‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

הגדרת TLS עבור ממשק ה-API לניהול

Edge for Private Cloud גרסה 4.19.01

כברירת מחדל, פרוטוקול TLS מושבת ב-Management API, והגישה ל-Edge Management API מתבצעת דרך HTTP באמצעות כתובת ה-IP של צומת Management Server ויציאה 8080. לדוגמה:

http://ms_IP:8080

לחלופין, אפשר להגדיר גישת TLS ל-Management API כדי שתוכלו לגשת אליו בפורמט הבא:

https://ms_IP:8443

בדוגמה הזו, אתם מגדירים גישת TLS לשימוש ביציאה 8443. עם זאת, מספר היציאה הזה לא נדרש על ידי Edge – אתם יכולים להגדיר את שרת הניהול כך שישתמש בערכי יציאות אחרים. הדרישה היחידה היא שחומת האש תאפשר תעבורת נתונים דרך היציאה שצוינה.

כדי להצפין את התנועה אל Management API וממנו, צריך לקבוע את ההגדרות בקובץ /opt/apigee/customer/application/management-server.properties.

בנוסף להגדרת TLS, אפשר גם לשלוט באימות הסיסמה (אורך וחוזק הסיסמה) על ידי שינוי הקובץ management-server.properties.

מוודאים שיציאת ה-TLS פתוחה

ההליך בקטע הזה מגדיר את TLS לשימוש ביציאה 8443 בשרת הניהול. לא משנה באיזו יציאה אתם משתמשים, אתם צריכים לוודא שהיציאה פתוחה בשרת הניהול. לדוגמה, אפשר להשתמש בפקודה הבאה כדי לפתוח אותו:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

הערה: בדוגמה הזו, יציאת ה-TLS היא 8443 ולא היציאה הנפוצה יותר 443.

הסיבה לכך היא שיציאות מתחת ל-1024 בדרך כלל מוגנות על ידי מערכת ההפעלה, ודורשות גישת בסיס (root) לתהליך שניגש אליהן. השרת לניהול Edge פועל כמשתמש apigee, ולכן בדרך כלל אין לו גישה ליציאות מתחת ל-1024.

אפשרות אחת היא להשתמש במאזן עומסים עם Edge API ולסיים את ה-TLS במאזן העומסים ביציאה 443. לאחר מכן תוכלו להשתמש ב-HTTP או ב-HTTPS בין מאזן העומסים לבין Edge API.

אפשרות אחרת היא להשתמש ב-iptables כדי להעביר בקשות ליציאה 443 אל יציאה 8443. לדוגמה:

iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

הגדרת TLS

עורכים את הקובץ /opt/apigee/customer/application/management-server.properties כדי לשלוט בשימוש ב-TLS בתנועה אל Management API וממנו. אם הקובץ הזה לא קיים, יוצרים אותו.

כדי להגדיר גישת TLS ל-Management API:

יוצרים את קובץ ה-JKS של מאגר המפתחות שמכיל את אישור ה-TLS והמפתח הפרטי. מידע נוסף זמין במאמר הגדרת TLS/SSL ל-Edge On Premises.
מעתיקים את קובץ ה-JKS של מאגר המפתחות לספרייה בצומת של שרת הניהול, למשל /opt/apigee/customer/application.
משנים את הבעלות על קובץ ה-JKS למשתמש apigee:
```
chown apigee:apigee keystore.jks
```
כאשר keystore.jks הוא השם של קובץ מאגר המפתחות.
עורכים את /opt/apigee/customer/application/management-server.properties כדי להגדיר את המאפיינים הבאים. אם הקובץ הזה לא קיים, יוצרים אותו:
```
conf_webserver_ssl.enabled=true
# Leave conf_webserver_http.turn.off set to false
# because many Edge internal calls use HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
# Enter the obfuscated keystore password below.
conf_webserver_keystore.password=OBF:obfuscatedPassword
```
כאשר keyStore.jks הוא קובץ מאגר המפתחות, ו-obfuscatedPassword היא הסיסמה המעורפלת של מאגר המפתחות. במאמר הגדרת TLS/SSL ל-Edge On Premises מוסבר איך ליצור סיסמה מעורפלת.
מפעילים מחדש את שרת הניהול של Edge באמצעות הפקודה:
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
```

ה-Management API תומך עכשיו בגישה דרך TLS.

הגדרת ממשק המשתמש של Edge לשימוש ב-TLS כדי לגשת ל-Edge API

בנוהל שלמעלה, Apigee המליצה להשאיר את conf_webserver_http.turn.off=false כדי שממשק המשתמש של Edge יוכל להמשיך לבצע קריאות ל-Edge API דרך HTTP.

כדי להגדיר את ממשק המשתמש של Edge כך שיבצע את הקריאות האלה רק דרך HTTPS, צריך לבצע את הפעולות הבאות:

מגדירים גישת TLS ל-Management API כמו שמתואר למעלה.
אחרי שמוודאים ש-TLS פועל ב-Management API, עורכים את /opt/apigee/customer/application/management-server.properties כדי להגדיר את המאפיין הבא:
```
conf_webserver_http.turn.off=true
```
מפעילים מחדש את שרת הניהול של Edge באמצעות הפקודה הבאה:
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 
```
עורכים את /opt/apigee/customer/application/ui.properties כדי להגדיר את המאפיין הבא לממשק המשתמש של Edge:
```
conf_apigee_apigee.mgmt.baseurl="https://FQ_domain_name:port/v1"
```
כאשר FQ_domain_name הוא שם הדומיין המלא, לפי כתובת האישור של שרת הניהול, ו-port היא היציאה שצוינה למעלה על ידי conf_webserver_ssl.port.

