تستخدم Google تكنولوجيا الذكاء الاصطناعي لترجمة المحتوى إلى لغتك المفضّلة، وقد تتضمّن بعض الأخطاء.

ضبط بروتوكول أمان طبقة النقل لواجهة برمجة التطبيقات للإدارة

Edge for Private Cloud الإصدار 4.19.01

يكون بروتوكول أمان طبقة النقل (TLS) غير مفعَّل تلقائيًا في Management API، ويمكنك الوصول إلى Edge Management API عبر HTTP باستخدام عنوان IP لعقدة خادم الإدارة والمنفذ 8080. على سبيل المثال:

http://ms_IP:8080

يمكنك بدلاً من ذلك ضبط وصول بروتوكول أمان طبقة النقل (TLS) إلى Management API لتتمكّن من الوصول إليها بالصيغة التالية:

https://ms_IP:8443

في هذا المثال، يمكنك ضبط وصول بروتوكول أمان طبقة النقل (TLS) لاستخدام المنفذ 8443. ومع ذلك، لا يتطلب Edge رقم المنفذ هذا، ويمكنك ضبط خادم الإدارة لاستخدام قيم منافذ أخرى. الشرط الوحيد هو أن يسمح جدار الحماية بحركة البيانات عبر المنفذ المحدّد.

لضمان تشفير الزيارات من وإلى Management API، اضبط الإعدادات في ملف /opt/apigee/customer/application/management-server.properties.

بالإضافة إلى إعدادات بروتوكول أمان طبقة النقل (TLS)، يمكنك أيضًا التحكّم في التحقّق من كلمة المرور (طول كلمة المرور وقوتها) من خلال تعديل ملف management-server.properties.

التأكّد من أنّ منفذ بروتوكول أمان طبقة النقل (TLS) مفتوح

يضبط الإجراء في هذا القسم بروتوكول أمان طبقة النقل (TLS) لاستخدام المنفذ 8443 على خادم الإدارة. بغض النظر عن المنفذ الذي تستخدمه، يجب التأكّد من أنّ المنفذ مفتوح على خادم الإدارة. على سبيل المثال، يمكنك استخدام الأمر التالي لفتحه:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

ملاحظة: يستخدم هذا المثال المنفذ 8443 كمنفذ لبروتوكول أمان طبقة النقل (TLS)، وليس المنفذ 443 الأكثر شيوعًا.

والسبب في ذلك هو أنّ المنافذ التي يقلّ رقمها عن 1024 تكون عادةً محمية بواسطة نظام التشغيل وتتطلّب أن تكون العملية التي تصل إليها حاصلة على إذن الوصول إلى الجذر. يتم تشغيل Edge Management Server كمستخدم "apigee"، وبالتالي لا يمكنه عادةً الوصول إلى المنافذ التي يقل رقمها عن 1024.

ومن بين البدائل استخدام جهاز موازنة الحمل مع Edge API وإنهاء بروتوكول أمان طبقة النقل (TLS) على جهاز موازنة الحمل على المنفذ 443. يمكنك بعد ذلك استخدام HTTP أو HTTPS بين جهاز موازنة الحمل وواجهة برمجة تطبيقات Edge.

يمكنك أيضًا استخدام iptables لإعادة توجيه الطلبات من المنفذ 443 إلى المنفذ 8443. على سبيل المثال:

iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

إعداد بروتوكول أمان طبقة النقل (TLS)

عدِّل ملف /opt/apigee/customer/application/management-server.properties للتحكّم في استخدام بروتوكول أمان طبقة النقل (TLS) في الزيارات من وإلى Management API. إذا لم يكن هذا الملف متوفّرًا، يمكنك إنشاؤه.

لضبط وصول بروتوكول أمان طبقة النقل (TLS) إلى Management API:

أنشئ ملف JKS لمخزن المفاتيح يحتوي على شهادة TLS والمفتاح الخاص. لمزيد من المعلومات، يُرجى الاطّلاع على ضبط بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) في Edge On Premises.
انسخ ملف JKS الخاص بمخزن المفاتيح إلى دليل على عقدة خادم الإدارة، مثل /opt/apigee/customer/application.
غيِّر ملكية ملف JKS إلى المستخدم "apigee":
```
chown apigee:apigee keystore.jks
```
حيث يمثّل keystore.jks اسم ملف تخزين المفاتيح.
عدِّل /opt/apigee/customer/application/management-server.properties لضبط السمات التالية. إذا لم يكن هذا الملف متوفّرًا، أنشِئه:
```
conf_webserver_ssl.enabled=true
# Leave conf_webserver_http.turn.off set to false
# because many Edge internal calls use HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
# Enter the obfuscated keystore password below.
conf_webserver_keystore.password=OBF:obfuscatedPassword
```
حيث يمثّل keyStore.jks ملف تخزين المفاتيح، ويمثّل obfuscatedPassword كلمة مرور تخزين المفاتيح المُخفاة. يُرجى الاطّلاع على ضبط بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) في Edge On Premises للحصول على معلومات حول إنشاء كلمة مرور مخفية.

