Edge-Passwörter zurücksetzen

Edge for Private Cloud v4.18.01

Sie können die Passwörter für OpenLDAP, Apigee Edge-Systemadministrator, Edge-Organisationsnutzer und Cassandra nach Abschluss der Installation zurücksetzen.

OpenLDAP-Passwort zurücksetzen

Je nach Edge-Konfiguration kann OpenLDAP so installiert werden:

  • Eine einzelne Instanz von OpenLDAP, die auf dem Management Server-Knoten installiert ist. Beispiel: in einer Edge-Konfiguration mit 2, 5 oder 9 Knoten.
  • Mehrere OpenLDAP-Instanzen, die auf Management Server-Knoten installiert und mit OpenLDAP-Replikation konfiguriert sind. Beispiel: in einer Edge-Konfiguration mit 12 Knoten.
  • Mehrere OpenLDAP-Instanzen, die auf eigenen Knoten installiert und mit OpenLDAP-Replikation konfiguriert sind. Beispiel: in einer Edge-Konfiguration mit 13 Knoten.

Wie Sie das OpenLDAP-Passwort zurücksetzen, hängt von Ihrer Konfiguration ab.

Führen Sie für eine einzelne Instanz von OpenLDAP, die auf dem Management Server installiert ist, die folgenden Schritte aus:

  1. Führen Sie auf dem Management Server-Knoten den folgenden Befehl aus, um das neue OpenLDAP-Passwort zu erstellen:
    > /opt/apigee/apigee-service/bin/apigee-service apigee-openldap change-ldap-password -o oldPword -n newPword
  2. Führen Sie den folgenden Befehl aus, um das neue Passwort für den Zugriff durch den Management Server zu speichern:
    > /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_ldap_credentials -p newPword

    Mit diesem Befehl wird der Management Server neu gestartet.

In einer OpenLDAP-Replikationseinrichtung mit OpenLDAP, das auf Management Server-Knoten installiert ist, führen Sie die oben genannten Schritte auf beiden Management Server-Knoten aus, um das Passwort zu aktualisieren.

In einer OpenLDAP-Replikationseinrichtung, bei der sich OpenLDAP auf einem anderen Knoten als dem Management Server befindet, müssen Sie das Passwort zuerst auf beiden OpenLDAP-Knoten und dann auf beiden Management Server-Knoten ändern.

Systemadministratorpasswort zurücksetzen

Wenn Sie das Passwort des Systemadministrators zurücksetzen möchten, müssen Sie es an zwei Stellen zurücksetzen:

  • Verwaltungsserver
  • UI-

Warnung: Sie sollten die Edge-Benutzeroberfläche beenden, bevor Sie das Passwort des Systemadministrators zurücksetzen. Da Sie das Passwort zuerst auf dem Management Server zurücksetzen, kann es eine kurze Zeitspanne geben, in der die Benutzeroberfläche noch das alte Passwort verwendet. Wenn die Benutzeroberfläche mehr als drei Aufrufe mit dem alten Passwort ausführt, sperrt der OpenLDAP-Server das Systemadministratorkonto für drei Minuten.

So setzen Sie das Passwort des Systemadministrators zurück:

  1. Beenden Sie auf dem UI-Knoten die Edge-UI:
    > /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
  2. Führen Sie auf dem Management Server den folgenden Befehl aus, um das Passwort zurückzusetzen:
    > /opt/apigee/apigee-service/bin/apigee-service edge-management-server change_sysadmin_password -o currentPW -n newPW
  3. Bearbeiten Sie die Konfigurationsdatei für die unbeaufsichtigte Installation, die Sie zur Installation der Edge-Benutzeroberfläche verwendet haben, um die folgenden Attribute festzulegen:
    APIGEE_ADMINPW=newPW
    SMTPHOST=smtp.gmail.com
    SMTPPORT=465
    SMTPUSER=foo@gmail.com
    SMTPPASSWORD=bar
    SMTPSSL=y
    SMTPMAILFROM="My Company <myco@company.com>"

    Beachten Sie, dass Sie die SMTP-Attribute bei der Übergabe des neuen Passworts angeben müssen, da alle Attribute auf der Benutzeroberfläche zurückgesetzt werden.
  4. Verwenden Sie das Dienstprogramm apigee-setup, um das Passwort in der Edge-Benutzeroberfläche über die Konfigurationsdatei zurückzusetzen:
    > /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile
  5. (Nur wenn TLS auf der Benutzeroberfläche aktiviert ist) Aktivieren Sie TLS auf der Edge-Benutzeroberfläche wieder, wie unter TLS für die Verwaltungs-UI konfigurieren beschrieben.

