Edge TOA hizmetini yükleme ve yapılandırma

Edge for Private Cloud 4.19.01 sürümü

Edge TOA modülünü yükleyip yapılandırmak için önce iki TLS anahtarı ve sertifikası grubu oluşturmanız gerekir. Edge TOA modülü, SAML IDP ile SAML el sıkışma sürecinin bir parçası olarak bilgi aktarımının güvenliğini sağlamak için TLS kullanır.

TLS anahtarlarını ve sertifikalarını oluşturma

Aşağıdaki adımlarda, test ortamınız için uygun olabilecek, kendinden imzalı sertifikalar oluşturulur ancak üretim ortamı için genellikle bir CA tarafından imzalanmış sertifikalar gerekir.

Doğrulama ve imzalama anahtarı ile kendinden imzalı sertifika oluşturmak için:

  1. sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys
  2. cd /opt/apigee/customer/application/apigee-sso/jwt-keys/
  3. sudo openssl genrsa -out privkey.pem 2048
  4. sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
  5. sudo chown apigee:apigee *.pem

SAML IdP ile iletişim kurmak için parola içermeyen anahtarı ve kendinden imzalı sertifikayı oluşturmak üzere:

  1. sudo mkdir -p /opt/apigee/customer/application/apigee-sso/saml/
  2. cd /opt/apigee/customer/application/apigee-sso/saml/
  3. Özel anahtarınızı bir parola ile oluşturun: 
    sudo openssl genrsa -aes256 -out server.key 1024
  4. Anahtardan parolayı kaldırın:
    sudo openssl rsa -in server.key -out server.key
  5. CA için sertifika imzalama isteği oluşturun: 
    sudo openssl req -x509 -sha256 -new -key server.key -out server.csr
  6. 365 gün geçerlilik süresi olan kendinden imzalı sertifika oluşturun: 
    sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt
     
  7. sudo chown apigee:apigee server.key
  8. sudo chown apigee:apigee selfsigned.crt

SSO_TOMCAT_PROFILE değerini SSL_TERMINATION veya SSL_PROXY olarak ayarlayarak Edge TOA modülünde TLS'yi etkinleştirmek istiyorsanız kendinden imzalı bir sertifika kullanamazsınız. Bir CA'dan sertifika oluşturmanız gerekir. Daha fazla bilgi için HTTPS erişimi için apigee-sso'yu yapılandırma başlıklı makaleyi inceleyin.

HTTP erişimi için Edge TOA'yı yükleme ve yapılandırma

Edge TOA modülünü (apigee-sso) yüklemek için Edge'i yüklerken kullandığınız işlemi kullanmanız gerekir. apigee-sso bir RPM dosyasıyla temsil edildiğinden, yükleme işlemini gerçekleştiren kullanıcının kök kullanıcı olması veya tam sudo erişimine sahip bir kullanıcı olması gerekir. Daha fazla bilgi için Edge Kurulumuna Genel Bakış bölümünü inceleyin.

Yükleyiciye bir yapılandırma dosyası iletin. Yapılandırma dosyası aşağıdaki biçimdedir:

IP1=hostname_or_ip_of_management_server
IP2=hostname_or_ip_of_UI_and_apigge_sso

## Management Server configuration.
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http. 
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
PG_USER=apigee
PG_PWD=postgres

# apigee-sso configuration.
SSO_PROFILE="saml"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from "Create the TLS keys and certificates" above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed to user when they attempt to access Edge UI.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL, 
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Specifies to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL. Necessary if URL uses a self-signed cert. 
# Default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# SAML service provider key and cert from "Create the TLS keys and certificates" above.
SSO_SAML_SERVICE_PROVIDER_KEY=/opt/apigee/customer/application/apigee-sso/saml/server.key
SSO_SAML_SERVICE_PROVIDER_CERTIFICATE=/opt/apigee/customer/application/apigee-sso/saml/selfsigned.crt
# The passphrase used when you created the SAML cert and key.
# The section "Create the TLS keys and certificates" above removes the passphrase,
# but this property is available if you require a passphrase.
# SSO_SAML_SERVICE_PROVIDER_PASSWORD=samlSP123

# Requires that SAML responses be signed by your IDP.
SSO_SAML_SIGNED_ASSERTIONS=y

# Must configure an SMTP server so Edge SSO can send emails to users.
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
SMTPMAILFROM="My Company <myco@company.com>"

Edge TOA modülünü yüklemek için:

  1. Yönetim Sunucusu düğümüne giriş yapın. Bu düğümde, Edge apigee-setup yardımcı programını yükleme bölümünde açıklandığı gibi apigee-service zaten yüklü olmalıdır.

    Edge TOA'yı farklı bir düğüme yükleyebileceğinizi unutmayın. Ancak bu düğümün, 8080 numaralı bağlantı noktası üzerinden yönetim sunucusuna erişebilmesi gerekir.

  2. apigee-sso uygulamasını yükleyip yapılandırma: 
    /opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile

    configFile, yukarıda gösterilen yapılandırma dosyasıdır.

  3. apigee-sso modülü için yönetici ve makine kullanıcılarını yönetmek amacıyla kullanılan apigee-ssoadminapi.sh yardımcı programını yükleyin: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
  4. Kabuktan çıkış yapın ve ardından apigee-ssoadminapi.sh yardımcı programını yolunuza eklemek için tekrar giriş yapın.

URL yerine meta veri dosyası belirtme

IdP'niz HTTP/HTTPS meta veri URL'sini desteklemiyorsa Edge TOA'yı yapılandırmak için meta veri XML dosyası kullanabilirsiniz:

  1. IDP'nizdeki meta veri XML'sinin içeriğini Edge TOA düğümündeki bir dosyaya kopyalayın. Örneğin, XML'i şuraya kopyalayın: 
    /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
  2. Dosyanın sahipliğini apigee:apigee olarak değiştirin: 
    chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
  3. SSO_SAML_IDP_METADATA_URL değerini mutlak dosya yolu olarak ayarlayın: 
    SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml

    Dosya yolunun önüne "file://" eklemeniz ve ardından kökten (/) mutlak yolu eklemeniz gerekir.