ضبط بروتوكول أمان طبقة النقل (TLS) لواجهة مستخدم الإدارة

Edge for Private Cloud الإصدار 4.19.01

By default, you access the Edge management UI over HTTP by using the IP address of the Management Server node and port 9000. على سبيل المثال:

http://ms_IP:9000

بدلاً من ذلك، يمكنك ضبط وصول بروتوكول أمان طبقة النقل (TLS) إلى واجهة مستخدم الإدارة حتى تتمكّن من الوصول إليها في النموذج:

https://ms_IP:9443

في هذا المثال، يمكنك ضبط وصول بروتوكول أمان طبقة النقل (TLS) لاستخدام المنفذ 9443. ومع ذلك، لا يتطلب Edge رقم المنفذ هذا، ويمكنك ضبط خادم الإدارة لاستخدام قيم منافذ أخرى. الشرط الوحيد هو أن يسمح جدار الحماية بحركة البيانات عبر المنفذ المحدّد.

التأكّد من أنّ منفذ بروتوكول أمان طبقة النقل (TLS) مفتوح

يضبط الإجراء الموضّح في هذا القسم بروتوكول أمان طبقة النقل (TLS) لاستخدام المنفذ 9443 على خادم الإدارة. بغض النظر عن المنفذ الذي تستخدمه، يجب التأكّد من أنّ المنفذ مفتوح على خادم الإدارة. على سبيل المثال، يمكنك استخدام الأمر التالي لفتحه:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

إعداد بروتوكول أمان طبقة النقل (TLS)

اتّبِع الإجراء التالي لضبط وصول بروتوكول أمان طبقة النقل (TLS) إلى واجهة مستخدم الإدارة:

  1. أنشئ ملف JKS لمخزن المفاتيح يحتوي على شهادة TLS والمفتاح الخاص وانسخه إلى عقدة خادم الإدارة. لمزيد من المعلومات، يُرجى الاطّلاع على إعداد بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) في Edge On Premises.
  2. نفِّذ الأمر التالي لضبط بروتوكول أمان طبقة النقل (TLS): 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl
  3. أدخِل رقم منفذ HTTPS، على سبيل المثال، 9443.
  4. حدِّد ما إذا كنت تريد إيقاف وصول HTTP إلى واجهة مستخدم الإدارة. بشكل تلقائي، يمكن الوصول إلى واجهة مستخدم الإدارة عبر HTTP على المنفذ 9000.
  5. أدخِل خوارزمية ملف تخزين المفاتيح. والإعداد التلقائي هو JKS.
  6. أدخِل المسار المطلق لملف JKS الخاص بمخزن المفاتيح.

    ينسخ النص البرمجي الملف إلى دليل /opt/apigee/customer/conf على عقدة خادم الإدارة، ويغيّر ملكية الملف إلى "apigee".

  7. أدخِل كلمة مرور ملف تخزين المفاتيح النصية الواضحة.
  8. بعد ذلك، يعيد النص البرمجي تشغيل واجهة مستخدم إدارة Edge. بعد إعادة التشغيل، تتيح واجهة مستخدم الإدارة الوصول عبر بروتوكول أمان طبقة النقل (TLS).

    يمكنك الاطّلاع على هذه الإعدادات في "/opt/apigee/etc/edge-ui.d/SSL.sh".

استخدام ملف إعداد لضبط بروتوكول أمان طبقة النقل (TLS)

كبديل للإجراء أعلاه، يمكنك تمرير ملف إعداد إلى الأمر في الخطوة 2 من الإجراء. يجب استخدام هذه الطريقة إذا أردت ضبط سمات بروتوكول أمان طبقة النقل (TLS) الاختيارية.

لاستخدام ملف إعداد، أنشئ ملفًا جديدًا وأضِف السمات التالية:

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

احفظ الملف في دليل محلي بأي اسم تريده. بعد ذلك، استخدِم الأمر التالي لضبط بروتوكول أمان طبقة النقل (TLS):

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

حيث configFile هو المسار الكامل للملف الذي حفظته.

ضبط واجهة مستخدم Edge عند إنهاء بروتوكول أمان طبقة النقل (TLS) على جهاز موازنة الحمل

إذا كان لديك جهاز موازنة حمل يعيد توجيه الطلبات إلى واجهة مستخدم Edge، يمكنك اختيار إنهاء اتصال بروتوكول أمان طبقة النقل (TLS) على جهاز موازنة الحمل، ثم إعادة توجيه جهاز موازنة الحمل الطلبات إلى واجهة مستخدم Edge عبر بروتوكول HTTP. هذه الإعدادات متاحة، ولكن عليك ضبط جهاز موازنة الحمل وواجهة مستخدم Edge وفقًا لذلك.

