Questa pagina è stata tradotta dall'API Cloud Translation.

Configurazione di TLS per l'interfaccia utente di gestione

Edge for Private Cloud v4.18.05

Per impostazione predefinita, accedi all'interfaccia utente di gestione di Edge tramite HTTP utilizzando l'indirizzo IP del nodo del server di gestione e la porta 9000. Ad esempio:

http://ms_IP:9000

In alternativa, puoi configurare l'accesso TLS all'interfaccia utente di gestione in modo da potervi accedere nel modulo:

https://ms_IP:9443

In questo esempio, configuri l'accesso TLS in modo che utilizzi la porta 9443. Tuttavia, questo numero di porta non è obbligatorio per Edge. Puoi configurare il server di gestione in modo che utilizzi altri valori di porta. L'unico requisito è che il firewall consenta il traffico sulla porta specificata.

Assicurati che la porta TLS sia aperta

La procedura in questa sezione configura TLS in modo che utilizzi la porta 9443 sul server di gestione. Indipendentemente dalla porta utilizzata, devi assicurarti che sia aperta sul server di gestione. Ad esempio, puoi utilizzare il seguente comando per aprirlo:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

Nota: questo esempio utilizza la porta 9443 per la porta TLS e non la porta 443 più comune. Il motivo è che le porte inferiori a 1024 sono in genere protette dal sistema operativo e richiedono che il processo che vi accede abbia accesso come utente root. L'interfaccia utente di Edge viene eseguita come utente "apigee" e quindi in genere non ha accesso alle porte inferiori a 1024.

Un'alternativa è utilizzare un bilanciatore del carico con l'interfaccia utente di Edge e terminare TLS sul bilanciatore del carico sulla porta 443. Puoi quindi utilizzare HTTP o HTTPS tra il bilanciatore del carico e l'interfaccia utente di Edge.

Un'altra alternativa è utilizzare iptables per inoltrare le richieste alla porta 443 alla porta 9443. Ad esempio:

iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 9443

Configura TLS

Per configurare l'accesso TLS all'interfaccia utente di gestione, segui la procedura riportata di seguito:

Genera il file JKS dell'archivio chiavi contenente la certificazione TLS e la chiave privata e copialo nel nodo del server di gestione. Per ulteriori informazioni, consulta Configurare TLS/SSL per Edge On Premises.

Esegui il seguente comando per configurare TLS:

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl

Inserisci il numero di porta HTTPS, ad esempio 9443.
Specifica se vuoi disattivare l'accesso HTTP all'interfaccia utente di gestione. Per impostazione predefinita, l'interfaccia utente di gestione è accessibile tramite HTTP sulla porta 9000.
Inserisci l'algoritmo del keystore. Il valore predefinito è JKS.
Inserisci il percorso assoluto del file JKS dell'archivio chiavi.
Lo script copia il file nella directory /opt/apigee/customer/conf sul nodo del server di gestione e modifica la proprietà del file in "apigee".
Inserisci la password dell'archivio chiavi in chiaro.
Lo script riavvia quindi l'interfaccia utente di gestione di Edge. Dopo il riavvio, l'interfaccia utente di gestione supporta l'accesso tramite TLS.
Puoi visualizzare queste impostazioni in /opt/apigee/etc/edge-ui.d/SSL.sh.

Puoi anche passare un file di configurazione al comando anziché rispondere ai prompt. Il file di configurazione prevede le seguenti proprietà:

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

Quindi, utilizza il seguente comando per configurare TLS dell'interfaccia utente di Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

Configura l'interfaccia utente di Edge quando TLS termina sul bilanciatore del carico

Se hai un bilanciatore del carico che inoltra le richieste all'interfaccia utente di Edge, puoi scegliere di terminare la connessione TLS sul bilanciatore del carico e poi fare in modo che inoltri le richieste all'interfaccia utente di Edge tramite HTTP. Questa configurazione è supportata, ma devi configurare il bilanciatore del carico e l'interfaccia utente di Edge di conseguenza.

La configurazione aggiuntiva è necessaria quando l'interfaccia utente di Edge invia agli utenti email per impostare la password al momento della creazione dell'utente o quando l'utente richiede di reimpostare una password persa. Questa email contiene un URL selezionato dall'utente per impostare o reimpostare una password. Per impostazione predefinita, se l'interfaccia utente di Edge non è configurata per l'utilizzo di TLS, l'URL nell'email generata utilizza il protocollo HTTP e non HTTPS. Devi configurare il bilanciatore del carico e l'interfaccia utente di Edge in modo che generino un indirizzo email che utilizzi HTTPS.

Per configurare il bilanciatore del carico, assicurati che imposti la seguente intestazione sulle richieste inoltrate all'interfaccia utente di Edge:

X-Forwarded-Proto: https

Per configurare l'interfaccia utente di Edge:

Apri il file /opt/apigee/customer/application/ui.properties in un editor. Se il file non esiste, creane uno:
```
vi /opt/apigee/customer/application/ui.properties
```
Imposta la seguente proprietà in ui.properties:
```
conf/application.conf+trustxforwarded=true
```
Salva le modifiche in ui.properties.

Riavvia l'interfaccia utente di Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Disattivare TLS nell'interfaccia utente di Edge

Per disattivare TLS nell'interfaccia utente di Edge, utilizza il seguente comando:

/opt/apigee/apigee-service/bin/apigee-service edge-ui disable-ssl