Configura TLS para la nueva experiencia de Edge

Edge for Private Cloud v4.19.01

De forma predeterminada, accedes a la Nueva experiencia de Edge. a través de HTTP con la dirección IP o el nombre de DNS del nodo de la nueva experiencia perimetral y el puerto 3001. Por ejemplo:

http://newue_IP:3001

Como alternativa, puedes configurar el acceso TLS a la nueva experiencia de Edge para que puedes acceder a él del siguiente formato:

https://newue_IP:3001

Requisitos de TLS

La nueva experiencia de Edge solo es compatible con TLS v1.2. Si habilitas TLS en la nueva experiencia de Edge, Los usuarios deben conectarse a la nueva experiencia de Edge usando un navegador compatible con TLS v1.2.

Propiedades de configuración de TLS

Ejecuta el siguiente comando a fin de configurar TLS para la nueva experiencia de Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

En el que configFile es el archivo de configuración que usaste para instalar el Nueva experiencia de Edge.

Antes de ejecutar este comando, debes editar el archivo de configuración para establecer las propiedades necesarias que controlan TLS. En la siguiente tabla, se describen las Propiedades que usas para configurar TLS en la nueva experiencia de Edge:

Propiedad Descripción ¿Obligatorio?
MANAGEMENT_UI_SCHEME

Establece el protocolo, "http". o “https”, que se usan para acceder a la nueva experiencia perimetral. El valor predeterminado es "http". Establécelo en "https". Para habilitar TLS, haz lo siguiente:

MANAGEMENT_UI_SCHEME=https
 Sí
MANAGEMENT_UI_TLS_OFFLOAD

Si es “n”, especifica que las solicitudes de TLS a la nueva experiencia de Edge se finalizan en la experiencia New Edge. Debes configurar MANAGEMENT_UI_TLS_KEY_FILE y MANAGEMENT_UI_TLS_CERT_FILE..

Si es “y”, especifica que las solicitudes de TLS a la nueva experiencia de Edge se finalizan el un balanceador de cargas y que este reenvíe la solicitud a la nueva experiencia perimetral con HTTP.

Si finalizas TLS en el balanceador de cargas, la experiencia nueva de Edge aún necesita ten en cuenta que la solicitud original llegó a través de TLS. Por ejemplo, algunas cookies tienen establecida una marca Secure.

Debes configurar MANAGEMENT_UI_SCHEME como "https". De lo contrario, se ignorará MANAGEMENT_UI_TLS_OFFLOAD:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 Sí
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

Si es MANAGEMENT_UI_TLS_OFFLOAD=n, especifica la ruta de acceso absoluta. a la clave TLS y a los archivos de certificación. Los archivos deben tener el formato PEM con frase de contraseña y debe ser propiedad de la API de “Apigee” usuario.

La ubicación recomendada para estos archivos es la siguiente: 

/opt/apigee/customer/application/edge-management-ui

Si ese directorio no existe, créalo.

Si es MANAGEMENT_UI_TLS_OFFLOAD=y, omite MANAGEMENT_UI_TLS_KEY_FILE. y MANAGEMENT_UI_TLS_CERT_FILE. Se ignoran porque las solicitudes al La nueva experiencia de Edge llega a través de HTTP.

 Sí, si MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Si es MANAGEMENT_UI_TLS_OFFLOAD=n, especifica la URL de la nueva experiencia perimetral.

Configura esta propiedad en función de otras propiedades del archivo de configuración. Por ejemplo:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Aquí:

  • MANAGEMENT_UI_SCHEME especifica el protocolo "http". o "https", como se describió anteriormente.
  • MANAGEMENT_UI_IP especifica la dirección IP o el nombre de DNS de la nueva experiencia perimetral.
  • MANAGEMENT_UI_PORT especifica el puerto que usa la experiencia nueva de Edge.

Consulta Instala la nueva experiencia de Edge. para obtener más información sobre estas propiedades.

Si es MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP especifica la dirección IP o el nombre de DNS del balanceador de cargas. no es parte de la nueva experiencia de Edge.
  • El balanceador de cargas y el nuevo UE deben usar el mismo número de puerto para las solicitudes, por ejemplo, 3001. Usa MANAGEMENT_UI_PORT para especificar el número de puerto en el balanceador de cargas y en el nuevo UE.