In einer OpenLDAP-Replikationsumgebung mit mehreren Management Servern wird durch das Zurücksetzen des Passworts auf einem Management Server der andere Management Server automatisch aktualisiert. Sie müssen jedoch alle Edge-UI-Knoten separat aktualisieren.

Passwort eines Organisationsnutzers zurücksetzen

Wenn Sie das Passwort für einen Organisationsnutzer zurücksetzen möchten, rufen Sie mit dem Dienstprogramm „apigee-service“ die Funktion „apigee-setup“ auf:

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password
 [-h] 
 [-u USER_EMAIL] 
 [-p USER_PWD]
 [-a ADMIN_EMAIL] 
 [-P APIGEE_ADMINPW] 
 [-f configFile]

Beispiel:

> /opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password -u user@myCo.com -p foo12345 -a admin@myCo.com -P adminPword

Hier sehen Sie eine Beispielkonfigurationsdatei, die Sie mit der Option „-f“ verwenden können:

USER_NAME= user@myCo.com
USER_PWD= "foo12345"
APIGEE_ADMINPW= adminPword

Sie können auch die API Nutzer aktualisieren verwenden, um das Nutzerpasswort zu ändern.

Passwortregeln für Systemadministratoren und Organisationsnutzer

In diesem Abschnitt können Sie eine gewünschte Passwortlänge und -stärke für Ihre API-Verwaltungsnutzer erzwingen. In den Einstellungen wird eine Reihe vorkonfigurierter (und eindeutig nummerierter) regulärer Ausdrücke verwendet, um den Passwortinhalt zu prüfen (z. B. Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen). Schreiben Sie diese Einstellungen in die Datei /opt/apigee/customer/application/management-server.properties. Wenn diese Datei nicht vorhanden ist, erstellen Sie sie.

Nachdem Sie management-server.properties bearbeitet haben, starten Sie den Verwaltungsserver neu:

> /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Anschließend können Sie die Passwortstärke bewerten, indem Sie verschiedene Kombinationen regulärer Ausdrücke gruppieren. Sie können beispielsweise festlegen, dass ein Passwort mit mindestens einem Groß- und einem Kleinbuchstaben die Stärkebewertung „3“ erhält, ein Passwort mit mindestens einem Kleinbuchstaben und einer Zahl jedoch die höhere Bewertung „4“.

Properties

Beschreibung

conf_security_password.validation.minimum.
password.length=8

conf_security_password.validation.default.rating=2

conf_security_password.validation.minimum.
rating.required=3

Verwenden Sie diese, um die allgemeinen Merkmale gültiger Passwörter zu bestimmen. Die standardmäßige Mindestbewertung für die Passwortstärke (weiter unten in der Tabelle beschrieben) ist 3.

Beachten Sie, dass password.validation.default.rating=2 niedriger ist als die erforderliche Mindestbewertung. Das bedeutet, dass ein Passwort, das nicht den von Ihnen konfigurierten Regeln entspricht, mit 2 bewertet wird und daher ungültig ist (unter der Mindestbewertung von 3).

Im Folgenden finden Sie reguläre Ausdrücke, mit denen Passwortmerkmale identifiziert werden. Beachten Sie, dass jeder nummeriert ist. Beispiel: „password.validation.regex.5=…“ ist Ausdruck Nummer 5. Sie verwenden diese Zahlen in einem späteren Abschnitt der Datei, um verschiedene Kombinationen festzulegen, die die allgemeine Passwortstärke bestimmen.