يجب إجراء الإعدادات الإضافية عندما ترسل واجهة مستخدم Edge رسائل إلكترونية إلى المستخدمين لضبط كلمة المرور عند إنشاء المستخدم أو عندما يطلب المستخدم إعادة ضبط كلمة مرور مفقودة. وتحتوي هذه الرسالة الإلكترونية على عنوان URL يختاره المستخدم لضبط كلمة مرور أو إعادة ضبطها. By default, if the Edge UI is not configured to use TLS, the URL in the generated email uses the HTTP protocol, and not HTTPS. يجب ضبط جهاز موازنة الحمل وواجهة مستخدم Edge لإنشاء عنوان بريد إلكتروني يستخدم HTTPS.

لضبط جهاز موازنة الحمل، تأكَّد من أنّه يضبط العنوان التالي في الطلبات التي تتم إعادة توجيهها إلى واجهة مستخدم Edge:

X-Forwarded-Proto: https

لضبط واجهة مستخدم Edge:

  1. افتح ملف /opt/apigee/customer/application/ui.properties في محرِّر. إذا لم يكن الملف متوفّرًا، أنشِئه: 
    vi /opt/apigee/customer/application/ui.properties
  2. اضبط السمة التالية في ui.properties: 
    conf/application.conf+trustxforwarded=true
  3. احفظ التغييرات في ui.properties.
  4. أعِد تشغيل واجهة مستخدم Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

ضبط سمات بروتوكول أمان طبقة النقل (TLS) الاختيارية

تتيح واجهة مستخدم Edge استخدام خصائص ضبط بروتوكول أمان طبقة النقل (TLS) الاختيارية التي يمكنك استخدامها لضبط ما يلي:

  • بروتوكول أمان طبقة النقل (TLS) التلقائي
  • قائمة بروتوكولات أمان طبقة النقل (TLS) المتوافقة
  • خوارزميات بروتوكول أمان طبقة النقل (TLS) المتوافقة
  • رموز بروتوكول أمان طبقة النقل (TLS) المتوافقة

لا تتوفّر هذه المَعلمات الاختيارية إلا عند ضبط سمة الإعداد التالية في ملف إعداد، كما هو موضّح في استخدام ملف إعداد لضبط بروتوكول أمان طبقة النقل (TLS):

TLS_CONFIGURE=y

يوضّح الجدول التالي هذه السمات:

الموقع الوصف
TLS_PROTOCOL يحدّد بروتوكول TLS التلقائي لواجهة مستخدم Edge. الإعداد التلقائي هو TLS 1.2. القيم الصالحة هي TLSv1.2 وTLSv1.1 وTLSv1.
TLS_ENABLED_PROTOCOL

تحدّد هذه السياسة قائمة البروتوكولات المفعَّلة كمصفوفة مفصولة بفواصل. على سبيل المثال:

TLS_ENABLED_PROTOCOL=[\"TLSv1.2\", \"TLSv1.1\", \"TLSv1\"]

يُرجى العِلم أنّه عليك إلغاء علامة الاقتباس ".

يتم تفعيل جميع البروتوكولات تلقائيًا.
TLS_DISABLED_ALGO

تحدّد هذه السياسة مجموعات الرموز غير المفعَّلة، ويمكن استخدامها أيضًا لمنع استخدام المفاتيح ذات الأحجام الصغيرة في تأكيد اتصال بروتوكول أمان طبقة النقل (TLS). لا توجد قيمة تلقائية.

تتوافق القيم التي يتم تمريرها إلى TLS_DISABLED_ALGO مع القيم المسموح بها لـ jdk.tls.disabledAlgorithms كما هو موضّح هنا. ومع ذلك، يجب تخطّي أحرف المسافات عند ضبط TLS_DISABLED_ALGO:

TLS_DISABLED_ALGO=EC\ keySize\ <\ 160,RSA\ keySize\ <\ 2048
TLS_ENABLED_CIPHERS

تحدّد هذه السياسة قائمة رموز تشفير بروتوكول أمان طبقة النقل (TLS) المتاحة كمصفوفة مفصولة بفواصل. على سبيل المثال: 

TLS_ENABLED_CIPHERS=[\"TLS_DHE_RSA_WITH_AES_128_CBC_SHA\",
\"TLS_DHE_DSS_WITH_AES_128_CBC_SHA\"]

يُرجى العِلم أنّه عليك إلغاء علامة الاقتباس ".