Sí
SHOEHORN_SCHEME

Antes de instalar la nueva experiencia de Edge, haz lo siguiente: Primero, instales la IU básica de Edge, llamada shoehorn. El archivo de configuración de instalación usa la siguiente propiedad a fin de especificar el protocolo, “http”, que se usa para acceder a la IU base de Edge:

SHOEHORN_SCHEME=http

La IU básica de Edge no admite TLS. Por lo tanto, incluso cuando habilites TLS en la nueva experiencia de Edge, esta propiedad se debe configurar como "http".

 Sí, y se configuró como "http"

Configura TLS

Para configurar el acceso de TLS a la nueva experiencia de Edge, sigue estos pasos:

  1. Genera el certificado y la clave TLS como archivos PEM sin frase de contraseña. Por ejemplo:

    mykey.pem
mycert.pem

    Existen muchas formas de generar un certificado y una clave TLS. Por ejemplo, puedes ejecutar el siguiente comando: para generar un certificado y una clave sin firmar:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Copia los archivos de clave y certificado en el directorio /opt/apigee/customer/application/edge-management-ui. Si ese directorio no existe, créalo.

  3. Asegúrate de que el certificado y la clave sean propiedad de “apigee” usuario:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Edita el archivo de configuración que usaste para instalar la nueva experiencia de Edge establece las siguientes propiedades de TLS:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. Ejecuta el siguiente comando para configurar TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    En el ejemplo anterior, configFile es el nombre del archivo de configuración.

    La secuencia de comandos reinicia la nueva experiencia de Edge.

  6. Ejecuta los siguientes comandos para configurar y reiniciar shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Después del reinicio, la experiencia nueva de Edge admite el acceso a través de HTTPS. Si no puedes acceder a la experiencia New Edge después de habilitar TLS, borra las en la caché del navegador e intenta acceder nuevamente.

Configurar la nueva experiencia de Edge cuando TLS finalice en el balanceador de cargas

Si tienes un balanceador de cargas que reenvía solicitudes a la nueva experiencia de Edge, podrías elegir finalizar la conexión TLS en el balanceador de cargas y, luego, solicitar El balanceador de cargas reenvía las solicitudes a la nueva experiencia de Edge a través de HTTP:

Finaliza TLS en el balanceador de cargas

Se admite esta configuración pero debes configurar el balanceador de cargas y la experiencia nueva de Edge según corresponda.

Para configurar la experiencia nueva de Edge cuando TLS finaliza en el balanceador de cargas, haz lo siguiente:

  1. Edita el archivo de configuración que usaste para instalar la nueva experiencia de Edge establece las siguientes propiedades de TLS:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge experience.
# The load balancer and the New Edge experience must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    Si configuras MANAGEMENT_UI_TLS_OFFLOAD=y, omite MANAGEMENT_UI_TLS_KEY_FILE. y MANAGEMENT_UI_TLS_CERT_FILE. Se ignoran porque las solicitudes a la nueva experiencia perimetral vienen a través de HTTP.

  2. Ejecuta el siguiente comando para configurar TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    En el ejemplo anterior, configFile es el nombre del archivo de configuración.

    La secuencia de comandos reinicia la nueva experiencia de Edge.

  3. Ejecuta los siguientes comandos para configurar y reiniciar shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Después del reinicio, la experiencia nueva de Edge admite el acceso a través de HTTPS. Si no puedes acceder a la experiencia New Edge después de habilitar TLS, borra las en la caché del navegador e intenta acceder nuevamente.

Inhabilita TLS en la nueva experiencia de Edge

Para inhabilitar TLS en la nueva experiencia de Edge, sigue estos pasos:

  1. Edita el archivo de configuración que usaste para instalar la nueva experiencia de Edge para establecer la siguiente propiedad de TLS:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge experience.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. Ejecuta el siguiente comando para inhabilitar TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    En el ejemplo anterior, configFile es el nombre del archivo de configuración.

    La secuencia de comandos reinicia la nueva experiencia de Edge.

  3. Ejecuta los siguientes comandos para configurar y reiniciar shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Ahora puedes acceder a la nueva experiencia de Edge a través de HTTP. Si no puedes acceder a la nueva experiencia de Edge luego de inhabilitar TLS, borra en la caché del navegador e intenta acceder nuevamente.