Reimpostazione delle password di Edge

Edge per cloud privato v4.18.05

Puoi reimpostare le password di OpenLDAP, dell'amministratore di sistema Apigee Edge, dell'utente dell'organizzazione Edge e di Cassandra al termine dell'installazione.

Reimposta password OpenLDAP

A seconda della configurazione Edge, OpenLDAP può essere installato come:

  • Una singola istanza di OpenLDAP installata sul nodo del server di gestione. Ad esempio, in una configurazione a 2, 5 o 9 nodi.
  • Più istanze OpenLDAP installate sui nodi del server di gestione, configurate con la replica OpenLDAP. Ad esempio, in una configurazione perimetrale a 12 nodi.
  • Più istanze OpenLDAP installate sui propri nodi, configurate con la replica OpenLDAP. Ad esempio, in una configurazione perimetrale a 13 nodi.

La modalità di reimpostazione della password di OpenLDAP dipende dalla configurazione.

Per una singola istanza di OpenLDAP installato sul server di gestione, esegui quanto segue:

  1. Sul nodo del server di gestione, esegui questo comando per creare la nuova password OpenLDAP: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap change-ldap-password -o OLD_PASSWORD -n NEW_PASSWORD
  2. Esegui questo comando per archiviare la nuova password per l'accesso da parte del server di gestione: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_ldap_credentials -p NEW_PASSWORD

    Questo comando riavvia il server di gestione.

In una configurazione di replica OpenLDAP con OpenLDAP installato sui nodi del server di gestione, segui i passaggi precedenti su entrambi i nodi del server di gestione per aggiornare la password.

In una configurazione di replica OpenLDAP con OpenLDAP su un nodo diverso dal server di gestione, assicurati di cambiare prima la password su entrambi i nodi OpenLDAP, poi su entrambi i nodi del server di gestione.

Reimposta password amministratore di sistema

La reimpostazione della password dell'amministratore di sistema richiede la reimpostazione della password in due modi:

  • Server di gestione
  • UI

Per reimpostare la password dell'amministratore di sistema:

  1. Arresta l'UI Edge sul nodo UI: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
  2. Sul server di gestione, esegui questo comando per reimpostare la password:
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server change_sysadmin_password -o currentPW -n newPW
  3. Modifica il file di configurazione invisibile che hai utilizzato per installare la UI Edge per impostare le seguenti proprietà: 
    APIGEE_ADMINPW=NEW_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y
SMTPMAILFROM="My Company <myco@company.com>"

    Tieni presente che devi includere le proprietà SMTP quando trasmetti la nuova password perché tutte le proprietà della UI vengono reimpostate.

  4. Utilizza l'utilità apigee-setup per reimpostare la password nell'interfaccia utente Edge dal file di configurazione: 
    /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile
  5. (Solo se TLS è abilitato nella UI) Riattiva TLS sulla UI perimetrale come descritto in Configurare TLS per la UI di gestione.

In un ambiente di replica OpenLDAP con più server di gestione, la reimpostazione della password su un server di gestione aggiorna automaticamente l'altro server di gestione. Tuttavia, devi aggiornare separatamente tutti i nodi dell'UI Edge.

Reimpostare la password utente dell'organizzazione

Per reimpostare la password per un utente dell'organizzazione, utilizza l'utilità apigee-service per richiamare apigee-setup:

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password
  [-h]
  [-u USER_EMAIL]
  [-p USER_PWD]
  [-a ADMIN_EMAIL]
  [-P APIGEE_ADMINPW]
  [-f configFile]

Ad esempio:

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password -u user@myCo.com -p Foo12345 -a admin@myCo.com -P adminPword

Di seguito è riportato un esempio di file di configurazione che puoi utilizzare con l'opzione "-f":

USER_NAME= user@myCo.com
USER_PWD="Foo12345"
APIGEE_ADMINPW=ADMIN_PASSWORD

Puoi anche utilizzare l'API Update user per modificare la password dell'utente.

Regole per le password degli utenti dell'organizzazione e per l'amministratore di sistema

Utilizza questa sezione per applicare il livello desiderato di lunghezza e sicurezza della password agli utenti della gestione delle API. Le impostazioni utilizzano una serie di espressioni regolari preconfigurate (e numerate in modo univoco) per controllare il contenuto delle password (ad esempio lettere maiuscole, minuscole, numeri e caratteri speciali). Scrivi queste impostazioni in /opt/apigee/customer/application/management-server.properties file. Se il file non esiste, crealo.

Dopo aver modificato management-server.properties, riavvia il server di gestione:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Puoi quindi impostare i livelli di sicurezza della password raggruppando diverse combinazioni di espressioni regolari. Ad esempio, puoi determinare che una password con almeno una lettera maiuscola e una lettera minuscola riceva una valutazione di sicurezza di "3", ma che una password con almeno una lettera minuscola e un numero abbia una valutazione più elevata pari a "4".

