Edge cho đám mây riêng tư phiên bản 4.18.01
Theo mặc định, Bộ định tuyến và Bộ xử lý thông báo hỗ trợ các phiên bản TLS 1.0, 1.1, 1.2. Tuy nhiên, bạn có thể muốn giới hạn các giao thức mà Bộ định tuyến và Bộ xử lý thông báo hỗ trợ. Tài liệu này mô tả cách đặt giao thức trên toàn hệ thống cho Bộ định tuyến và Bộ xử lý thông báo.
Đối với Bộ định tuyến, bạn cũng có thể đặt giao thức cho từng máy chủ ảo. Hãy xem bài viết Định cấu hình quyền truy cập TLS vào một API cho Private Cloud để biết thêm thông tin.
Đối với Bộ xử lý thông báo, bạn có thể đặt giao thức cho một TargetEndpoint riêng lẻ. Hãy xem bài viết Định cấu hình TLS từ Edge đến phần phụ trợ (Cloud và Private Cloud) để biết thêm thông tin.
Đặt giao thức TLS trên Bộ định tuyến
Để đặt giao thức TLS trên Bộ định tuyến, hãy đặt các thuộc tính trong tệp router.properties:
- Mở tệp router.properties trong một trình chỉnh sửa. Nếu tệp không tồn tại, hãy tạo tệp::
> vi /opt/apigee/customer/application/router.properties - Đặt các thuộc tính như mong muốn:
# Các giá trị có thể sử dụng là danh sách được phân tách bằng dấu cách gồm: TLSv1 TLSv1.1 TLSv1.2
conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1.2 - Lưu thay đổi.
- Đảm bảo tệp thuộc tính thuộc sở hữu của người dùng "apigee":
> chown apigee:apigee /opt/apigee/customer/application/router.properties - Khởi động lại Bộ định tuyến:
> /opt/apigee/apigee-service/bin/apigee-service edge-router restart - Xác minh rằng giao thức được cập nhật chính xác bằng cách kiểm tra tệp Nginx /opt/nginx/conf.d/0-default.conf:
> cat /opt/nginx/conf.d/0-default.conf
Đảm bảo rằng giá trị cho ssl_protocols là TLSv1.2. - Nếu đang sử dụng TLS hai chiều với máy chủ lưu trữ ảo, bạn cũng phải đặt giao thức TLS trong máy chủ lưu trữ ảo như mô tả trong phần Định cấu hình quyền truy cập TLS vào một API cho Private Cloud.
Đặt giao thức TLS trên Bộ xử lý thông báo
Để đặt giao thức TLS trên Trình xử lý thông báo, hãy đặt các thuộc tính trong tệp message-processor.properties:
- Mở tệp message-processor.properties trong một trình chỉnh sửa. Nếu tệp không tồn tại, hãy tạo tệp:
> vi /opt/apigee/customer/application/message-processor.properties - Đặt các thuộc tính như mong muốn:
# Các giá trị có thể là một danh sách được phân tách bằng dấu phẩy gồm TLSv1, TLSv1.1, TLSv1.2
conf/system.properties+https.protocols=TLSv1.2
# Các giá trị có thể là một danh sách được phân tách bằng dấu phẩy gồm SSLv3, TLSv1, TLSv1.1, TLSv1.2
# Đảm bảo rằng bạn bao gồm SSLv3.
conf/jvmsecurity.properties+jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1
#Configure the ciphers that need to be supported by the Message Processor: communication_local.http.ssl.ciphers=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 - Lưu thay đổi.
- Đảm bảo tệp thuộc tính thuộc sở hữu của người dùng "apigee":
> chown apigee:apigee /opt/apigee/customer/application/message-processor.properties - Khởi động lại Trình xử lý thông báo:
> /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart - Nếu bạn đang sử dụng TLS hai chiều với phần phụ trợ, hãy đặt giao thức TLS trong máy chủ lưu trữ ảo như mô tả trong phần Định cấu hình TLS từ Edge đến phần phụ trợ (Đám mây và Đám mây riêng tư).