Định cấu hình TLS cho trải nghiệm Edge mới

Edge for Private Cloud phiên bản 4.19.01

Theo mặc định, bạn truy cập vào Trải nghiệm Edge mới qua HTTP bằng cách sử dụng địa chỉ IP hoặc tên DNS của nút Trải nghiệm Edge mới và cổng 3001. Ví dụ:

http://newue_IP:3001

Ngoài ra, bạn có thể định cấu hình quyền truy cập TLS vào trải nghiệm Edge mới để có thể truy cập vào trải nghiệm này dưới dạng:

https://newue_IP:3001

Yêu cầu về TLS

Trải nghiệm Edge mới chỉ hỗ trợ TLS phiên bản 1.2. Nếu bạn bật TLS trên trải nghiệm Edge mới, người dùng phải kết nối với trải nghiệm Edge mới bằng trình duyệt tương thích với TLS phiên bản 1.2.

Thuộc tính cấu hình TLS

Thực thi lệnh sau để định cấu hình TLS cho trải nghiệm Edge mới:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Trong đó, configFile là tệp cấu hình mà bạn đã dùng để cài đặt trải nghiệm Edge mới.

Trước khi thực thi lệnh này, bạn phải chỉnh sửa tệp cấu hình để đặt các thuộc tính cần thiết kiểm soát TLS. Bảng sau đây mô tả các thuộc tính mà bạn dùng để định cấu hình TLS cho trải nghiệm Edge mới:

Thuộc tính Mô tả Bắt buộc?
MANAGEMENT_UI_SCHEME

Đặt giao thức, "http" hoặc "https", dùng để truy cập vào trải nghiệm Edge mới. Giá trị mặc định là "http". Đặt thành "https" để bật TLS:

MANAGEMENT_UI_SCHEME=https
 		Có
MANAGEMENT_UI_TLS_OFFLOAD

Nếu là "n", thì các yêu cầu TLS đến trải nghiệm Edge mới sẽ bị chấm dứt tại trải nghiệm Edge mới. Bạn phải đặt MANAGEMENT_UI_TLS_KEY_FILE và MANAGEMENT_UI_TLS_CERT_FILE.

Nếu là "y", thì chỉ định rằng các yêu cầu TLS đến trải nghiệm New Edge sẽ bị chấm dứt trên một trình cân bằng tải và sau đó trình cân bằng tải sẽ chuyển tiếp yêu cầu đến trải nghiệm New Edge bằng HTTP.

Nếu bạn chấm dứt TLS trên trình cân bằng tải, thì trải nghiệm Edge mới vẫn cần biết rằng yêu cầu ban đầu được gửi qua TLS. Ví dụ: một số cookie có đặt cờ Secure.

Bạn phải đặt MANAGEMENT_UI_SCHEME thành "https", nếu không thì MANAGEMENT_UI_TLS_OFFLOAD sẽ bị bỏ qua:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 		Có
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

Nếu MANAGEMENT_UI_TLS_OFFLOAD=n, hãy chỉ định đường dẫn tuyệt đối đến khoá TLS và tệp chứng chỉ. Các tệp phải được định dạng dưới dạng tệp PEM không có cụm mật khẩu và phải thuộc quyền sở hữu của người dùng "apigee".

Vị trí đề xuất cho các tệp này là: 

/opt/apigee/customer/application/edge-management-ui

Nếu thư mục đó không tồn tại, hãy tạo thư mục đó.

Nếu MANAGEMENT_UI_TLS_OFFLOAD=y, hãy bỏ qua MANAGEMENT_UI_TLS_KEY_FILE và MANAGEMENT_UI_TLS_CERT_FILE.. Các thuộc tính này sẽ bị bỏ qua vì các yêu cầu đến trải nghiệm Edge mới được gửi qua HTTP.

 Có nếu MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Nếu MANAGEMENT_UI_TLS_OFFLOAD=n, hãy chỉ định URL của trải nghiệm Edge mới.

Đặt thuộc tính này dựa trên các thuộc tính khác trong tệp cấu hình. Ví dụ:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Trong trường hợp:

  • MANAGEMENT_UI_SCHEME chỉ định giao thức, "http" hoặc "https", như mô tả ở trên.
  • MANAGEMENT_UI_IP chỉ định địa chỉ IP hoặc tên DNS của New Edge.
  • MANAGEMENT_UI_PORT chỉ định cổng mà trải nghiệm Edge mới sử dụng.

Hãy xem phần Cài đặt trải nghiệm Edge mới để biết thêm thông tin về các thuộc tính này.

Nếu MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP chỉ định địa chỉ IP hoặc tên DNS của bộ cân bằng tải, chứ không phải của New Edge experience.
  • Bộ cân bằng tải và UE mới phải sử dụng cùng một số cổng cho các yêu cầu, ví dụ: 3001. Sử dụng MANAGEMENT_UI_PORT để chỉ định số cổng trên trình cân bằng tải và trên UE mới.