القائمة التلقائية لرموز التشفير المفعَّلة هي:

"TLS_DHE_RSA_WITH_AES_256_CBC_SHA",
"TLS_DHE_RSA_WITH_AES_128_CBC_SHA",
"TLS_DHE_DSS_WITH_AES_128_CBC_SHA",
"TLS_RSA_WITH_AES_256_CBC_SHA",
"TLS_RSA_WITH_AES_128_CBC_SHA",
"SSL_RSA_WITH_RC4_128_SHA",
"SSL_RSA_WITH_RC4_128_MD5",
"TLS_EMPTY_RENEGOTIATION_INFO_SCSV"

يمكنك العثور على قائمة ببرامج التشفير المتاحة هنا.

إيقاف بروتوكولات أمان طبقة النقل (TLS)

لإيقاف بروتوكولات أمان طبقة النقل (TLS)، عليك تعديل ملف الإعدادات الموضَّح في مقالة استخدام ملف إعدادات لضبط بروتوكول أمان طبقة النقل (TLS)، على النحو التالي:

  1. افتح ملف الإعداد في محرِّر.
  2. لإيقاف بروتوكول أمان طبقة النقل (TLS) واحد، مثل TLSv1.0، أضِف ما يلي إلى ملف الإعداد: 
    TLS_CONFIGURE=y
TLS_DISABLED_ALGO="tlsv1"

    لإيقاف بروتوكولات متعددة، مثل TLSv1.0 وTLSv1.1، أضِف ما يلي إلى ملف الإعداد:

    TLS_CONFIGURE=y
TLS_DISABLED_ALGO="tlsv1, tlsv1.1"
  3. احفظ التغييرات في ملف الإعداد.
  4. نفِّذ الأمر التالي لضبط بروتوكول أمان طبقة النقل (TLS): 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

    حيث يمثّل configFile المسار الكامل لملف الإعداد.

  5. أعِد تشغيل واجهة مستخدم Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

استخدام ملفات تعريف الارتباط الآمنة

يتيح Apigee Edge for Private Cloud إضافة العلامة secure إلى العنوان Set-Cookie للردود من واجهة مستخدم Edge. إذا كانت هذه العلامة متوفّرة، لا يمكن إرسال ملف تعريف الارتباط إلا عبر القنوات التي تم تفعيل بروتوكول أمان طبقة النقل (TLS) فيها. وفي حال عدم توفّرها، يمكن إرسال ملف تعريف الارتباط عبر أي قناة، سواء كانت آمنة أم لا.

يمكن أن تسمح ملفات تعريف الارتباط التي لا تتضمّن العلامة secure للمهاجم بالتقاط ملف تعريف الارتباط وإعادة استخدامه أو الاستيلاء على جلسة نشطة. لذلك، من أفضل الممارسات تفعيل هذا الإعداد.

لضبط علامة secure لملفات تعريف الارتباط في واجهة مستخدم Edge:

  1. افتح الملف التالي في محرِّر نصوص: 
    /opt/apigee/customer/application/ui.properties

    إذا لم يكن الملف متوفّرًا، أنشِئه.

  2. اضبط السمة conf_application_session.secure على true في ملف ui.properties، كما هو موضّح في المثال التالي: 
    conf_application_session.secure=true
  3. احفظ التغييرات.
  4. أعِد تشغيل واجهة مستخدم Edge باستخدام الأداة المساعدة apigee-serice، كما هو موضّح في المثال التالي: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

للتأكّد من أنّ التغيير يعمل، تحقَّق من عناوين الاستجابة من واجهة مستخدم Edge باستخدام أداة مساعدة مثل curl، على سبيل المثال:

curl -i -v https://edge_UI_URL

يجب أن يحتوي العنوان على سطر يشبه ما يلي:

Set-Cookie: secure; ...

إيقاف بروتوكول أمان طبقة النقل (TLS) في واجهة مستخدم Edge

لإيقاف بروتوكول أمان طبقة النقل (TLS) في واجهة مستخدم Edge، استخدِم الأمر التالي:

/opt/apigee/apigee-service/bin/apigee-service edge-ui disable-ssl