Edge for Private Cloud v4.18.01
Standardmäßig unterstützen der Router und der Message Processor die TLS-Versionen 1.0, 1.1 und 1.2. Sie können die vom Router und Message Processor unterstützten Protokolle jedoch einschränken. In diesem Dokument wird beschrieben, wie Sie das Protokoll global auf dem Router und dem Message Processor festlegen.
Für den Router können Sie das Protokoll auch für einzelne virtuelle Hosts festlegen. Weitere Informationen finden Sie unter TLS-Zugriff auf eine API für die Private Cloud konfigurieren.
Für den Message Processor können Sie das Protokoll für einen einzelnen TargetEndpoint festlegen. Weitere Informationen finden Sie unter TLS von Edge zum Backend konfigurieren (Cloud und Private Cloud).
TLS-Protokoll auf dem Router festlegen
Wenn Sie das TLS-Protokoll auf dem Router festlegen möchten, legen Sie Attribute in der Datei router.properties fest:
- Öffnen Sie die Datei router.properties in einem Editor. Wenn die Datei nicht vorhanden ist, erstellen Sie sie:
> vi /opt/apigee/customer/application/router.properties - Legen Sie die Attribute wie gewünscht fest:
# Mögliche Werte sind eine durch Leerzeichen getrennte Liste von: TLSv1 TLSv1.1 TLSv1.2
conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1.2 - Speichern Sie die Änderungen.
- Achten Sie darauf, dass die Attributdatei dem Nutzer „apigee“ gehört:
> chown apigee:apigee /opt/apigee/customer/application/router.properties - Starten Sie den Router neu:
> /opt/apigee/apigee-service/bin/apigee-service edge-router restart - Prüfen Sie, ob das Protokoll korrekt aktualisiert wurde, indem Sie die Nginx-Datei /opt/nginx/conf.d/0-default.conf untersuchen:
> cat /opt/nginx/conf.d/0-default.conf
Der Wert für ssl_protocols muss TLSv1.2 sein. - Wenn Sie bidirektionales TLS mit einem virtuellen Host verwenden, müssen Sie das TLS-Protokoll auch im virtuellen Host festlegen, wie unter TLS-Zugriff auf eine API für die Private Cloud konfigurieren beschrieben.
TLS-Protokoll für den Message Processor festlegen
Wenn Sie das TLS-Protokoll für den Message Processor festlegen möchten, legen Sie Attribute in der Datei message-processor.properties fest:
- Öffnen Sie die Datei message-processor.properties in einem Editor. Wenn die Datei nicht vorhanden ist, erstellen Sie sie:
> vi /opt/apigee/customer/application/message-processor.properties - Legen Sie die gewünschten Attribute fest:
# Mögliche Werte sind eine durch Kommas getrennte Liste von TLSv1, TLSv1.1, TLSv1.2
conf/system.properties+https.protocols=TLSv1.2
# Mögliche Werte sind eine durch Kommas getrennte Liste von SSLv3, TLSv1, TLSv1.1, TLSv1.2
# Achten Sie darauf, SSLv3 einzuschließen.
conf/jvmsecurity.properties+jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1
#Configure the ciphers that need to be supported by the Message Processor: communication_local.http.ssl.ciphers=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 - Speichern Sie die Änderungen.
- Achten Sie darauf, dass die Attributdatei dem Nutzer „apigee“ gehört:
> chown apigee:apigee /opt/apigee/customer/application/message-processor.properties - Starten Sie den Message Processor neu:
> /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart - Wenn Sie bidirektionales TLS mit dem Backend verwenden, legen Sie das TLS-Protokoll im virtuellen Host fest, wie unter TLS von Edge zum Backend konfigurieren (Cloud und Private Cloud) beschrieben.