Có
SHOEHORN_SCHEME

Trước khi cài đặt trải nghiệm Edge mới, trước tiên, bạn phải cài đặt giao diện người dùng Edge cơ bản, được gọi là shoehorn. Tệp cấu hình cài đặt sử dụng thuộc tính sau để chỉ định giao thức "http" dùng để truy cập vào giao diện người dùng Edge cơ sở:

SHOEHORN_SCHEME=http

Giao diện người dùng Edge cơ bản không hỗ trợ TLS, vì vậy, ngay cả khi bạn bật TLS trên trải nghiệm Edge mới, thuộc tính này vẫn phải được đặt thành "http".

 Có và đặt thành "http"

Định cấu hình TLS

Cách định cấu hình quyền truy cập TLS vào trải nghiệm New Edge:

  1. Tạo chứng chỉ và khoá TLS dưới dạng tệp PEM không có cụm mật khẩu. Ví dụ:

    mykey.pem
mycert.pem

    Có nhiều cách để tạo chứng chỉ và khoá TLS. Ví dụ: bạn có thể thực thi lệnh sau để tạo chứng chỉ và khoá chưa ký:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Sao chép tệp khoá và tệp chứng chỉ vào thư mục /opt/apigee/customer/application/edge-management-ui. Nếu thư mục đó không tồn tại, hãy tạo thư mục đó.

  3. Đảm bảo rằng chứng chỉ và khoá thuộc sở hữu của người dùng "apigee":

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Chỉnh sửa tệp cấu hình mà bạn đã dùng để cài đặt trải nghiệm Edge mới nhằm đặt các thuộc tính TLS sau:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. Thực thi lệnh sau để định cấu hình TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Trong đó configFile là tên của tệp cấu hình.

    Tập lệnh này sẽ khởi động lại phiên bản Edge mới.

  6. Chạy các lệnh sau để thiết lập và khởi động lại shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Sau khi khởi động lại, trải nghiệm Edge mới sẽ hỗ trợ quyền truy cập qua HTTPS. Nếu bạn không thể đăng nhập vào trải nghiệm Edge mới sau khi bật TLS, hãy xoá bộ nhớ đệm của trình duyệt rồi thử đăng nhập lại.

Định cấu hình trải nghiệm New Edge khi TLS kết thúc trên trình cân bằng tải

Nếu có một trình cân bằng tải chuyển tiếp các yêu cầu đến trải nghiệm Edge mới, bạn có thể chọn chấm dứt kết nối TLS trên trình cân bằng tải, sau đó yêu cầu trình cân bằng tải chuyển tiếp các yêu cầu đến trải nghiệm Edge mới qua HTTP:

Chấm dứt TLS trên trình cân bằng tải

Cấu hình này được hỗ trợ nhưng bạn cần định cấu hình trình cân bằng tải và trải nghiệm New Edge cho phù hợp.

Cách định cấu hình trải nghiệm Edge mới khi TLS kết thúc trên trình cân bằng tải:

  1. Chỉnh sửa tệp cấu hình mà bạn đã dùng để cài đặt trải nghiệm New Edge nhằm đặt các thuộc tính TLS sau:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge experience.
# The load balancer and the New Edge experience must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    Nếu bạn đặt MANAGEMENT_UI_TLS_OFFLOAD=y, hãy bỏ qua MANAGEMENT_UI_TLS_KEY_FILE và MANAGEMENT_UI_TLS_CERT_FILE.. Các giá trị này sẽ bị bỏ qua vì các yêu cầu đến trải nghiệm New Edge được gửi qua HTTP.

  2. Thực thi lệnh sau để định cấu hình TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Trong đó configFile là tên của tệp cấu hình.

    Tập lệnh này sẽ khởi động lại phiên bản Edge mới.

  3. Chạy các lệnh sau để thiết lập và khởi động lại shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Sau khi khởi động lại, trải nghiệm Edge mới sẽ hỗ trợ quyền truy cập qua HTTPS. Nếu bạn không thể đăng nhập vào trải nghiệm Edge mới sau khi bật TLS, hãy xoá bộ nhớ đệm của trình duyệt rồi thử đăng nhập lại.

Tắt TLS trên trải nghiệm Edge mới

Cách tắt TLS trên trải nghiệm Edge mới:

  1. Chỉnh sửa tệp cấu hình mà bạn đã dùng để cài đặt trải nghiệm Edge mới nhằm đặt thuộc tính TLS sau:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge experience.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. Thực thi lệnh sau để tắt TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Trong đó configFile là tên của tệp cấu hình.

    Tập lệnh này sẽ khởi động lại phiên bản Edge mới.

  3. Chạy các lệnh sau để thiết lập và khởi động lại shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Giờ đây, bạn có thể truy cập vào trải nghiệm Edge mới qua HTTP. Nếu bạn không thể đăng nhập vào trải nghiệm Edge mới sau khi tắt TLS, hãy xoá bộ nhớ đệm của trình duyệt rồi thử đăng nhập lại.