conf_security_password.validation.regex.1=^(.)\\1+$

1 – Alle Zeichen werden wiederholt

conf_security_password.validation.regex.2=^.*[a-z]+.*$

2 – Mindestens ein Kleinbuchstabe

conf_security_password.validation.regex.3=^.*[A-Z]+.*$

3 – Mindestens ein Großbuchstabe

conf_security_password.validation.regex.4=^.*[0-9]+.*$

4 – Mindestens eine Ziffer

conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$

5 – Mindestens ein Sonderzeichen (außer Unterstrich _)

conf_security_password.validation.regex.6=^.*[_]+.*$

6 – Mindestens ein Unterstrich

conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$

7 – Mehr als ein Kleinbuchstabe

conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$

8 – Mehr als ein Großbuchstabe

conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$

9 – Mehr als eine Ziffer

conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$

10 – Mehr als ein Sonderzeichen (Unterstrich nicht eingeschlossen)

conf_security_password.validation.regex.11=^.*[_]{2,}.*$

11 – Mehr als ein Unterstrich

Die folgenden Regeln bestimmen die Passwortstärke anhand des Passwortinhalts. Jede Regel enthält einen oder mehrere reguläre Ausdrücke aus dem vorherigen Abschnitt und weist ihnen eine numerische Stärke zu. Die numerische Stärke eines Passworts wird mit der Zahl conf_security_password.validation.minimum.rating.required oben in dieser Datei verglichen, um festzustellen, ob ein Passwort gültig ist.

conf_security_password.validation.rule.1=1,AND,0

conf_security_password.validation.rule.2=2,3,4,AND,4

conf_security_password.validation.rule.3=2,9,AND,4

conf_security_password.validation.rule.4=3,9,AND,4

conf_security_password.validation.rule.5=5,6,OR,4

conf_security_password.validation.rule.6=3,2,AND,3

conf_security_password.validation.rule.7=2,9,AND,3

conf_security_password.validation.rule.8=3,9,AND,3

Jede Regel ist nummeriert. Beispiel: „password.validation.rule.3=…“ ist Regel Nummer 3.

Jede Regel hat das folgende Format (rechts vom Gleichheitszeichen):

<regex-index-list>,<AND|OR>,<rating>

regex-index-list ist die Liste der regulären Ausdrücke (nach Nummer aus dem vorherigen Abschnitt) zusammen mit einem AND|OR-Operator (bedeutet, dass alle oder beliebige der aufgeführten Ausdrücke berücksichtigt werden).

rating ist die numerische Stärkebewertung, die jeder Regel zugewiesen wird.

Regel 5 bedeutet beispielsweise, dass jedes Passwort mit mindestens einem Sonderzeichen ODER einem Unterstrich eine Stärkebewertung von 4 erhält. Mit password.validation.minimum.
rating.required=3 am Anfang der Datei, ist ein Passwort mit der Bewertung 4 gültig.

conf_security_rbac.password.validation.enabled=true

Setzen Sie die Passwortvalidierung für die rollenbasierte Zugriffssteuerung auf „false“, wenn die Einmalanmeldung (SSO) aktiviert ist. Standardwert ist True.

Cassandra-Passwort zurücksetzen

Standardmäßig ist die Authentifizierung in Cassandra deaktiviert. Wenn Sie die Authentifizierung aktivieren, wird ein vordefinierter Nutzer namens cassandra mit dem Passwort cassandra verwendet. Sie können dieses Konto verwenden, ein anderes Passwort für dieses Konto festlegen oder einen neuen Cassandra-Nutzer erstellen. Nutzer mit den Cassandra-Anweisungen CREATE/ALTER/DROP USER hinzufügen, entfernen und ändern.

Informationen zum Aktivieren der Cassandra-Authentifizierung finden Sie unter Cassandra-Authentifizierung aktivieren.

So setzen Sie das Cassandra-Passwort zurück:

  • Legen Sie das Passwort auf einem beliebigen Cassandra-Knoten fest. Es wird dann an alle Cassandra-Knoten im Ring übertragen.
  • Aktualisieren Sie den Management Server, die Message Processors, Router, Qpid-Server, Postgres-Server und den BaaS-Stack auf jedem Knoten mit dem neuen Passwort.

Weitere Informationen finden Sie unter http://www.datastax.com/documentation/cql/3.0/cql/cql_reference/cqlCommandsTOC.html.

