TLS für die neue Edge-Oberfläche konfigurieren

Edge for Private Cloud v4.19.01

Standardmäßig greifen Sie über HTTP auf die neue Edge-Umgebung zu. Verwenden Sie dazu die IP-Adresse oder den DNS-Namen des Knotens der neuen Edge-Umgebung und Port 3001. Beispiel:

http://newue_IP:3001

Alternativ können Sie den TLS-Zugriff auf die neue Edge-Umgebung so konfigurieren, dass Sie in folgendem Format darauf zugreifen können:

https://newue_IP:3001

TLS-Anforderungen

Die neue Edge-Umgebung unterstützt nur TLS v1.2. Wenn Sie TLS in der neuen Edge-Umgebung aktivieren, müssen Nutzer über einen mit TLS v1.2 kompatiblen Browser eine Verbindung zur neuen Edge-Umgebung herstellen.

TLS-Konfigurationsattribute

Führen Sie den folgenden Befehl aus, um TLS für die neue Edge-Umgebung zu konfigurieren:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Dabei ist configFile die Konfigurationsdatei, die Sie für die Installation der neuen Edge-Umgebung verwendet haben.

Bevor Sie diesen Befehl ausführen, müssen Sie die Konfigurationsdatei bearbeiten, um die erforderlichen Attribute für die Steuerung von TLS festzulegen. In der folgenden Tabelle werden die Attribute beschrieben, mit denen Sie TLS für die neue Edge-Umgebung konfigurieren:

Attribut Beschreibung Erforderlich?
MANAGEMENT_UI_SCHEME

Legt das Protokoll („http“ oder „https“) für den Zugriff auf die neue Edge-Umgebung fest. Der Standardwert ist „http“. Legen Sie „https“ fest, um TLS zu aktivieren:

MANAGEMENT_UI_SCHEME=https
 		Ja
MANAGEMENT_UI_TLS_OFFLOAD

Wenn „n“, wird angegeben, dass TLS-Anfragen an die neue Edge-Umgebung in der neuen Edge-Umgebung beendet werden. Sie müssen MANAGEMENT_UI_TLS_KEY_FILE und MANAGEMENT_UI_TLS_CERT_FILE. festlegen.

Wenn „y“, wird angegeben, dass TLS-Anfragen an die neue Edge-Umgebung auf einem Load Balancer beendet werden und der Load Balancer die Anfrage dann über HTTP an die neue Edge-Umgebung weiterleitet.

Wenn Sie TLS auf dem Load Balancer beenden, muss die neue Edge-Umgebung dennoch wissen, dass die ursprüngliche Anfrage über TLS eingegangen ist. Einige Cookies haben beispielsweise ein Secure-Flag.

Sie müssen MANAGEMENT_UI_SCHEME auf „https“ setzen, da MANAGEMENT_UI_TLS_OFFLOAD sonst ignoriert wird:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 		Ja
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

Wenn MANAGEMENT_UI_TLS_OFFLOAD=n, wird der absolute Pfad zu den TLS-Schlüssel- und Zertifikatsdateien angegeben. Die Dateien müssen als PEM-Dateien ohne Passphrase formatiert sein und dem Nutzer „apigee“ gehören.

Der empfohlene Speicherort für diese Dateien ist: 

/opt/apigee/customer/application/edge-management-ui

Wenn dieses Verzeichnis nicht vorhanden ist, erstellen Sie es.

Wenn MANAGEMENT_UI_TLS_OFFLOAD=y, dann lassen Sie MANAGEMENT_UI_TLS_KEY_FILE und MANAGEMENT_UI_TLS_CERT_FILE. weg. Sie werden ignoriert, da Anfragen an die neue Edge-Umgebung über HTTP eingehen.

 Ja, wenn MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Wenn MANAGEMENT_UI_TLS_OFFLOAD=n, wird die URL der neuen Edge-Umgebung angegeben.

Legen Sie dieses Attribut basierend auf anderen Attributen in der Konfigurationsdatei fest. Beispiel:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Wobei:

  • MANAGEMENT_UI_SCHEME gibt das Protokoll an, „http“ oder „https“, wie oben beschrieben.
  • MANAGEMENT_UI_IP gibt die IP-Adresse oder den DNS-Namen der neuen Edge-Umgebung an.
  • MANAGEMENT_UI_PORT gibt den Port an, der von der neuen Edge-Umgebung verwendet wird.

Weitere Informationen zu diesen Attributen finden Sie unter Neue Edge-Umgebung installieren.

Wenn MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP gibt die IP-Adresse oder den DNS-Namen des Load Balancers an, nicht der neuen Edge-Umgebung.
  • Der Load Balancer und die neue UE müssen dieselbe Portnummer für Anfragen verwenden, z. B. 3001. Geben Sie mit MANAGEMENT_UI_PORT die Portnummer auf dem Load Balancer und auf dem neuen UE an.