אם הקובץ ui.properties לא קיים, יוצרים אותו.
רק אם השתמשתם באישור בחתימה עצמית (לא מומלץ בסביבת ייצור) כשהגדרתם גישת TLS ל-Management API למעלה, הוסיפו את המאפיין הבא ל-ui.properties:
```
conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true
```
אחרת, ממשק המשתמש של Edge ידחה אישור עם חתימה עצמית.
מפעילים מחדש את ממשק המשתמש של Edge באמצעות הפקודה הבאה:
```
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart
```

מאפייני TLS לשרת הניהול

בטבלה הבאה מפורטים כל מאפייני ה-TLS/SSL שאפשר להגדיר ב-management-server.properties:

מאפיינים	תיאור
`conf_webserver_http.port=8080`	ברירת המחדל היא 8080.
`conf_webserver_ssl.enabled=false`	כדי להפעיל או להשבית את TLS/SSL. אם מפעילים את TLS/SSL (ערך true), צריך גם להגדיר את המאפיינים ssl.port ו-keystore.path.
`conf_webserver_http.turn.off=true`	כדי להפעיל או להשבית את http יחד עם https. אם רוצים להשתמש רק ב-HTTPS, משאירים את ערך ברירת המחדל `true`.
`conf_webserver_ssl.port=8443`	יציאת TLS/SSL. נדרש כש-TLS/SSL מופעל (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.path=path`	הנתיב לקובץ מאגר המפתחות. נדרש כש-TLS/SSL מופעל (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.password=password`	צריך להשתמש בסיסמה מעורפלת בפורמט הזה: OBF:xxxxxxxxxx
`conf_webserver_cert.alias=alias`	כינוי אופציונלי לאישור של מאגר המפתחות
`conf_webserver_keymanager.password=password`	אם למנהל המפתחות יש סיסמה, צריך להזין גרסה מוסתרת של הסיסמה בפורמט הזה: OBF:xxxxxxxxxx
`conf_webserver_trust.all=[false \| true]` `conf_webserver_trust.store.path=path` `conf_webserver_trust.store.password=password`	קובעים את ההגדרות של מאגר האישורים. צריך להחליט אם רוצים לקבל את כל אישורי TLS/SSL (לדוגמה, כדי לקבל סוגים לא סטנדרטיים). ערך ברירת המחדל הוא `false`. מציינים את הנתיב למאגר האישורים ומזינים סיסמה מוסתרת למאגר האישורים בפורמט הבא: OBF:xxxxxxxxxx
`conf_webserver_exclude.cipher.suites=CIPHER_SUITE_1 CIPHER_SUITE_2` `conf_webserver_include.cipher.suites=`	מציינים את כל סטי האלגוריתמים להצפנה שרוצים לכלול או להחריג. לדוגמה, אם גיליתם נקודת חולשה בצופן, אתם יכולים להחריג אותו כאן. אם יש כמה צפנים, צריך להפריד ביניהם באמצעות רווח. למידע נוסף על חבילות הצפנה וארכיטקטורת קריפטוגרפיה, אפשר לעיין במאמר Java Cryptography Architecture Oracle Providers Documentation for JDK 8.
`conf_webserver_ssl.session.cache.size=` `conf_webserver_ssl.session.timeout=`	מספרים שלמים שקובעים: גודל המטמון של סשן TLS/SSL (בבייטים) לאחסון מידע על סשנים של כמה לקוחות. משך הזמן שסשנים של TLS/SSL יכולים להימשך לפני שהזמן הקצוב לתפוגה שלהם נגמר (באלפיות השנייה).