安装 Edge SSO 以实现高可用性

Edge for Private Cloud v4.19.01

在以下两种情况下，您需要安装多个 Edge SSO 实例以实现高可用性：

  • 在单个数据中心环境中，安装两个 Edge SSO 实例以创建高可用性环境，这意味着如果其中一个 Edge SSO 模块发生故障，系统会继续运行。
  • 在具有两个数据中心的环境中，请在两个数据中心内都安装 Edge SSO，以便在一个 Edge SSO 模块发生故障时系统仍能继续运行。

在同一数据中心内安装两个 Edge SSO 模块

您可以在单个数据中心的不同节点上部署两个 Edge SSO 实例，以支持高可用性。在这种情况下：

  • Edge SSO 的两个实例都必须连接到同一 Postgres 服务器。Apigee 建议为 Edge SSO 使用专用 Postgres 服务器，而不是与 Edge 一起安装的 Postgres 服务器。
  • Edge SSO 的两个实例都必须使用配置文件中的 SSO_JWT_SIGNING_KEY_FILEPATH 和 SSO_JWT_VERIFICATION_KEY_FILEPATH 属性指定的同一 JWT 密钥对。如需详细了解如何设置这些属性，请参阅安装和配置 Edge SSO。
  • 您需要在 Edge SSO 的两个实例前面放置一个负载均衡器：
    • 负载均衡器必须支持应用生成的 Cookie 粘性，并且会话 Cookie 必须命名为 JSESSIONID。
    • 将负载均衡器配置为对 Edge SSO 执行 TCP 或 HTTP 健康检查。对于 TCP，请使用 Edge SSO 的网址： 
      http_or_https://edge_sso_IP_DNS:9099

      指定 Edge SSO 设置的端口。默认端口为 9099。

      对于 HTTP，请添加 /healthz：

      http_or_https://edge_sso_IP_DNS:9099/healthz
    • 某些负载均衡器设置取决于您是否在 Edge SSO 上启用了 HTTPS。如需了解详情，请参阅以下部分。

对 Edge SSO 的 HTTP 访问

如果您使用 HTTP 访问 Edge SSO，请将负载均衡器配置为：

  • 使用 HTTP 模式连接到 Edge SSO。

  • 监听与 Edge SSO 相同的端口。

    默认情况下，Edge SSO 会在端口 9099 上监听 HTTP 请求。（可选）您可以使用 SSO_TOMCAT_PORT 设置 Edge SSO 端口。如果您使用 SSO_TOMCAT_PORT 将 Edge SSO 端口从默认端口更改为其他端口，请确保负载均衡器监听该端口。

例如，在每个 Edge SSO 实例上，您可以通过在配置文件中添加以下内容，将端口设置为 9033：

SSO_TOMCAT_PORT=9033

然后，您将负载均衡器配置为监听端口 9033，并将请求转发到端口 9033 上的 Edge SSO 实例。在此场景中，Edge SSO 的公开网址为：

http://LB_DNS_NAME:9033

对 Edge SSO 的 HTTPS 访问

您可以将 Edge SSO 实例配置为使用 HTTPS。在这种情况下，请按照为 HTTPS 访问配置 apigee-sso 中的步骤操作。在启用 HTTPS 的过程中，您需要在 Edge SSO 配置文件中设置 SSO_TOMCAT_PROFILE，如下所示：

SSO_TOMCAT_PROFILE=SSL_TERMINATION

您还可以选择设置 Edge SSO 用于 HTTPS 访问的端口：

SSO_TOMCAT_PORT=9443

然后，将负载均衡器配置为：

  • 使用 TCP 模式（而非 HTTP 模式）连接到 Edge SSO。
  • 监听与 Edge SSO 相同的端口（由 SSO_TOMCAT_PORT 定义）。

然后，您需要将负载均衡器配置为将请求转发到端口 9433 上的 Edge SSO 实例。在此场景中，Edge SSO 的公开网址为：

https://LB_DNS_NAME:9443

在多个数据中心安装 Edge SSO

在多数据中心环境中，您需要在每个数据中心安装一个 Edge SSO 实例。然后，一个 Edge SSO 实例会处理所有流量。如果该 Edge SSO 实例发生故障，您可以切换到第二个 Edge SSO 实例。

在两个数据中心安装 Edge SSO 之前，您需要满足以下条件：

  • 主 Postgres 服务器的 IP 地址或域名。

    在多数据中心环境中，您通常会在每个数据中心安装一个 Postgres 服务器，并将其配置为“主-备”复制模式。在此示例中，数据中心 1 包含主 Postgres 服务器，数据中心 2 包含备用服务器。如需了解详情，请参阅为 Postgres 设置主备复制。

  • 指向一个 Edge SSO 实例的单个 DNS 条目。例如，您在以下表单中创建一个 DNS 条目，该条目指向数据中心 1 中的 Edge SSO 实例：
    my-sso.domain.com => apigee-sso-dc1-ip-or-lb
  • Edge SSO 的两个实例都必须使用配置文件中的 SSO_JWT_SIGNING_KEY_FILEPATH 和 SSO_JWT_VERIFICATION_KEY_FILEPATH 属性指定的同一 JWT 密钥对。如需详细了解如何设置这些属性，请参阅安装和配置 Edge SSO。

在每个数据中心安装 Edge SSO 时，您需要将两者都配置为使用数据中心 1 中的 Postgres 主节点：

## Postgres configuration
PG_HOST=IP_or_DNS_of_PG_Master_in_DC1
PG_PORT=5432

您还需要将两个数据中心配置为使用 DNS 条目作为可公开访问的网址：

# Externally accessible URL of Edge SSO
SSO_PUBLIC_URL_HOSTNAME=my-sso.domain.com
# Default port is 9099.
SSO_PUBLIC_URL_PORT=9099

如果数据中心 1 中的 Edge SSO 发生故障，您可以切换到数据中心 2 中的 Edge SSO 实例：

  1. 按照处理 PostgreSQL 数据库故障切换中的说明，将数据中心 2 中的 Postgres 备用服务器转换为主服务器。
  2. 更新 DNS 记录，以将 my-sso.domain.com 指向数据中心 2 中的 Edge SSO 实例： 
    my-sso.domain.com => apigee-sso-dc2-ip-or-lb
  3. 更新数据中心 2 中 Edge SSO 的配置文件，使其指向数据中心 2 中的新 Postgres 主服务器： 
    ## Postgres configuration
PG_HOST=IP_or_DNS_of_PG_Master_in_DC2
  4. 在数据中心 2 中重启 Edge SSO 以更新其配置： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso restart