Configurare TLS per la nuova esperienza Edge

Edge per Private Cloud v4.19.01

Per impostazione predefinita, accedi alla nuova esperienza Edge su HTTP utilizzando l'indirizzo IP o il nome DNS del nodo New Edge e la porta 3001. Ad esempio:

http://newue_IP:3001

In alternativa, puoi configurare l'accesso TLS alla nuova esperienza Edge in modo che puoi accedervi nel modulo:

https://newue_IP:3001

Requisiti TLS

La nuova esperienza Edge supporta solo TLS v1.2. Se abiliti TLS nella nuova esperienza Edge, gli utenti devono connettersi all'esperienza New Edge utilizzando un browser compatibile con TLS v1.2.

Proprietà di configurazione TLS

Esegui questo comando per configurare TLS per la nuova esperienza Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Dove configFile è il file di configurazione che hai utilizzato per installare Nuova esperienza Edge.

Prima di eseguire questo comando, devi modificare il file di configurazione per impostare le proprietà necessarie che controllano TLS. Nella tabella seguente vengono descritti i che utilizzerai per configurare TLS per la nuova esperienza Edge:

Proprietà Descrizione Obbligatorio?
MANAGEMENT_UI_SCHEME

Imposta il protocollo "http" o "https", che viene usato per accedere alla nuova esperienza Edge. Il valore predefinito è "http". Impostala su "https" per abilitare TLS:

MANAGEMENT_UI_SCHEME=https
 Sì
MANAGEMENT_UI_TLS_OFFLOAD

Se "n", specifica che le richieste TLS alla nuova esperienza Edge vengono terminate all'esperienza New Edge. Devi impostare MANAGEMENT_UI_TLS_KEY_FILE e MANAGEMENT_UI_TLS_CERT_FILE.

Se "y", specifica che le richieste TLS alla nuova esperienza Edge vengono terminate il che inoltra la richiesta alla nuova esperienza Edge utilizzando HTTP.

Se disabiliti TLS sul bilanciatore del carico, la nuova esperienza Edge deve comunque tieni presente che la richiesta originale è stata inviata tramite TLS. Ad esempio, per alcuni cookie è impostato un flag di sicurezza.

Devi impostare MANAGEMENT_UI_SCHEME su "https" altrimenti MANAGEMENT_UI_TLS_OFFLOAD viene ignorato:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 Sì
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

Se MANAGEMENT_UI_TLS_OFFLOAD=n, specifica il percorso assoluto ai file della chiave e del certificato TLS. I file devono essere formattati come file PEM con nessuna passphrase e deve essere di proprietà di "apigee" utente.

Il percorso consigliato per questi file è: 

/opt/apigee/customer/application/edge-management-ui

Se la directory non esiste, creala.

Se MANAGEMENT_UI_TLS_OFFLOAD=y, ometti MANAGEMENT_UI_TLS_KEY_FILE e MANAGEMENT_UI_TLS_CERT_FILE. Vengono ignorate perché le richieste agli La nuova esperienza Edge disponibile tramite HTTP.

 Sì se MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Se MANAGEMENT_UI_TLS_OFFLOAD=n, specifica l'URL della nuova esperienza Edge.

Imposta questa proprietà in base ad altre proprietà nel file di configurazione. Ad esempio:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Dove:

  • MANAGEMENT_UI_SCHEME specifica il protocollo "http" o "https", come descritto sopra.
  • MANAGEMENT_UI_IP specifica l'indirizzo IP o il nome DNS della nuova esperienza Edge.
  • MANAGEMENT_UI_PORT specifica la porta utilizzata dalla nuova esperienza Edge.

Consulta l'articolo Installazione della nuova esperienza Edge per saperne di più su queste proprietà.

Se MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP specifica l'indirizzo IP o il nome DNS del bilanciatore del carico, non dell'esperienza New Edge.
  • Il bilanciatore del carico e la Nuova UE devono utilizzare lo stesso numero di porta per le richieste, ad esempio 3001. Usa MANAGEMENT_UI_PORT per specificare il numero di porta sul bilanciatore del carico e sulla nuova UE.

