی کنید.

برای پیکربندی ترازکننده بار، مطمئن شوید که سرصفحه زیر را در درخواست‌های بازارسال‌شده به Edge UI تنظیم می‌کند:

X-Forwarded-Proto: https

برای پیکربندی Edge UI:

  1. فایل /opt/apigee/customer/application/ui.properties را در ویرایشگر باز کنید. اگر فایل وجود ندارد، آن را ایجاد کنید:
    > vi /opt/apigee/customer/application/ui.properties
  2. خصوصیت زیر را در ui.properties تنظیم کنید:
    conf/application.conf+trustxforwarded=true
  3. تغییرات را در ui.properties ذخیره کنید.
  4. رابط کاربری Edge را بازراه‌اندازی کنید:
    > /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

غیرفعال کردن TLS در واسط کاربر Edge

برای غیرفعال کردن TLS در Edge UI، از فرمان زیر استفاده کنید:

/opt/apigee/apigee-service/bin/apigee-service edge-ui disable-ssl