Konfigurowanie protokołu TLS w nowej wersji Edge

Edge dla chmury prywatnej w wersji 4.19.01

Domyślnie dostęp do nowego środowiska Edge uzyskujesz przez HTTP, używając adresu IP lub nazwy DNS węzła nowego środowiska Edge i portu 3001. Na przykład:

http://newue_IP:3001

Możesz też skonfigurować dostęp TLS do nowego środowiska Edge, aby mieć do niego dostęp w postaci:

https://newue_IP:3001

Wymagania dotyczące TLS

Nowe środowisko Edge obsługuje tylko protokół TLS w wersji 1.2. Jeśli włączysz TLS w nowym środowisku Edge, użytkownicy muszą łączyć się z nowym środowiskiem Edge za pomocą przeglądarki zgodnej z TLS w wersji 1.2.

Właściwości konfiguracji TLS

Aby skonfigurować TLS dla nowego środowiska Edge, uruchom to polecenie:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Gdzie configFile to plik konfiguracji użyty do zainstalowania nowego środowiska Edge.

Zanim wykonasz to polecenie, musisz zmodyfikować plik konfiguracji, aby ustawić niezbędne właściwości, które kontrolują TLS. W poniższej tabeli opisano właściwości, których używasz do konfigurowania TLS w nowym środowisku Edge:

Właściwość Opis Wymagany?
MANAGEMENT_UI_SCHEME

Ustawia protokół „http” lub „https” używany do uzyskiwania dostępu do nowego środowiska Edge. Wartość domyślna to „http”. Ustaw wartość „https”, aby włączyć TLS:

MANAGEMENT_UI_SCHEME=https
 		Tak
MANAGEMENT_UI_TLS_OFFLOAD

Jeśli „n”, określa, że żądania TLS do nowego środowiska Edge są przerywane w nowym środowisku Edge. Musisz ustawić MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE.

Jeśli „y”, określa, że żądania TLS do nowego środowiska Edge są kończone w systemie równoważenia obciążenia, a system równoważenia obciążenia przekazuje żądanie do nowego środowiska Edge za pomocą protokołu HTTP.

Jeśli zakończysz TLS w systemie równoważenia obciążenia, nowe środowisko Edge nadal musi wiedzieć, że pierwotne żądanie zostało wysłane przez TLS. Na przykład niektóre pliki cookie mają ustawioną flagę Secure.

Musisz ustawić MANAGEMENT_UI_SCHEME na „https”, w przeciwnym razie MANAGEMENT_UI_TLS_OFFLOAD zostanie zignorowane:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 		Tak
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=n, określa ścieżkę bezwzględną do plików klucza i certyfikatu TLS. Pliki muszą być sformatowane jako pliki PEM bez hasła i muszą należeć do użytkownika „apigee”.

Zalecana lokalizacja tych plików to: 

/opt/apigee/customer/application/edge-management-ui

Jeśli ten katalog nie istnieje, utwórz go.

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=y, pomiń MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE.. Są one ignorowane, ponieważ żądania do nowego środowiska Edge są wysyłane przez HTTP.

 Tak, jeśli MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=n, określa adres URL nowego środowiska Edge.

Ustaw tę właściwość na podstawie innych właściwości w pliku konfiguracji. Na przykład:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Gdzie:

  • MANAGEMENT_UI_SCHEME określa protokół „http” lub „https” zgodnie z opisem powyżej.
  • MANAGEMENT_UI_IP określa adres IP lub nazwę DNS nowego środowiska Edge.
  • MANAGEMENT_UI_PORT określa port używany przez nowe środowisko Edge.

Więcej informacji o tych właściwościach znajdziesz w artykule Instalowanie nowego środowiska Edge.

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP określa adres IP lub nazwę DNS systemu równoważenia obciążenia, a nie nowego środowiska Edge.
  • System równoważenia obciążenia i nowy UE muszą używać tego samego numeru portu dla żądań, na przykład 3001. Użyj MANAGEMENT_UI_PORT, aby określić numer portu w systemie równoważenia obciążenia i w nowym UE.