So setzen Sie das Cassandra-Passwort zurück:

  1. Melden Sie sich mit dem cqlsh-Tool und den Standardanmeldedaten bei einem beliebigen Cassandra-Knoten an. ?Sie müssen das Passwort nur auf einem Cassandra-Knoten ändern. Es wird dann an alle Cassandra-Knoten im Ring übertragen:
    > /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p cassandra

    Wobei:
    • cassIP ist die IP-Adresse des Cassandra-Knotens.
    • 9042 ist der Cassandra-Port.
    • Der Standardnutzer ist cassandra.
    • Das Standardpasswort ist cassandra. Wenn Sie das Passwort zuvor geändert haben, verwenden Sie das aktuelle Passwort.
  2. Führen Sie den folgenden Befehl in der Eingabeaufforderung cqlsh> aus, um das Passwort zu aktualisieren:
    cqlsh> ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';

    Wenn das neue Passwort ein einfaches Anführungszeichen enthält, maskieren Sie es, indem Sie ein einfaches Anführungszeichen voranstellen.
  3. Beenden Sie das cqlsh-Tool:
    cqlsh> exit
  4. Führen Sie auf dem Management Server-Knoten den folgenden Befehl aus:
    > /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u CASS_USERNAME -p CASS_PASSWORD

    Optional können Sie eine Datei mit dem neuen Nutzernamen und Passwort an den Befehl übergeben:
    > apigee-service edge-management-server store_cassandra_credentials -f configFile

    Dabei enthält die configFile Folgendes:
    CASS_USERNAME=CASS_USERNAME
    CASS_PASSWORD=CASS_PASSWROD

    Dieser Befehl startet den Management Server automatisch neu.
  5. Wiederholen Sie Schritt 4 auf:
    • Alle Message Processors
    • Alle Router
    • Alle Qpid-Server (edge-qpid-server)
    • Postgres-Server (edge-postgres-server)
  6. Auf dem BaaS-Stack-Knoten für Version 4.16.05.04 und höher:
    1. Führen Sie den folgenden Befehl aus, um ein verschlüsseltes Passwort zu generieren:
      > /opt/apigee/apigee-service/bin/apigee-service baas-usergrid secure_password

      Dieser Befehl fordert Sie zur Eingabe des Passworts im Nur-Text-Format auf und gibt das verschlüsselte Passwort im folgenden Format zurück:
      SECURE:ae1b6dedbf6b26aaab8bee815a910737c1c15b55f3505c239e43bc09f8050
    2. Legen Sie die folgenden Tokens in /opt/apigee/customer/application/usergrid.properties fest. Wenn diese Datei nicht vorhanden ist, erstellen Sie sie:
      usergrid-deployment_cassandra.username=cassandra
      usergrid-deployment_cassandra.password=SECURE:ae1b6dedbf6b26aaab8bee815a910737c1c15b55f3505c239e43bc09f8050

      In diesem Beispiel wird der Standardnutzername für Cassandra verwendet. Wenn Sie den Nutzernamen geändert haben, legen Sie den Wert von usergrid-deployment_cassandra.username entsprechend fest.

      Achten Sie darauf, das Präfix „SECURE:“ im Passwort anzugeben. Andernfalls interpretiert der BaaS-Stack den Wert als unverschlüsselt.

      Hinweis: Jeder BaaS-Stack-Knoten hat einen eigenen eindeutigen Schlüssel, der zum Verschlüsseln des Passworts verwendet wird. Daher müssen Sie den verschlüsselten Wert auf jedem BaaS-Stack-Knoten separat generieren.
    3. Ändern Sie die Eigentümerschaft der Datei usergrid.properties in den Nutzer „apigee“:
      > chown apigee:apigee /opt/apigee/customer/application/usergrid.properties
    4. Konfigurieren Sie den Stack-Knoten:
      > /opt/apigee/apigee-service/bin/apigee-service baas-usergrid configure
    5. Starten Sie den BaaS-Stack neu:
      > /opt/apigee/apigee-service/bin/apigee-service baas-usergrid restart
    6. Wiederholen Sie diese Schritte für alle BaaS-Stack-Knoten.

Das Cassandra-Passwort wurde geändert.

PostgreSQL-Passwort zurücksetzen

Standardmäßig sind in der PostgreSQL-Datenbank zwei Nutzer definiert: „postgres“ und „apigee“. Beide Nutzer haben das Standardpasswort „postgres“. Gehen Sie so vor, um das Standardpasswort zu ändern.

Ändern Sie das Passwort auf allen Postgres-Masterknoten. Wenn Sie zwei Postgres-Server im Master-/Standby-Modus konfiguriert haben, müssen Sie das Passwort nur auf dem Masterknoten ändern. Weitere Informationen finden Sie unter Master-Standby-Replikation für Postgres einrichten.

