為管理使用者介面設定傳輸層安全標準 (TLS)

Private Cloud v4.19.01 版

根據預設,您可使用 Management Server 節點和通訊埠 9000。例如:

http://ms_IP:9000

或者,您也可以設定管理 UI 的 TLS 存取權,以便在 表單:

https://ms_IP:9443

在本例中,您要將 TLS 存取權設為使用通訊埠 9443。不過,通訊埠號碼 以便將管理伺服器設定為使用其他通訊埠值。只有 您的防火牆允許流量通過指定的通訊埠。

確認 TLS 通訊埠已開啟

本節的程序會將 TLS 設定為在管理伺服器上使用通訊埠 9443。 無論使用哪個通訊埠,您都必須確保該通訊埠在管理介面上已開啟 伺服器例如,您可以使用以下指令開啟:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

設定 TLS

請按照下列程序設定 TLS 對管理 UI 的存取權:

  1. 產生含有傳輸層安全標準 (TLS) 憑證、私密金鑰和副本的 KeyStore JKS 檔案 並套用至管理伺服器節點詳情請參閱「為 Edge On Premises 設定 TLS/SSL」一文。
  2. 執行下列指令來設定 TLS:
    /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl
  3. 輸入 HTTPS 通訊埠編號,例如 9443。
  4. 指定是否要停用管理 UI 的 HTTP 存取功能。根據預設 可透過 HTTP 通訊埠 9000 存取 UI。
  5. 輸入 KeyStore 演算法。預設值為 JKS。
  6. 輸入 KeyStore JKS 檔案的絕對路徑。

    指令碼會將檔案複製到/opt/apigee/customer/conf 管理伺服器節點,並將檔案擁有權變更為「apigee」。

  7. 輸入明文 KeyStore 密碼。
  8. 然後指令碼會重新啟動 Edge Management UI。重新啟動後,管理 UI 支援透過傳輸層安全標準 (TLS) 存取。

    您可以在「/opt/apigee/etc/edge-ui.d/SSL.sh」中查看這些設定。

使用設定檔設定 TLS

除了上述程序之外,您也可以將設定檔傳送至 。您需要使用這個方法 設定選用的 TLS 屬性

如要使用設定檔,請建立新檔案並新增下列屬性:

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

將檔案儲存到包含所需名稱的本機目錄中。 接著使用下列指令設定 TLS:

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

其中 configFile 是所儲存檔案的完整路徑。

在傳輸層安全標準 (TLS) 時設定 Edge UI 會在負載平衡器上終止

如果您的負載平衡器會將要求轉送至 Edge UI,您可以選擇 終止負載平衡器的 TLS 連線,然後讓負載平衡器進行轉送 向 Edge UI 傳送要求支援這項設定,但您必須設定 並據此設計 Edge UI

如果 Edge UI 傳送使用者電子郵件以進行設定,則必須完成這項額外設定 密碼。這封電子郵件 包含使用者選擇設定或重設密碼的網址。根據預設,如果 Edge UI 未設定為使用傳輸層安全標準 (TLS),產生電子郵件中的網址會使用 HTTP 通訊協定,而非 HTTPS。 您必須設定負載平衡器和 Edge UI,才能產生使用 HTTPS

如要設定負載平衡器,請務必對轉送的要求設定下列標頭 邊緣 UI:

X-Forwarded-Proto: https

如何設定 Edge UI:

  1. 打開 /opt/apigee/customer/application/ui.properties 新增至編輯器中的檔案如果檔案不存在,請建立一個:
    vi /opt/apigee/customer/application/ui.properties
  2. ui.properties 中設定下列屬性:
    conf/application.conf+trustxforwarded=true
  3. 將變更儲存至「ui.properties」。
  4. 重新啟動 Edge UI:
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

設定選用的 TLS 屬性

Edge UI 支援選用的 TLS 設定屬性,可用於設定以下項目:

  • 預設 TLS 通訊協定
  • 支援的 TLS 通訊協定清單
  • 支援的 TLS 演算法
  • 支援的 TLS 加密方式

您必須設定下列設定屬性,才能使用這些選用參數 ,如 中所述 使用設定檔設定 TLS

TLS_CONFIGURE=y

下表說明這些屬性:

屬性 說明
TLS_PROTOCOL 定義 Edge UI 的預設 TLS 通訊協定。預設值為 TLS 1.2。 有效值為 TLSv1.2、TLSv1.1、TLSv1。
TLS_ENABLED_PROTOCOL

將已啟用的通訊協定清單定義為以半形逗號分隔的陣列。例如:

TLS_ENABLED_PROTOCOL=[\"TLSv1.2\", \"TLSv1.1\", \"TLSv1\"]

請注意,您必須將「字元。

根據預設,系統會啟用所有通訊協定。

TLS_DISABLED_ALGO

定義停用的加密套件,也可用來防止金鑰大小太小 用於 TLS 握手的流程沒有預設值。

傳遞至 TLS_DISABLED_ALGO 的值會對應至 jdk.tls.disabledAlgorithms,如這裡所述。 不過,設定 TLS_DISABLED_ALGO 時,您必須逸出空格字元:

TLS_DISABLED_ALGO=EC\ keySize\ <\ 160,RSA\ keySize\ <\ 2048

TLS_ENABLED_CIPHERS

將可用的 TLS 加密清單定義為以半形逗號分隔的陣列。例如:

TLS_ENABLED_CIPHERS=[\"TLS_DHE_RSA_WITH_AES_128_CBC_SHA\",
\"TLS_DHE_DSS_WITH_AES_128_CBC_SHA\"]

請注意,您必須將「字元。

啟用的加密方式預設清單如下:

"TLS_DHE_RSA_WITH_AES_256_CBC_SHA",
"TLS_DHE_RSA_WITH_AES_128_CBC_SHA",
"TLS_DHE_DSS_WITH_AES_128_CBC_SHA",
"TLS_RSA_WITH_AES_256_CBC_SHA",
"TLS_RSA_WITH_AES_128_CBC_SHA",
"SSL_RSA_WITH_RC4_128_SHA",
"SSL_RSA_WITH_RC4_128_MD5",
"TLS_EMPTY_RENEGOTIATION_INFO_SCSV"

查看可用的加密方式清單 請按這裡

停用 TLS 通訊協定

如要停用 TLS 通訊協定,您必須編輯設定檔, 使用設定檔設定 TLS 如下所示:

  1. 在編輯器中開啟設定檔。
  2. 如要停用單一 TLS 通訊協定 (例如 TLSv1.0),請新增下列內容 加入設定檔:
    TLS_CONFIGURE=y
    TLS_DISABLED_ALGO="tlsv1"

    停用多種通訊協定,例如 TLSv1.0 和 TLSv1.1: 將以下內容新增到設定檔:

    TLS_CONFIGURE=y
    TLS_DISABLED_ALGO="tlsv1, tlsv1.1"
  3. 儲存設定檔變更。
  4. 執行下列指令來設定 TLS:
    /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

    其中 configFile 是設定檔的完整路徑。

  5. 重新啟動 Edge UI:
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

使用安全 Cookie

Apigee Edge for Private Cloud 支援將 secure 標記新增至 Set-Cookie 標頭: 回應。如有這個標記,Cookie 就只能透過 支援 TLS 的頻道。如果沒有,系統就能透過任何管道傳送 Cookie 是否安全

沒有 secure 旗標的 Cookie 可能會讓攻擊者擷取並 重複使用 Cookie 或盜用運作中的工作階段。因此,最佳做法是 以及環境敘述

如要為 Edge UI Cookie 設定 secure 旗標:

  1. 在文字編輯器中開啟下列檔案:
    /opt/apigee/customer/application/ui.properties

    如果檔案不存在,請建立一個。

  2. conf_application_session.secure 屬性設為 true ui.properties 檔案一樣,如以下範例所示:
    conf_application_session.secure=true
  3. 儲存變更。
  4. 使用 apigee-serice 公用程式重新啟動 Edge UI,如以下範例所示 顯示:
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

如要確認變更是否正常運作,請使用以下指令,從 Edge UI 檢查回應標頭: 公用程式,例如 curl;例如:

curl -i -v https://edge_UI_URL

標題應包含一行內容,如下所示:

Set-Cookie: secure; ...

在 Edge UI 上停用 TLS

如要在 Edge UI 上停用 TLS,請使用下列指令:

/opt/apigee/apigee-service/bin/apigee-service edge-ui disable-ssl