New Edge エクスペリエンスに対する TLS の構成

Edge for Private Cloud v4.19.01

デフォルトでは、New Edge エクスペリエンスにアクセスします。 HTTP 経由で新しい Edge エクスペリエンス ノードの IP アドレスまたは DNS 名とポート 3001 を使用します。例:

http://newue_IP:3001

または、New Edge エクスペリエンスへの TLS アクセスを構成して、 次の形式でアクセスできます。

https://newue_IP:3001

TLS の要件

New Edge エクスペリエンスは TLS v1.2 のみをサポートしています。New Edge エクスペリエンスで TLS を有効にすると、 ユーザーは、TLS v1.2 と互換性のあるブラウザを使用して New Edge エクスペリエンスに接続する必要があります。

TLS 構成プロパティ

次のコマンドを実行して、New Edge エクスペリエンス用に TLS を構成します。

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

ここで、configFile は、 新しい Edge エクスペリエンス。

このコマンドを実行する前に、構成ファイルを編集して TLS を制御する必要なプロパティを定義します。次の表に、 New Edge エクスペリエンスに TLS を構成するために使用するプロパティは次のとおりです。

プロパティ 説明 必須
MANAGEMENT_UI_SCHEME

プロトコル「http」を設定します。または「https」が必要です。 デフォルト値は「http」です。URL を「https」に設定TLS を有効にするには:

MANAGEMENT_UI_SCHEME=https
 ○
MANAGEMENT_UI_TLS_OFFLOAD

「n」の場合、New Edge エクスペリエンスへの TLS リクエストは終端されます。 New Edge エクスペリエンスをご覧くださいMANAGEMENT_UI_TLS_KEY_FILE と MANAGEMENT_UI_TLS_CERT_FILE. を設定する必要があります。

「y」の場合、New Edge エクスペリエンスへの TLS リクエストは そのロードバランサが HTTP を使用してリクエストを New Edge エクスペリエンスに転送するようにします。

ロードバランサで TLS を終端する場合でも、New Edge エクスペリエンスで 元のリクエストが TLS で受信されたことに注意してください。たとえば、一部の Cookie には Secure フラグが設定されています。

MANAGEMENT_UI_SCHEME を「https」に設定する必要がありますそれ以外の場合、MANAGEMENT_UI_TLS_OFFLOAD は無視されます。

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 ○
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

MANAGEMENT_UI_TLS_OFFLOAD=n の場合は、絶対パスを指定します 証明書ファイルに追加します。ファイルは、次の拡張子を持つ PEM ファイルとしてフォーマットする必要があります。 パスフレーズはなく、「apigee」が所有している必要がありますできます。

これらのファイルは、次の場所に配置することをおすすめします。 

/opt/apigee/customer/application/edge-management-ui

このディレクトリが存在しない場合は作成します。

MANAGEMENT_UI_TLS_OFFLOAD=y の場合は、MANAGEMENT_UI_TLS_KEY_FILE を省略します。 および MANAGEMENT_UI_TLS_CERT_FILE. これらは無視されるため、 New Edge エクスペリエンスは HTTP 経由で提供されます。

 MANAGEMENT_UI_TLS_OFFLOAD=n の場合は必須
MANAGEMENT_UI_PUBLIC_URIS

MANAGEMENT_UI_TLS_OFFLOAD=n の場合は、New Edge エクスペリエンスの URL を指定します。

このプロパティは、構成ファイル内の他のプロパティに基づいて設定します。例:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

ここで

  • MANAGEMENT_UI_SCHEME には、プロトコル「http」を指定します。または「https」に接続する必要があります。
  • MANAGEMENT_UI_IP には、New Edge エクスペリエンスの IP アドレスまたは DNS 名を指定します。
  • MANAGEMENT_UI_PORT には、New Edge エクスペリエンスで使用されるポートを指定します。

New Edge エクスペリエンスのインストールをご覧ください。 ご覧ください

MANAGEMENT_UI_TLS_OFFLOAD=y の場合:

  • MANAGEMENT_UI_IP には、ロードバランサの IP アドレスまたは DNS 名を指定します。 New Edge エクスペリエンスではありません。
  • ロードバランサと New UE は、リクエストに対して同じポート番号（3001 など）を使用する必要があります。 MANAGEMENT_UI_PORT を使用して、ロードバランサと New UE のポート番号を指定します。

○
SHOEHORN_SCHEME

New Edge エクスペリエンスをインストールする前に、 最初に「shoehorn」と呼ばれる基本 Edge UI をインストールします。インストール構成ファイルでは、 次のプロパティを使用して、基本 Edge UI へのアクセスに使用するプロトコル「http」を指定します。

SHOEHORN_SCHEME=http

基本 Edge UI は TLS をサポートしていないため、New Edge エクスペリエンスで TLS を有効にしても、 このプロパティは引き続き「http」に設定する必要があります。

 ○（「http」に設定）

TLS の構成

New Edge エクスペリエンスへの TLS アクセスを構成するには:

  1. TLS 証明書と鍵をパスフレーズなしの PEM ファイルとして生成します。例:

    mykey.pem
mycert.pem

    TLS 証明書と鍵を生成する方法は数多くあります。たとえば、次のコマンドを実行します。 コマンドを実行して、署名なしの証明書と鍵を生成します。

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. 鍵ファイルと証明書ファイルを /opt/apigee/customer/application/edge-management-ui ディレクトリにコピーします。 このディレクトリが存在しない場合は作成します。

  3. 証明書と鍵の所有者が「apigee」であることを確認します。user:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. New Edge エクスペリエンスのインストールに使用した構成ファイルを編集して、 次の TLS プロパティを設定します。

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. 次のコマンドを実行して TLS を構成します。

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    ここで、configFile は構成ファイルの名前です。

    このスクリプトを実行すると、New Edge エクスペリエンスが再起動されます。

  6. 次のコマンドを実行して、 Shorn をセットアップして再起動します。

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    再起動すると、New Edge エクスペリエンスで HTTPS 経由のアクセスがサポートされます。 TLS を有効にした後に New Edge エクスペリエンスにログインできない場合は、 再度ログインしてみてください。

TLS をロードバランサで終端させる場合の New Edge エクスペリエンスを構成する

リクエストを New Edge エクスペリエンスに転送するロードバランサを使用している場合、 ロードバランサで TLS 接続を終端するよう選択し、 ロードバランサは、HTTP 経由で New Edge エクスペリエンスにリクエストを転送します。

ロードバランサで TLS を終端する

この構成はサポートされています それに応じてロードバランサと New Edge エクスペリエンスを構成する必要があります。

TLS をロードバランサで終端させる場合に New Edge エクスペリエンスを構成するには:

  1. New Edge エクスペリエンスのインストールに使用した構成ファイルを編集して、 次の TLS プロパティを設定します。

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge experience.
# The load balancer and the New Edge experience must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    MANAGEMENT_UI_TLS_OFFLOAD=y を設定する場合は、MANAGEMENT_UI_TLS_KEY_FILE を省略します。 および MANAGEMENT_UI_TLS_CERT_FILE. New Edge エクスペリエンスへのリクエストは HTTP で送信されるため、これらは無視されます。

  2. 次のコマンドを実行して TLS を構成します。

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    ここで、configFile は構成ファイルの名前です。

    このスクリプトを実行すると、New Edge エクスペリエンスが再起動されます。

  3. 次のコマンドを実行して、 Shorn をセットアップして再起動します。

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    再起動すると、New Edge エクスペリエンスで HTTPS 経由のアクセスがサポートされます。 TLS を有効にした後に New Edge エクスペリエンスにログインできない場合は、 再度ログインしてみてください。

New Edge エクスペリエンスで TLS を無効にする

New Edge エクスペリエンスで TLS を無効にするには:

  1. New Edge エクスペリエンスのインストールに使用した構成ファイルを編集し、 次の TLS プロパティが必要です。

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge experience.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. 次のコマンドを実行して TLS を無効にします。

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    ここで、configFile は構成ファイルの名前です。

    このスクリプトを実行すると、New Edge エクスペリエンスが再起動されます。

  3. 次のコマンドを実行して、 Shorn をセットアップして再起動します。

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    HTTP 経由で New Edge エクスペリエンスにアクセスできるようになりました。 TLS を無効にした後に New Edge エクスペリエンスにログインできない場合は、 再度ログインしてみてください。