  1. Wechseln Sie auf dem Master-Postgres-Knoten in das Verzeichnis /opt/apigee/apigee-postgresql/pgsql/bin.
  2. Legen Sie das Passwort für den PostgreSQL-Nutzer „postgres“ fest:
    1. Melden Sie sich mit dem folgenden Befehl in der PostgreSQL-Datenbank an:
      > psql -h localhost -d apigee -U postgres
    2. Geben Sie bei Aufforderung das Passwort für den Nutzer „postgres“ als „postgres“ ein.
    3. Geben Sie in der PostgreSQL-Eingabeaufforderung den folgenden Befehl ein, um das Standardpasswort zu ändern:
      apigee=> ALTER USER postgres WITH PASSWORD 'apigee1234';
    4. Beenden Sie die PostgreSQL-Datenbank mit dem folgenden Befehl:
      apigee=> \q
  3. Legen Sie das Passwort für den PostgreSQL-Nutzer „apigee“ fest:
    1. Melden Sie sich mit dem folgenden Befehl in der PostgreSQL-Datenbank an:
      > psql -h localhost -d apigee -U apigee
    2. Geben Sie nach Aufforderung das Passwort für den Nutzer „apigee“ als „postgres“ ein.
    3. Geben Sie in der PostgreSQL-Eingabeaufforderung den folgenden Befehl ein, um das Standardpasswort zu ändern:
      apigee=> ALTER USER apigee WITH PASSWORD 'apigee1234';
    4. Beenden Sie die PostgreSQL-Datenbank mit dem folgenden Befehl:
      apigee=> \q
  4. Legen Sie APIGEE_HOME fest:
    > export APIGEE_HOME=/opt/apigee/edge-postgres-server
  5. Verschlüsseln Sie das neue Passwort:
    > sh /opt/apigee/edge-postgres-server/utils/scripts/utilities/passwordgen.sh apigee1234

    Dieser Befehl gibt das verschlüsselte Passwort wie unten gezeigt zurück. Das verschlüsselte Passwort beginnt nach dem Doppelpunkt und enthält diesen nicht.
    Verschlüsselter String: WheaR8U4OeMEM11erxA3Cw==
  6. Aktualisieren Sie den Management Server-Knoten mit den neuen verschlüsselten Passwörtern für die Nutzer „postgres“ und „apigee“.
    1. Wechseln Sie auf dem Management Server in das Verzeichnis /opt/apigee/customer/application.
    2. Bearbeiten Sie die Datei management-server.properties, um die folgenden Attribute festzulegen. Wenn diese Datei nicht vorhanden ist, erstellen Sie sie:
      Hinweis: Einige Attribute verwenden das verschlüsselte „postgres“-Nutzerpasswort und andere das verschlüsselte „apigee“-Nutzerpasswort.
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForApigeeUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForApigeeUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
    3. Achten Sie darauf, dass die Datei dem Nutzer „apigee“ gehört:
      > chown apigee:apigee management-server.properties
  7. Aktualisieren Sie alle Postgres-Server- und Qpid-Serverknoten mit dem neuen verschlüsselten Passwort.
    1. Wechseln Sie auf dem Postgres-Server- oder Qpid-Serverknoten in das Verzeichnis /opt/apigee/customer/application.
    2. Bearbeiten Sie die folgenden Dateien. Wenn diese Dateien nicht vorhanden sind, erstellen Sie sie:
      • postgres-server.properties
      • qpid-server.properties
    3. Fügen Sie den Dateien die folgenden Attribute hinzu:
      Hinweis: Alle diese Attribute verwenden das verschlüsselte Passwort des „postgres“-Nutzers.
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
    4. Achten Sie darauf, dass die Dateien dem Nutzer „apigee“ gehören:
      > chown apigee:apigee postgres-server.properties
      > chown apigee:apigee qpid-server.properties
  8. Starten Sie die folgenden Komponenten in dieser Reihenfolge neu:
    1. PostgreSQL-Datenbank:
      > /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
    2. Qpid-Server:
      > /opt/apigee/apigee-service/bin/apigee-service edge-qpid-server restart
    3. Postgres-Server:
      > /opt/apigee/apigee-service/bin/apigee-service edge-postgres-server restart
    4. Management Server:
      > /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart