Konfigurowanie protokołu TLS w nowej wersji Edge

Edge for Private Cloud w wersji 4.19.01

Domyślnie masz dostęp do nowej wersji Edge. przez HTTP przy użyciu adresu IP lub nazwy DNS węzła nowego Edge i portu 3001. Na przykład:

http://newue_IP:3001

Możesz też skonfigurować dostęp TLS do środowiska New Edge, znajdziesz go w formularzu:

https://newue_IP:3001

Wymagania dotyczące TLS

Nowa wersja Edge obsługuje tylko protokół TLS 1.2. Jeśli włączysz protokół TLS w nowej wersji Edge, użytkownicy muszą połączyć się z nową wersją Edge przy użyciu przeglądarki zgodnej z TLS w wersji 1.2.

Właściwości konfiguracji TLS

Wykonaj to polecenie, aby skonfigurować TLS w nowej wersji Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Gdzie configFile to plik konfiguracyjny użyty do zainstalowania Nowa wersja Edge.

Zanim wykonasz to polecenie, zmodyfikuj plik konfiguracji tak, aby właściwości, które kontrolują protokół TLS. W tej tabeli opisano właściwości używanych do konfigurowania TLS w nowej wersji Edge:

Właściwość Opis Wymagana?
MANAGEMENT_UI_SCHEME

Ustawia protokół „http” lub „https” – potrzebne do korzystania z nowej wersji Edge. Wartość domyślna to „http”. Ustaw na „https”. aby włączyć TLS:

MANAGEMENT_UI_SCHEME=https
 Tak
MANAGEMENT_UI_TLS_OFFLOAD

Jeśli „n”, oznacza, że żądania TLS wysyłane do nowej wersji Edge są zamykane. w New Edge. Musisz ustawić MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE.

Jeśli wartość „y”, oznacza, że żądania TLS wysyłane do nowej wersji Edge są kończone system równoważenia obciążenia, który następnie przekaże żądanie do nowej wersji Edge za pomocą protokołu HTTP.

Jeśli wyłączysz protokół TLS w systemie równoważenia obciążenia, nowa wersja Edge nadal będzie musiała wykonać pamiętaj, że pierwotne żądanie zostało przesłane przy użyciu protokołu TLS. Na przykład niektóre pliki cookie mają ustawioną flagę Secure.

Musisz ustawić adres MANAGEMENT_UI_SCHEME na „https” albo wartość MANAGEMENT_UI_TLS_OFFLOAD jest ignorowana:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 Tak
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=n, określa ścieżkę bezwzględną do klucza TLS i plików certyfikatu. Pliki muszą być sformatowane jako pliki PEM z brak hasła i musi należeć do „apigee” użytkownika.

Zalecana lokalizacja tego pliku: 

/opt/apigee/customer/application/edge-management-ui

Jeśli ten katalog nie istnieje, utwórz go.

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=y, pomiń MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE. Są ignorowane, ponieważ żądania wysyłane do Nowa przeglądarka Edge jest udostępniana przez HTTP.

 Tak, jeśli MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=n, określa adres URL nowej krawędzi.

Ustaw tę właściwość na podstawie innych właściwości w pliku konfiguracji. Na przykład:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Gdzie:

  • MANAGEMENT_UI_SCHEME określa protokół, „http” lub „https”, jak opisano powyżej.
  • MANAGEMENT_UI_IP określa adres IP lub nazwę DNS nowego interfejsu Edge.
  • MANAGEMENT_UI_PORT określa port używany przez interfejs New Edge.

Zobacz Instalowanie nowej wersji Edge .

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP określa adres IP lub nazwę DNS systemu równoważenia obciążenia, nie w nowej wersji Edge.
  • System równoważenia obciążenia i nowy UE muszą używać w przypadku żądań tego samego numeru portu, na przykład 3001. Użyj MANAGEMENT_UI_PORT, aby określić numer portu w systemie równoważenia obciążenia i w nowym interfejsie UE.

