為管理使用者介面設定傳輸層安全標準 (TLS)

Edge for Private Cloud 4.19.01 版

根據預設，您可以使用管理伺服器節點的 IP 位址和通訊埠 9000，透過 HTTP 存取 Edge 管理 UI。例如：

http://ms_IP:9000

或者，您也可以設定管理 UI 的 TLS 存取權，以便透過以下格式存取：

https://ms_IP:9443

在本範例中，您會將 TLS 存取權設為使用通訊埠 9443。不過，Edge 不需要該通訊埠編號，您可以將管理伺服器設為使用其他通訊埠值。唯一的要求是防火牆必須允許透過指定通訊埠傳輸流量。

確認 TLS 通訊埠已開啟

本節中的程序會將 TLS 設為使用管理伺服器上的通訊埠 9443。無論使用哪個通訊埠，都必須確保管理伺服器上的通訊埠已開啟。例如，您可以使用下列指令開啟：

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

設定 TLS

請按照下列程序，設定管理 UI 的 TLS 存取權：

  1. 產生含有 TLS 憑證和私密金鑰的 KeyStore JKS 檔案，並複製到管理伺服器節點。詳情請參閱「為 Edge On-Premises 設定 TLS/SSL」。
  2. 執行下列指令來設定 TLS： 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl
  3. 輸入 HTTPS 通訊埠編號，例如 9443。
  4. 指定是否要停用管理 UI 的 HTTP 存取權。根據預設，管理 UI 可透過通訊埠 9000 上的 HTTP 存取。
  5. 輸入 KeyStore 演算法。預設為 JKS。
  6. 輸入 KeyStore JKS 檔案的絕對路徑。

    指令碼會將檔案複製到管理伺服器節點上的 /opt/apigee/customer/conf 目錄，並將檔案擁有權變更為「apigee」。

  7. 輸入明文 KeyStore 密碼。
  8. 接著，指令碼會重新啟動 Edge 管理 UI。重新啟動後，管理 UI 即可支援透過 TLS 存取。

    你可以在/opt/apigee/etc/edge-ui.d/SSL.sh中查看這些設定。

使用設定檔設定 TLS

除了上述程序，您也可以在程序步驟 2 中，將設定檔傳遞至指令。如要設定選用的 TLS 屬性，就必須使用這個方法。

如要使用設定檔，請建立新檔案並新增下列屬性：

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

將檔案儲存在本機目錄中，並使用任何名稱。 接著，使用下列指令設定 TLS：

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

其中 configFile 是所儲存檔案的完整路徑。

在負載平衡器上終止 TLS 時設定 Edge UI

如果您有負載平衡器會將要求轉送至 Edge UI，可以選擇終止負載平衡器上的 TLS 連線，然後讓負載平衡器透過 HTTP 將要求轉送至 Edge UI。這項設定受到支援，但您必須據此設定負載平衡器和 Edge UI。

當 Edge UI 在使用者建立時傳送電子郵件給使用者設定密碼，或使用者要求重設遺失的密碼時，必須進行額外設定。這封電子郵件含有一個網址，使用者選取後即可設定或重設密碼。根據預設，如果 Edge UI 未設為使用 TLS，產生的電子郵件網址會使用 HTTP 通訊協定，而非 HTTPS。您必須設定負載平衡器和 Edge UI，才能產生使用 HTTPS 的電子郵件地址。

如要設定負載平衡器，請確認其在轉送至 Edge UI 的要求中設定下列標頭：

X-Forwarded-Proto: https

如要設定 Edge UI，請按照下列步驟操作：

  1. 在編輯器中開啟 /opt/apigee/customer/application/ui.properties 檔案。如果檔案不存在，請建立檔案： 
    vi /opt/apigee/customer/application/ui.properties
  2. 在 ui.properties 中設定下列屬性： 
    conf/application.conf+trustxforwarded=true
  3. 將變更儲存至 ui.properties。
  4. 重新啟動 Edge UI： 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

設定選用 TLS 屬性

Edge UI 支援選用的 TLS 設定屬性，可用來設定下列項目：

  • 預設 TLS 通訊協定
  • 支援的 TLS 通訊協定清單
  • 支援的 TLS 演算法
  • 支援的 TLS 加密

只有在設定檔中設定下列設定屬性時，才能使用這些選用參數，詳情請參閱「 使用設定檔設定 TLS」：

TLS_CONFIGURE=y

下表說明這些屬性：

屬性 說明
TLS_PROTOCOL 定義 Edge UI 的預設 TLS 通訊協定。預設為 TLS 1.2。有效值為 TLSv1.2、TLSv1.1、TLSv1。
TLS_ENABLED_PROTOCOL

以半形逗號分隔的陣列，定義已啟用的通訊協定清單。例如：

TLS_ENABLED_PROTOCOL=[\"TLSv1.2\", \"TLSv1.1\", \"TLSv1\"]

請注意，您必須逸出「"」字元。

根據預設，系統會啟用所有通訊協定。
TLS_DISABLED_ALGO

定義停用的加密套件，也可用於防止 TLS 握手使用小型金鑰。沒有預設值。

傳遞至 TLS_DISABLED_ALGO 的值會對應至 jdk.tls.disabledAlgorithms 允許的值，如這裡所述。不過，設定 TLS_DISABLED_ALGO 時，必須逸出空格字元：

TLS_DISABLED_ALGO=EC\ keySize\ <\ 160,RSA\ keySize\ <\ 2048
TLS_ENABLED_CIPHERS

以半形逗號分隔的陣列，定義可用的 TLS 加密套件清單。例如：

TLS_ENABLED_CIPHERS=[\"TLS_DHE_RSA_WITH_AES_128_CBC_SHA\",
\"TLS_DHE_DSS_WITH_AES_128_CBC_SHA\"]

請注意，您必須逸出「"」字元。

預設啟用的加密套件清單如下：

"TLS_DHE_RSA_WITH_AES_256_CBC_SHA",
"TLS_DHE_RSA_WITH_AES_128_CBC_SHA",
"TLS_DHE_DSS_WITH_AES_128_CBC_SHA",
"TLS_RSA_WITH_AES_256_CBC_SHA",
"TLS_RSA_WITH_AES_128_CBC_SHA",
"SSL_RSA_WITH_RC4_128_SHA",
"SSL_RSA_WITH_RC4_128_MD5",
"TLS_EMPTY_RENEGOTIATION_INFO_SCSV"

如要查看可用加密編譯清單，請按這裡。

停用 TLS 通訊協定

如要停用 TLS 通訊協定，您必須編輯設定檔，如「使用設定檔設定 TLS」所述，如下所示：

  1. 在編輯器中開啟設定檔。
  2. 如要停用單一 TLS 通訊協定 (例如 TLSv1.0)，請在設定檔中加入下列內容：
    TLS_CONFIGURE=y
TLS_DISABLED_ALGO="tlsv1"

    如要停用多個通訊協定 (例如 TLSv1.0 和 TLSv1.1)，請在設定檔中新增下列內容：

    TLS_CONFIGURE=y
TLS_DISABLED_ALGO="tlsv1, tlsv1.1"
  3. 儲存設定檔變更。
  4. 執行下列指令來設定 TLS： 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

    其中 configFile 是設定檔的完整路徑。

  5. 重新啟動 Edge UI： 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

使用安全 Cookie

Apigee Edge for Private Cloud 支援在 Edge UI 回應的 Set-Cookie 標頭中加入 secure 旗標。如果出現這個標記，則只能透過啟用 TLS 的管道傳送 Cookie。如果沒有這個屬性，Cookie 就可以透過任何管道傳送，無論是否安全。

如果 Cookie 沒有 secure 旗標，攻擊者可能會擷取並重複使用 Cookie，或劫持有效工作階段。因此，最佳做法是啟用這項設定。

如要為 Edge UI Cookie 設定 secure 旗標：

  1. 在文字編輯器中開啟下列檔案： 
    /opt/apigee/customer/application/ui.properties

    如果檔案不存在，請建立檔案。

  2. 在 ui.properties 檔案中，將 conf_application_session.secure 屬性設為 true，如以下範例所示：
    conf_application_session.secure=true
  3. 儲存變更。
  4. 使用 apigee-serice 公用程式重新啟動 Edge UI，如以下範例所示：
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

如要確認變更是否生效，請使用 curl 等公用程式，檢查 Edge UI 的回應標頭，例如：

curl -i -v https://edge_UI_URL

標頭應包含類似下列內容：

Set-Cookie: secure; ...

在 Edge UI 停用 TLS

如要在 Edge UI 停用 TLS，請使用下列指令：

/opt/apigee/apigee-service/bin/apigee-service edge-ui disable-ssl