Proprietà Descrizione 
conf_security_password.validation.minimum.password.length=8
conf_security_password.validation.default.rating=2
conf_security_password.validation.minimum.rating.required=3

Utilizzale per determinare le caratteristiche generali delle password valide. La valutazione minima predefinita per la sicurezza della password (descritta più avanti nella tabella) è 3.

Tieni presente che il valore di password.validation.default.rating=2 è inferiore alla valutazione minima richiesta, il che significa che se una password inserita non rientra nelle regole che hai configurato, la password avrà il valore 2 e non sarà quindi valida (inferiore alla valutazione minima di 3).

Di seguito sono riportate le espressioni regolari che identificano le caratteristiche della password. Tieni presente che ognuno è numerato. Ad esempio, password.validation.regex.5=... è l'espressione numero 5. Utilizzerai questi numeri in una sezione successiva del file per impostare diverse combinazioni che determinano la sicurezza complessiva della password.

 
conf_security_password.validation.regex.1=^(.)\\1+$

1: tutti i caratteri si ripetono

 
conf_security_password.validation.regex.2=^.*[a-z]+.*$

2: almeno una lettera minuscola

 
conf_security_password.validation.regex.3=^.*[A-Z]+.*$

3: almeno una lettera maiuscola

 
conf_security_password.validation.regex.4=^.*[0-9]+.*$

4: almeno una cifra

 
conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$

5: almeno un carattere speciale (escluso il trattino basso _)

 
conf_security_password.validation.regex.6=^.*[_]+.*$

6: almeno un trattino basso

 
conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$

7: più di una lettera minuscola

 
conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$

8: più di una lettera maiuscola

 
conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$

9: più di una cifra

 
conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$

10: più di un carattere speciale (escluso il trattino basso)

 
conf_security_password.validation.regex.11=^.*[_]{2,}.*$

11: più di un trattino basso

Le seguenti regole determinano la sicurezza della password in base ai contenuti della password. Ogni regola include una o più espressioni regolari della sezione precedente e le assegna un'efficacia numerica. La sicurezza numerica di una password viene confrontata con il numero conf_security_password.validation.minimum.rating.required nella parte superiore di questo file per determinare se una password è valida o meno.

 
conf_security_password.validation.rule.1=1,AND,0
conf_security_password.validation.rule.2=2,3,4,AND,4
conf_security_password.validation.rule.3=2,9,AND,4
conf_security_password.validation.rule.4=3,9,AND,4
conf_security_password.validation.rule.5=5,6,OR,4
conf_security_password.validation.rule.6=3,2,AND,3
conf_security_password.validation.rule.7=2,9,AND,3
conf_security_password.validation.rule.8=3,9,AND,3

Ogni regola è numerata. Ad esempio, password.validation.rule.3=... è la regola numero 3.

Ogni regola utilizza il seguente formato (a destra del segno uguale):

regex-index-list,[AND|OR],rating

regex-index-list è l'elenco di espressioni regolari (in base al numero della sezione precedente), insieme a un operatore AND|OR (ovvero, considera tutte o alcune delle espressioni elencate).

rating è la valutazione di forza numerica assegnata a ogni regola.

Ad esempio, la regola 5 significa che qualsiasi password con almeno un carattere speciale OPPURE un trattino basso ottiene un punteggio di sicurezza pari a 4. Con password.validation.minimum.rating.required=3 in cima al file, è valida una password con valutazione pari a 4.

 
conf_security_rbac.password.validation.enabled=true

Imposta la convalida delle password per il controllo dell'accesso basato sui ruoli su false quando è abilitato il Single Sign-On (SSO). Il valore predefinito è true.

Reimpostazione della password Cassandra

Per impostazione predefinita, Cassandra viene fornito con l'autenticazione disattivata. Se attivi l'autenticazione, viene utilizzato un utente predefinito denominato "cassandra" con la password "cassandra". Puoi utilizzare questo account, impostare una password diversa o creare un nuovo utente Cassandra. Aggiungi, rimuovi e modifica utenti utilizzando le istruzioni CREATE/ALTER/DROP USER di Cassandra.

Per informazioni su come attivare l'autenticazione Cassandra, vedi Attivare l'autenticazione Cassandra.

Per reimpostare la password Cassandra, devi:

  • Imposta la password su qualsiasi nodo Cassandra e verrà trasmessa a tutti i nodi Cassandra nell'anello
  • Aggiorna il server di gestione, i processori di messaggi, i router, i server Qpid e i server Postgres su ciascun nodo con la nuova password

Per ulteriori informazioni, consulta http://www.datastax.com/documentation/cql/3.0/cql/cql_reference/cqlCommandsTOC.html.