Tak
SHOEHORN_SCHEME

Zanim zainstalujesz nowe środowisko Edge, musisz najpierw zainstalować podstawowy interfejs Edge, zwany shoehorn. Plik konfiguracji instalacji używa tej właściwości do określenia protokołu „http” używanego do uzyskiwania dostępu do podstawowego interfejsu Edge:

SHOEHORN_SCHEME=http

Podstawowy interfejs Edge nie obsługuje TLS, więc nawet jeśli włączysz TLS w nowym środowisku Edge, ta właściwość musi być ustawiona na „http”.

 Tak, ustawiony na „http”

Konfigurowanie TLS

Aby skonfigurować dostęp TLS do nowego środowiska Edge:

  1. Wygeneruj certyfikat i klucz TLS jako pliki PEM bez hasła. Na przykład:

    mykey.pem
mycert.pem

    Certyfikat i klucz TLS można wygenerować na wiele sposobów. Możesz na przykład wykonać to polecenie, aby wygenerować niepodpisany certyfikat i klucz:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Skopiuj pliki klucza i certyfikatu do katalogu /opt/apigee/customer/application/edge-management-ui. Jeśli ten katalog nie istnieje, utwórz go.

  3. Upewnij się, że certyfikat i klucz należą do użytkownika „apigee”:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Zmodyfikuj plik konfiguracji użyty do zainstalowania nowego środowiska Edge, aby ustawić te właściwości TLS:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. Aby skonfigurować TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    configFile to nazwa pliku konfiguracji.

    Skrypt ponownie uruchamia nowe środowisko Edge.

  6. Uruchom te polecenia, aby skonfigurować i ponownie uruchomić shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Po ponownym uruchomieniu nowe środowisko Edge obsługuje dostęp przez HTTPS. Jeśli po włączeniu TLS nie możesz zalogować się w nowym środowisku Edge, wyczyść pamięć podręczną przeglądarki i spróbuj zalogować się ponownie.

Konfigurowanie nowego środowiska Edge, gdy zakończenie TLS następuje w systemie równoważenia obciążenia

Jeśli masz system równoważenia obciążenia, który przekazuje żądania do nowego środowiska Edge, możesz zakończyć połączenie TLS w systemie równoważenia obciążenia, a następnie przekazać żądania do nowego środowiska Edge przez HTTP:

Zakończenie TLS w systemie równoważenia obciążenia

Ta konfiguracja jest obsługiwana, ale musisz odpowiednio skonfigurować system równoważenia obciążenia i nowe środowisko Edge.

Aby skonfigurować nowe środowisko Edge, gdy protokół TLS kończy się na systemie równoważenia obciążenia:

  1. Zmodyfikuj plik konfiguracji użyty do zainstalowania nowego środowiska Edge, aby ustawić te właściwości TLS:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge experience.
# The load balancer and the New Edge experience must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    Jeśli ustawisz MANAGEMENT_UI_TLS_OFFLOAD=y, pomiń MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE.. Są one ignorowane, ponieważ żądania do nowego środowiska Edge są wysyłane przez HTTP.

  2. Aby skonfigurować TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    configFile to nazwa pliku konfiguracji.

    Skrypt ponownie uruchamia nowe środowisko Edge.

  3. Uruchom te polecenia, aby skonfigurować i ponownie uruchomić shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Po ponownym uruchomieniu nowe środowisko Edge obsługuje dostęp przez HTTPS. Jeśli po włączeniu TLS nie możesz zalogować się w nowym środowisku Edge, wyczyść pamięć podręczną przeglądarki i spróbuj zalogować się ponownie.

Wyłączanie TLS w nowym środowisku Edge

Aby wyłączyć TLS w nowym środowisku Edge:

  1. Zmodyfikuj plik konfiguracji użyty do zainstalowania nowego środowiska Edge, aby ustawić tę właściwość TLS:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge experience.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. Aby wyłączyć TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    configFile to nazwa pliku konfiguracji.

    Skrypt ponownie uruchamia nowe środowisko Edge.

  3. Uruchom te polecenia, aby skonfigurować i ponownie uruchomić shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Możesz teraz uzyskać dostęp do nowego środowiska Edge przez HTTP. Jeśli po wyłączeniu TLS nie możesz zalogować się w nowym środowisku Edge, wyczyść pamięć podręczną przeglądarki i spróbuj zalogować się ponownie.