Sì
SHOEHORN_SCHEME

Prima di installare la nuova esperienza Edge, devi prima installare la UI Edge di base, chiamata shoehorn. Il file di configurazione dell'installazione utilizza la seguente proprietà per specificare il protocollo, "http", utilizzato per accedere alla UI Edge di base:

SHOEHORN_SCHEME=http

La UI Edge di base non supporta TLS, quindi anche se abiliti TLS nella nuova esperienza Edge, questa proprietà deve essere comunque impostata su "http".

 Sì e imposta su "http"

Configura TLS

Per configurare l'accesso TLS alla nuova esperienza Edge:

  1. Genera il certificato e la chiave TLS come file PEM senza passphrase. Ad esempio:

    mykey.pem
mycert.pem

    Esistono molti modi per generare un certificato e una chiave TLS. Ad esempio, puoi eseguire questo per generare un certificato e una chiave non firmati:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Copia i file della chiave e del certificato nella directory /opt/apigee/customer/application/edge-management-ui. Se la directory non esiste, creala.

  3. Assicurati che il certificato e la chiave siano di proprietà di "apigee" utente:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Modifica il file di configurazione che hai utilizzato per installare la nuova esperienza Edge in imposta le seguenti proprietà TLS:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. Esegui questo comando per configurare TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dove configFile è il nome del file di configurazione.

    Lo script riavvia l'esperienza New Edge.

  6. Esegui questi comandi per configurare e riavviare shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Dopo il riavvio, la nuova esperienza Edge supporta l'accesso tramite HTTPS. Se non riesci ad accedere alla nuova esperienza Edge dopo aver abilitato TLS, cancella il cache del browser e riprova ad accedere.

Configura la nuova esperienza Edge quando TLS termina sul bilanciatore del carico

Se hai un bilanciatore del carico che inoltra le richieste alla nuova esperienza Edge, potresti scegliere di terminare la connessione TLS sul bilanciatore del carico e quindi il bilanciatore del carico inoltra le richieste alla nuova esperienza Edge su HTTP:

Termina TLS sul bilanciatore del carico

Questa configurazione è supportata ma devi configurare il bilanciatore del carico e la nuova esperienza Edge di conseguenza.

Per configurare la nuova esperienza Edge quando TLS termina sul bilanciatore del carico:

  1. Modifica il file di configurazione che hai utilizzato per installare la nuova esperienza Edge in imposta le seguenti proprietà TLS:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge experience.
# The load balancer and the New Edge experience must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    Se imposti MANAGEMENT_UI_TLS_OFFLOAD=y, ometti MANAGEMENT_UI_TLS_KEY_FILE e MANAGEMENT_UI_TLS_CERT_FILE. Vengono ignorate perché le richieste alla nuova esperienza Edge arrivano tramite HTTP.

  2. Esegui questo comando per configurare TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dove configFile è il nome del file di configurazione.

    Lo script riavvia l'esperienza New Edge.

  3. Esegui questi comandi per configurare e riavviare shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Dopo il riavvio, la nuova esperienza Edge supporta l'accesso tramite HTTPS. Se non riesci ad accedere alla nuova esperienza Edge dopo aver abilitato TLS, cancella il cache del browser e riprova ad accedere.

Disabilita TLS nella nuova esperienza Edge

Per disabilitare TLS nella nuova esperienza Edge:

  1. Modifica il file di configurazione che hai utilizzato per installare la nuova esperienza Edge da impostare la seguente proprietà TLS:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge experience.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. Esegui questo comando per disabilitare TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dove configFile è il nome del file di configurazione.

    Lo script riavvia l'esperienza New Edge.

  3. Esegui questi comandi per configurare e riavviare shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Ora puoi accedere alla nuova esperienza Edge tramite HTTP. Se non riesci ad accedere alla nuova esperienza Edge dopo aver disabilitato TLS, cancella il cache del browser e riprova ad accedere.