Per reimpostare la password Cassandra:

  1. Accedi a qualsiasi nodo Cassandra utilizzando lo strumento cqlsh e le credenziali predefinite. Devi cambiare la password su un solo nodo Cassandra, che verrà trasmessa a tutti i nodi Cassandra nell'anello: 
    /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p cassandra

    Dove:

    • cassIP è l'indirizzo IP del nodo Cassandra.
    • 9042 è la porta Cassandra.
    • L'utente predefinito è cassandra.
    • La password predefinita è cassandra. Se hai modificato la password in precedenza, utilizza la password attuale.
  2. Esegui questo comando quando cqlsh> richiede di aggiornare la password: 
    ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';

    Se la nuova password contiene un apice, devi precedere l'escape da una virgoletta singola.

  3. Esci dallo strumento cqlsh: 
    exit
  4. Sul nodo del server di gestione, esegui questo comando: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u CASS_USERNAME -p CASS_PASSWORD

    Se vuoi, puoi passare un file al comando contenente il nuovo nome utente e la nuova password: 

    apigee-service edge-management-server store_cassandra_credentials -f configFile

    Dove configFile contiene quanto segue: 

    CASS_USERNAME=CASS_USERNAME
CASS_PASSWORD=CASS_PASSWROD

    Questo comando riavvia automaticamente il server di gestione.

  5. Ripeti il passaggio 4 su:
    • Tutti i processori di messaggi
    • Tutti i router
    • Tutti i server Qpid (edge-qpid-server)
    • Server Postgres (server Postgres perimetrale)

La password Cassandra è stata modificata.

Reimpostazione della password PostgreSQL

Per impostazione predefinita, il database PostgreSQL ha due utenti definiti: "postgres" e "apigee". Entrambi gli utenti hanno una password predefinita di "postgres". Per modificare la password predefinita, segui la procedura riportata di seguito.

Modificare la password su tutti i nodi master Postgres. Se hai due server Postgres configurati in modalità master/standby, devi cambiare solo la password sul nodo master. Per saperne di più, consulta Configurare la replica master-standby per Postgres.

  1. Sul nodo Postgres master, cambia le directory in /opt/apigee/apigee-postgresql/pgsql/bin.
  2. Imposta la password utente "postgres" di PostgreSQL:
    1. Accedi al database PostgreSQL utilizzando il comando: 
      psql -h localhost -d apigee -U postgres
    2. Quando richiesto, inserisci la password utente "postgres" come "postgres".
    3. Nel prompt dei comandi di PostgreSQL, inserisci il comando seguente per modificare la password predefinita: 
      ALTER USER postgres WITH PASSWORD 'apigee1234';
    4. Esci dal database PostgreSQL utilizzando il comando: 
      \q
  3. Imposta la password utente "apigee" di PostgreSQL:
    1. Accedi al database PostgreSQL utilizzando il comando: 
      psql -h localhost -d apigee -U apigee
    2. Quando richiesto, inserisci la password utente "apigee" come "postgres".
    3. Nel prompt dei comandi di PostgreSQL, inserisci il comando seguente per modificare la password predefinita: 
      ALTER USER apigee WITH PASSWORD 'NEW_PASSWORD';
    4. Esci dal database PostgreSQL utilizzando il comando: 
      \q
  4. Imposta APIGEE_HOME: 
    export APIGEE_HOME=/opt/apigee/edge-postgres-server
  5. Cripta la nuova password: 
    sh /opt/apigee/edge-postgres-server/utils/scripts/utilities/passwordgen.sh apigee1234

    Questo comando restituisce la password criptata, come mostrato di seguito. La password criptata inizia dopo il carattere ":" e non include il simbolo ":". 

    Encrypted string:WheaR8U4OeMEM11erxA3Cw==

  6. Aggiorna il nodo del server di gestione con le nuove password criptate per gli utenti "postgres" e "apigee".
    1. Sul server di gestione, modifica la directory in /opt/apigee/customer/application.
    2. Modifica il file management-server.properties per impostare le seguenti proprietà. Se questo file non esiste, crealo.
    3. Assicurati che il file sia di proprietà dell'utente "apigee": 
      chown apigee:apigee management-server.properties
  7. Aggiorna tutti i nodi Postgres e Qpid Server con la nuova password criptata.
    1. Sul nodo server Postgres o Qpid Server, cambia la directory in /opt/apigee/customer/application.
    2. Modifica i seguenti file. Se questi file non esistono, creali:
      • postgres-server.properties
      • qpid-server.properties
    3. Aggiungi le seguenti proprietà ai file:
    4. Assicurati che i file siano di proprietà dell'utente "apigee": 
      chown apigee:apigee postgres-server.properties
chown apigee:apigee qpid-server.properties
  8. Riavvia i seguenti componenti in questo ordine:
    1. Database PostgreSQL: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
    2. Server Qpid: 
      /opt/apigee/apigee-service/bin/apigee-service edge-qpid-server restart
    3. Server Postgres: 
      /opt/apigee/apigee-service/bin/apigee-service edge-postgres-server restart
    4. Server di gestione: 
      /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart