HTTPS erişimi için Apigee-sso'yu yapılandırma

Edge for Private Cloud 4.19.01 sürümü

Edge TOA'yı yükleme ve yapılandırma bölümünde, Edge yapılandırma dosyasında aşağıdaki özellik tarafından belirtildiği gibi, Edge TOA modülünün 9099 bağlantı noktasında HTTP'yi kullanacak şekilde nasıl yükleneceği ve yapılandırılacağı anlatılmaktadır:

SSO_TOMCAT_PROFILE=DEFAULT

Alternatif olarak, HTTPS erişimini etkinleştirmek için SSO_TOMCAT_PROFILE değerini aşağıdaki değerlerden birine ayarlayabilirsiniz:

  • SSL_PROXY: Edge TOA modülü apigee-sso'yi proxy modunda yapılandırır. Bu, apigee-sso öğesinin önüne yük dengeleyici yüklediğiniz ve yük dengeleyicide TLS'yi sonlandırdığınız anlamına gelir. Daha sonra yük dengeleyiciden gelen istekler için apigee-sso üzerinde kullanılan bağlantı noktasını belirtirsiniz.
  • SSL_TERMINATION - Seçtiğiniz bağlantı noktasında apigee-sso için TLS erişimi etkinleştirildi. Bu mod için CA tarafından imzalanmış bir sertifika içeren bir anahtar deposu belirtmeniz gerekir. Kendinden imzalı sertifika kullanamazsınız.

HTTPS'yi ilk kez apigee-sso yükleyip yapılandırırken etkinleştirmeyi seçebilir veya daha sonra etkinleştirebilirsiniz.

Bu modlardan herhangi birini kullanarak apigee-sso öğesine HTTPS erişimini etkinleştirmek HTTP erişimini devre dışı bırakır. Yani aynı anda hem HTTP hem de HTTPS kullanarak apigee-sso ürününe erişemezsiniz.

SSL_PROXY modunu etkinleştir

SSL_PROXY modunda sisteminiz, Edge TOA modülünün önünde bir yük dengeleyici kullanır ve yük dengeleyicideki TLS'yi sonlandırır. Aşağıdaki şekilde yük dengeleyici, TLS'yi 443 numaralı bağlantı noktasında sonlandırır ve ardından istekleri 9099 bağlantı noktasındaki Edge TOA modülüne iletir:

Bu yapılandırmada yük dengeleyici ile Edge TOA modülü arasındaki bağlantıya güvenirsiniz. Bu nedenle, bu bağlantı için TLS kullanmanıza gerek yoktur. Ancak SAML IDP gibi harici varlıkların artık Edge TOA modülüne korumasız 9099 bağlantı noktasından değil, 443 numaralı bağlantı noktasından erişmesi gerekiyor.

Edge TOA modülünün SSL_PROXY modunda yapılandırılmasının nedeni, Edge TOA modülünün kimlik doğrulama işleminin bir parçası olarak IdP tarafından harici olarak kullanılan yönlendirme URL'lerini otomatik olarak oluşturmasıdır. Bu nedenle, bu yönlendirme URL'leri yük dengeleyicideki harici bağlantı noktası numarasını (bu örnekte 443) içermelidir ve Edge TOA modülündeki 9099 dahili bağlantı noktasını içermemelidir.

SSL_PROXY modu için Edge TOA modülünü yapılandırmak üzere:

  1. Yapılandırma dosyanıza aşağıdaki ayarları ekleyin: 
    # Enable SSL_PROXY mode.
SSO_TOMCAT_PROFILE=SSL_PROXY

# Specify the apigee-sso port, typically between 1025 and 65535.
# Typically ports 1024 and below require root access by apigee-sso.
# The default is 9099.
SSO_TOMCAT_PORT=9099

# Specify the port number on the load balancer for terminating TLS.
# This port number is necessary for apigee-sso to auto-generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

# Set public access scheme of apigee-sso to https.
SSO_PUBLIC_URL_SCHEME=https
  2. Edge TOA modülünü yapılandırın: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. Artık Edge TOA'ya erişmek için yük dengeleyicinin 443 numaralı bağlantı noktasında HTTPS isteği oluşturacak şekilde IDP yapılandırmanızı güncelleyin. Daha fazla bilgi için SAML IDP'nizi yapılandırma sayfasına göz atın.
  4. Yapılandırma dosyasında aşağıdaki özellikleri ayarlayarak HTTPS için Edge kullanıcı arayüzü yapılandırmanızı güncelleyin:
    SSO_PUBLIC_URL_PORT=443
SSO_PUBLIC_URL_SCHEME=https

    Ardından Edge kullanıcı arayüzünü güncelleyin:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-sso -f configFile

    Daha fazla bilgi için Uç kullanıcı arayüzünde SAML'yi etkinleştirme başlıklı makaleye bakın.

  5. Apigee Developer Services portalını (veya kısaca portalı) yüklediyseniz, Edge TOA'ya erişmek için HTTPS'yi kullanacak şekilde güncelleyin. Daha fazla bilgi için Portalı, Edge ile iletişim kurmak için SAML kullanacak şekilde yapılandırma bölümüne bakın

SSL_TERMINATION modunu etkinleştir

SSL_TERMINATION modu için:

  • Bir TLS sertifikası ve anahtarı oluşturup bunları bir anahtar deposu dosyasında depolayın. Kendinden imzalı sertifika kullanamazsınız. Bir CA'dan sertifika oluşturmanız gerekir.
  • apigee-sso. için yapılandırma ayarlarını güncelleyin

Sertifikanızdan ve anahtarınızdan anahtar deposu dosyası oluşturmak için:

  1. JKS dosyası için bir dizin oluşturun: 
    sudo mkdir -p /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  2. Yeni dizine geçin: 
    cd /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  3. Sertifikayı ve anahtarı içeren bir JKS dosyası oluşturun. Bu mod için CA tarafından imzalanmış bir sertifika içeren bir anahtar deposu belirtmeniz gerekir. Kendinden imzalı sertifika kullanamazsınız. JKS dosyası oluşturma örneği için Edge On Premises için TLS/SSL'yi yapılandırma bölümüne bakın.
  4. "Apigee" kullanıcısına ait JKS dosyasını oluşturun:
    sudo chown -R apigee:apigee /opt/apigee/customer/application/apigee-sso/tomcat-ssl

Edge TOA modülünü yapılandırmak için:

  1. Yapılandırma dosyanıza aşağıdaki ayarları ekleyin: 
    # Enable SSL_TERMINATION mode.
SSO_TOMCAT_PROFILE=SSL_TERMINATION

# Specify the path to the keystore file.
SSO_TOMCAT_KEYSTORE_FILEPATH=/opt/apigee/customer/application/apigee-sso/tomcat-ssl/keystore.jks

SSO_TOMCAT_KEYSTORE_ALIAS=sso

# The password specified when you created the keystore.
SSO_TOMCAT_KEYSTORE_PASSWORD=keystorePassword

# Specify the HTTPS port number between 1025 and 65535.
# Typically ports 1024 and below require root access by apigee-sso.
# The default is 9099.
SSO_TOMCAT_PORT=9443
SSO_PUBLIC_URL_PORT=9443

# Set public access scheme of apigee-sso to https.
SSO_PUBLIC_URL_SCHEME=https
  2. Edge TOA modülünü yapılandırın: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. Artık Edge TOA'ya erişmek için yük dengeleyicinin 9443 numaralı bağlantı noktasında HTTPS isteği yapacak şekilde IDP yapılandırmanızı güncelleyin. Başka hiçbir hizmetin bu bağlantı noktasını kullanmadığından emin olun. Daha fazla bilgi için SAML IDP'nizi yapılandırma başlıklı makaleye bakın.
  4. Aşağıdaki özellikleri ayarlayarak HTTPS için Edge kullanıcı arayüzü yapılandırmanızı güncelleyin: 
    SSO_PUBLIC_URL_PORT=9443
SSO_PUBLIC_URL_SCHEME=https

    Daha fazla bilgi için Uç kullanıcı arayüzünde SAML'yi etkinleştirme başlıklı makaleye bakın.

  5. Developer Services portalını yüklediyseniz Edge TOA'ya erişmek için HTTPS'yi kullanacak şekilde güncelleyin. Daha fazla bilgi için Edge ile iletişim kurmak için SAML'yi kullanmak üzere Geliştirici Hizmetleri portalını yapılandırma bölümüne bakın.

SSL_TERMINATION modunda TOA_TOMCAT_PROXY_PORT ayarlanıyor

Edge TOA modülünün önünde, yük dengeleyicide TLS'yi sonlandıran ancak aynı zamanda yük dengeleyici ile Edge TOA arasında TLS'yi etkinleştiren bir yük dengeleyiciniz olabilir. Yukarıdaki şekilde SSL_PROXY modu için bu durum, yük dengeleyiciden Edge TOA'ya giden bağlantıda TLS kullandığı anlamına gelir.

Bu senaryoda, TLS'yi Edge TOA'da da yukarıda SSL_TERMINATION modu için yaptığınız gibi yapılandırırsınız. Ancak yük dengeleyici, Edge TOA'nın TLS için kullandığından farklı bir TLS bağlantı noktası numarası kullanıyorsa yapılandırma dosyasında SSO_TOMCAT_PROXY_PORT özelliğini de belirtmeniz gerekir. Örneğin:

  • Yük dengeleyici 443 numaralı bağlantı noktasında TLS'yi sonlandırır
  • Edge TOA, 9443 numaralı bağlantı noktasında TLS'yi sonlandırıyor

Yapılandırma dosyasına aşağıdaki ayarı eklediğinizden emin olun:

# Specify the port number on the load balancer for terminating TLS.
# This port number is necessary for apigee-sso to generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

IDP ve Edge kullanıcı arayüzünü 443 numaralı bağlantı noktasında HTTPS istekleri yapacak şekilde yapılandırın.