Tak
SHOEHORN_SCHEME

Zanim zainstalujesz nową wersję Edge, najpierw instalujesz podstawowy interfejs Edge o nazwie shoehorn. Plik konfiguracji instalacji używa parametru tę właściwość, która określa protokół „http” używany do uzyskiwania dostępu do podstawowego interfejsu użytkownika Edge:

SHOEHORN_SCHEME=http

Podstawowy interfejs Edge nie obsługuje TLS, dlatego nawet po włączeniu protokołu TLS w nowej przeglądarce Edge ta właściwość nadal musi mieć ustawienie „http”.

 Tak i ustaw na „http”

Konfigurowanie TLS

Aby skonfigurować dostęp TLS do nowej wersji Edge:

  1. Wygeneruj certyfikat i klucz TLS jako pliki PEM bez hasła. Na przykład:

    mykey.pem
mycert.pem

    Certyfikat i klucz TLS można wygenerować na wiele sposobów. Możesz na przykład wykonać to polecenie w celu wygenerowania niepodpisanego certyfikatu i klucza:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Skopiuj plik z kluczem i certyfikatem do katalogu /opt/apigee/customer/application/edge-management-ui. Jeśli ten katalog nie istnieje, utwórz go.

  3. Sprawdź, czy certyfikat i klucz należą do „apigee” użytkownik:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Edytuj plik konfiguracyjny użyty do zainstalowania nowej wersji Edge ustaw te właściwości TLS:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. Aby skonfigurować TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Gdzie configFile to nazwa pliku konfiguracyjnego.

    Skrypt uruchomi się ponownie w nowej wersji Edge.

  6. Uruchom następujące polecenia, aby skonfigurować i ponownie uruchomić aplikację

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Po ponownym uruchomieniu nowa wersja Edge obsługuje dostęp przez HTTPS. Jeśli po włączeniu protokołu TLS nie możesz zalogować się w nowej wersji Edge, wyczyść pamięci podręcznej przeglądarki i spróbuj zalogować się ponownie.

Konfigurowanie nowej wersji Edge po zakończeniu działania protokołu TLS w systemie równoważenia obciążenia

Jeśli masz system równoważenia obciążenia, który przekazuje żądania do nowej wersji Edge, zakończyć połączenie TLS w systemie równoważenia obciążenia, a następnie Przekierowanie przez system równoważenia obciążenia żądań do nowej wersji Edge przez HTTP:

Zakończ TLS w systemie równoważenia obciążenia

Ta konfiguracja jest obsługiwana ale musisz odpowiednio skonfigurować system równoważenia obciążenia oraz środowisko New Edge.

Aby skonfigurować nowe środowisko Edge przy zamykaniu protokołu TLS w systemie równoważenia obciążenia:

  1. Edytuj plik konfiguracyjny użyty do zainstalowania nowej wersji Edge ustaw te właściwości TLS:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge experience.
# The load balancer and the New Edge experience must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    Jeśli ustawisz MANAGEMENT_UI_TLS_OFFLOAD=y, pomiń MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE. Są ignorowane, ponieważ żądania wysyłane do nowej wersji Edge przychodzą przez HTTP.

  2. Aby skonfigurować TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Gdzie configFile to nazwa pliku konfiguracyjnego.

    Skrypt uruchomi się ponownie w nowej wersji Edge.

  3. Uruchom następujące polecenia, aby skonfigurować i ponownie uruchomić aplikację

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Po ponownym uruchomieniu nowa wersja Edge obsługuje dostęp przez HTTPS. Jeśli po włączeniu protokołu TLS nie możesz zalogować się w nowej wersji Edge, wyczyść pamięci podręcznej przeglądarki i spróbuj zalogować się ponownie.

Wyłączanie TLS w nowej wersji Edge

Aby wyłączyć protokół TLS w nowej wersji Edge:

  1. Edytuj plik konfiguracyjny użyty do zainstalowania interfejsu New Edge, aby ustawić tę właściwość TLS:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge experience.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. Aby wyłączyć protokół TLS, wykonaj to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Gdzie configFile to nazwa pliku konfiguracyjnego.

    Skrypt uruchomi się ponownie w nowej wersji Edge.

  3. Uruchom następujące polecenia, aby skonfigurować i ponownie uruchomić aplikację

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Teraz możesz korzystać z nowej wersji Edge przez HTTP. Jeśli po wyłączeniu TLS nie możesz zalogować się w nowej wersji Edge, wyczyść pamięci podręcznej przeglądarki i spróbuj zalogować się ponownie.