Ja
SHOEHORN_SCHEME

Bevor Sie die neue Edge-Umgebung installieren, müssen Sie zuerst die grundlegende Edge-Benutzeroberfläche mit dem Namen shoehorn installieren. In der Installationskonfigurationsdatei wird das folgende Attribut verwendet, um das Protokoll „http“ anzugeben, das für den Zugriff auf die grundlegende Edge-Benutzeroberfläche verwendet wird:

SHOEHORN_SCHEME=http

Die grundlegende Edge-Benutzeroberfläche unterstützt TLS nicht. Daher muss dieses Attribut auch dann auf „http“ gesetzt werden, wenn Sie TLS in der neuen Edge-Umgebung aktivieren.

 Ja und auf „http“ festgelegt

TLS konfigurieren

So konfigurieren Sie den TLS-Zugriff auf die neue Edge-Umgebung:

  1. Generieren Sie das TLS-Zertifikat und den Schlüssel als PEM-Dateien ohne Passphrase. Beispiel:

    mykey.pem
mycert.pem

    Es gibt viele Möglichkeiten, ein TLS-Zertifikat und einen Schlüssel zu generieren. Sie können beispielsweise den folgenden Befehl ausführen, um ein unsigniertes Zertifikat und einen unsignierten Schlüssel zu generieren:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Kopieren Sie die Schlüssel- und Zertifikatsdateien in das Verzeichnis /opt/apigee/customer/application/edge-management-ui. Wenn dieses Verzeichnis nicht vorhanden ist, erstellen Sie es.

  3. Achten Sie darauf, dass das Zertifikat und der Schlüssel dem Nutzer „apigee“ gehören:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Bearbeiten Sie die Konfigurationsdatei, die Sie für die Installation der neuen Edge-Umgebung verwendet haben, um die folgenden TLS-Attribute festzulegen:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. Führen Sie den folgenden Befehl aus, um TLS zu konfigurieren:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dabei ist configFile der Name der Konfigurationsdatei.

    Das Script startet die neue Edge-Umgebung neu.

  6. Führen Sie die folgenden Befehle aus, um Shoehorn einzurichten und neu zu starten:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Nach dem Neustart unterstützt die neue Edge-Umgebung den Zugriff über HTTPS. Wenn Sie sich nach dem Aktivieren von TLS nicht in der neuen Edge-Umgebung anmelden können, leeren Sie den Browsercache und versuchen Sie es noch einmal.

Neue Edge-Umgebung konfigurieren, wenn TLS auf dem Load Balancer beendet wird

Wenn Sie einen Load Balancer haben, der Anfragen an die neue Edge-Umgebung weiterleitet, können Sie die TLS-Verbindung auf dem Load Balancer beenden und dann die Anfragen über HTTP an die neue Edge-Umgebung weiterleiten:

TLS auf dem Load Balancer beenden

Diese Konfiguration wird unterstützt, aber Sie müssen den Load Balancer und die neue Edge-Umgebung entsprechend konfigurieren.

So konfigurieren Sie die neue Edge-Umgebung, wenn die TLS-Terminierung auf dem Load Balancer erfolgt:

  1. Bearbeiten Sie die Konfigurationsdatei, die Sie für die Installation der neuen Edge-Umgebung verwendet haben, um die folgenden TLS-Attribute festzulegen:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge experience.
# The load balancer and the New Edge experience must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    Wenn Sie MANAGEMENT_UI_TLS_OFFLOAD=y festlegen, lassen Sie MANAGEMENT_UI_TLS_KEY_FILE und MANAGEMENT_UI_TLS_CERT_FILE. weg. Sie werden ignoriert, da Anfragen an die neue Edge-Umgebung über HTTP eingehen.

  2. Führen Sie den folgenden Befehl aus, um TLS zu konfigurieren:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dabei ist configFile der Name der Konfigurationsdatei.

    Das Script startet die neue Edge-Umgebung neu.

  3. Führen Sie die folgenden Befehle aus, um Shoehorn einzurichten und neu zu starten:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Nach dem Neustart unterstützt die neue Edge-Umgebung den Zugriff über HTTPS. Wenn Sie sich nach dem Aktivieren von TLS nicht in der neuen Edge-Umgebung anmelden können, leeren Sie den Browsercache und versuchen Sie es noch einmal.

TLS in der neuen Edge-Umgebung deaktivieren

So deaktivieren Sie TLS in der neuen Edge-Umgebung:

  1. Bearbeiten Sie die Konfigurationsdatei, die Sie für die Installation der neuen Edge-Umgebung verwendet haben, um das folgende TLS-Attribut festzulegen:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge experience.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. Führen Sie den folgenden Befehl aus, um TLS zu deaktivieren:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dabei ist configFile der Name der Konfigurationsdatei.

    Das Script startet die neue Edge-Umgebung neu.

  3. Führen Sie die folgenden Befehle aus, um Shoehorn einzurichten und neu zu starten:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Sie können jetzt über HTTP auf die neue Edge-Umgebung zugreifen. Wenn Sie sich nach dem Deaktivieren von TLS nicht in der neuen Edge-Umgebung anmelden können, leeren Sie den Browser-Cache und versuchen Sie es noch einmal.