أعِد تشغيل خادم إدارة Edge باستخدام الأمر:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

تتيح Management API الآن الوصول عبر بروتوكول أمان طبقة النقل (TLS).

ضبط واجهة مستخدم Edge لاستخدام بروتوكول أمان طبقة النقل (TLS) للوصول إلى واجهة برمجة تطبيقات Edge

In the procedure above, Apigee recommended leaving conf_webserver_http.turn.off=false so that the Edge UI can continue to make Edge API calls over HTTP.

استخدِم الإجراء التالي لضبط واجهة مستخدم Edge لإجراء هذه الطلبات عبر HTTPS فقط:

اضبط إمكانية الوصول إلى Management API عبر بروتوكول أمان طبقة النقل (TLS) كما هو موضّح أعلاه.
بعد التأكّد من عمل بروتوكول أمان طبقة النقل (TLS) مع Management API، عدِّل /opt/apigee/customer/application/management-server.properties لضبط السمة التالية:
```
conf_webserver_http.turn.off=true
```
أعِد تشغيل خادم إدارة Edge من خلال تنفيذ الأمر التالي:
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 
```
عدِّل /opt/apigee/customer/application/ui.properties لضبط السمة التالية لواجهة مستخدم Edge:
```
conf_apigee_apigee.mgmt.baseurl="https://FQ_domain_name:port/v1"
```
حيث FQ_domain_name هو اسم النطاق الكامل، وفقًا لعنوان شهادة خادم الإدارة، وport هو المنفذ المحدّد أعلاه بواسطة conf_webserver_ssl.port.

إذا لم يكن الملف ui.properties متوفّرًا، أنشِئه.
في حال استخدام شهادة موقَّعة ذاتيًا فقط (لا يُنصح بها في بيئة التشغيل الفعلي) عند ضبط الوصول عبر بروتوكول أمان طبقة النقل (TLS) إلى Management API أعلاه، أضِف السمة التالية إلى ui.properties:
```
conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true
```
وإلا، سترفض واجهة مستخدم Edge الشهادة الموقَّعة ذاتيًا.
أعِد تشغيل واجهة مستخدم Edge من خلال تنفيذ الأمر التالي:
```
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart
```

خصائص بروتوكول أمان طبقة النقل (TLS) لخادم الإدارة

يسرد الجدول التالي جميع سمات بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) التي يمكنك ضبطها في management-server.properties:

الخصائص	الوصف
`conf_webserver_http.port=8080`	القيمة التلقائية هي 8080.
`conf_webserver_ssl.enabled=false`	لتفعيل/إيقاف بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) عند تفعيل بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) (صحيح)، يجب أيضًا ضبط السمتَين ssl.port وkeystore.path.
`conf_webserver_http.turn.off=true`	لتفعيل/إيقاف http مع https إذا أردت استخدام HTTPS فقط، اترك القيمة التلقائية على `true`.
`conf_webserver_ssl.port=8443`	منفذ TLS/SSL مطلوب عند تفعيل بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.path=path`	المسار إلى ملف تخزين المفاتيح مطلوب عند تفعيل بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.password=password`	استخدِم كلمة مرور مخفية بهذا التنسيق: OBF:xxxxxxxxxx
`conf_webserver_cert.alias=alias`	اسم مستعار اختياري لشهادة مخزن المفاتيح
`conf_webserver_keymanager.password=password`	إذا كان لمدير المفاتيح كلمة مرور، أدخِل نسخة مخفية من كلمة المرور بهذا التنسيق: OBF:xxxxxxxxxx
`conf_webserver_trust.all=[false \| true]` `conf_webserver_trust.store.path=path` `conf_webserver_trust.store.password=password`	اضبط إعدادات مخزن شهادات الجذر الموثوق بها. حدِّد ما إذا كنت تريد قبول جميع شهادات بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) (على سبيل المثال، لقبول الأنواع غير العادية). القيمة التلقائية هي `false`. أدخِل المسار إلى مخزن شهادات الجذر الموثوق بها، وأدخِل كلمة مرور مخزن شهادات الجذر الموثوق بها مخفية بهذا التنسيق: OBF:xxxxxxxxxx
`conf_webserver_exclude.cipher.suites=CIPHER_SUITE_1 CIPHER_SUITE_2` `conf_webserver_include.cipher.suites=`	أشِر إلى أي مجموعات رموز تريد تضمينها أو استبعادها. على سبيل المثال، إذا اكتشفت ثغرة أمنية في تشفير، يمكنك استبعاده هنا. يجب الفصل بين الرموز المتعددة باستخدام مسافة. للحصول على معلومات عن مجموعات التشفير وبنية التشفير، يُرجى الاطّلاع على مستندات موفّري Oracle لبنية تشفير Java لإصدار JDK 8.
`conf_webserver_ssl.session.cache.size=` `conf_webserver_ssl.session.timeout=`	أعداد صحيحة تحدّد: حجم ذاكرة التخزين المؤقت لجلسة بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (بالبايت) لتخزين معلومات الجلسة لعدة عملاء. مقدار الوقت الذي يمكن أن تستغرقه جلسات TLS/SSL قبل انتهاء مهلتها (بالملي ثانية)