Esta página foi traduzida pela API Cloud Translation.

Configurar o mTLS da Apigee

Edge para nuvem privada v4.19.01

Depois de instalar o componente apigee-mtls em cada nó do cluster, configure e inicialize-o. Para fazer isso, gere um par de certificados/chaves e atualize o arquivo de configuração na máquina de administração. Em seguida, implante os mesmos arquivos gerados em todos os nós no cluster e inicialize o componente local apigee-mtls.

Configurar apigee-mtls (após a instalação inicial)

Nesta seção, descrevemos como configurar o mTLS da Apigee para um único data center imediatamente após a instalação inicial. Para informações sobre como fazer atualizações em uma instalação atual da mTLS da Apigee, consulte Alterar uma configuração de apigee-mtls atual. Para informações sobre como configurar vários data centers, consulte Configurar vários data centers para o mTLS da Apigee.

Este é o processo geral de configuração do apigee-mtls:

Atualize o arquivo de configuração:na máquina de administração, atualize o arquivo para incluir as configurações apigee-mtls.
Instalar o Consul e gerar credenciais: instale o Consul e use-o para gerar as credenciais TLS (apenas uma vez).
Além disso, edite o arquivo de configuração mTLS da Apigee para:
1. Adicionar as informações de credenciais
2. Definir a topologia do cluster
É possível usar suas credenciais existentes ou gerá-las com o Consul.
Distribua o arquivo de configuração e as credenciais:distribua o mesmo par de certificados/chaves gerado e o arquivo de configuração atualizado para todos os nós do cluster.
Inicializar apigee-mtls: inicialize o componente apigee-mtls em cada nó.

Cada uma dessas etapas é descrita nas seções a seguir.

Etapa 1: atualizar o arquivo de configuração

Nesta seção, descrevemos como modificar seu arquivo de configuração para incluir propriedades de configuração mTLS. Para mais informações gerais sobre o arquivo de configuração, consulte Como criar um arquivo de configuração.

Depois de atualizar o arquivo de configuração com as propriedades relacionadas a mTLS, copie-o para todos os nós no cluster antes de inicializar o componente apigee-mtls nesses nós.

Os comandos que fazem referência ao arquivo de configuração usam "config_file" para indicar que o local é variável, dependendo de onde você o armazena em cada nó.

Para atualizar o arquivo de configuração:

Na máquina de administração, abra o arquivo de configuração.

Copie o seguinte conjunto de propriedades de configuração de mTLS e cole no arquivo de configuração:

ALL_IP="ALL_PRIVATE_IPS_IN_CLUSTER"
ZK_MTLS_HOSTS="ZOOKEEPER_PRIVATE_IPS"
CASS_MTLS_HOSTS="CASSANDRA_PRIVATE_IPS"
PG_MTLS_HOSTS="POSTGRES_PRIVATE_IPS"
RT_MTLS_HOSTS="ROUTER_PRIVATE_IPS"
MS_MTLS_HOSTS="MGMT_SERVER_PRIVATE_IPS"
MP_MTLS_HOSTS="MESSAGE_PROCESSOR_PRIVATE_IPS"
QP_MTLS_HOSTS="QPID_PRIVATE_IPS"
LDAP_MTLS_HOSTS="OPENLDAP_PRIVATE_IPS"
MTLS_ENCAPSULATE_LDAP="y"

ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="BASE64_GOSSIP_MESSAGE"
PATH_TO_CA_CERT="PATH/TO/consul-agent-ca.pem"
PATH_TO_CA_KEY="PATH/TO/consul-agent-ca-key.pem"
APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR="NUMBER_OF_DAYS"

Defina o valor de cada propriedade de acordo com sua configuração.

A tabela a seguir descreve essas propriedades de configuração:

Propriedade	Descrição
`ALL_IP`	Uma lista separada por espaço dos endereços IP de host privados de todos os nós no cluster. A ordem dos endereços IP não importa, exceto que ela precisa ser a mesma em todos os arquivos de configuração no cluster. Se você configurar o mTLS da Apigee para vários data centers, liste todos os endereços IP de todos os hosts em todas as regiões.
`LDAP_MTLS_HOSTS`	O endereço IP do host particular do nó OpenLDAP no cluster.
`ZK_MTLS_HOSTS`	Uma lista separada por espaço de endereços IP de hosts particulares em que os nós do ZooKeeper estão hospedados no cluster. Com base nos requisitos, é preciso haver pelo menos três nós do ZooKeeper.
`CASS_MTLS_HOSTS`	Uma lista separada por espaço de endereços IP de hosts particulares em que os servidores do Cassandra estão hospedados no cluster.
`PG_MTLS_HOSTS`	Uma lista separada por espaço de endereços IP de hosts particulares em que os servidores Postgres estão hospedados no cluster.
`RT_MTLS_HOSTS`	Uma lista separada por espaço de endereços IP de hosts particulares em que os roteadores estão hospedados no cluster.
`MTLS_ENCAPSULATE_LDAP`	Criptografa o tráfego LDAP entre o processador de mensagens e o servidor LDAP. Defina como `y`.
`MS_MTLS_HOSTS`	Uma lista separada por espaço de endereços IP de hosts particulares em que os nós do servidor de gerenciamento estão hospedados no cluster.
`MP_MTLS_HOSTS`	Uma lista separada por espaço de endereços IP de hosts particulares em que os processadores de mensagens estão hospedados no cluster.
`QP_MTLS_HOSTS`	Uma lista separada por espaço de endereços IP de host privados em que os servidores Qpid estão hospedados no cluster.
`ENABLE_SIDECAR_PROXY`	Determina se o Cassandra e o Postgres precisam estar cientes da malha de serviço. É necessário definir esse valor como "y".
`ENCRYPT_DATA`	A chave de criptografia codificada em base64 usada pelo Consul . Você gerou essa chave usando o comando `consul keygen` na Etapa 2: instalar o Consul e gerar credenciais. Esse valor precisa ser o mesmo em todos os nós do cluster.
`PATH_TO_CA_CERT`	O local do arquivo de certificado no nó. Você gerou esse arquivo na Etapa 2: instalar o Consul e gerar credenciais. Esse local precisa ser o mesmo em todos os nós no cluster para que os arquivos de configuração sejam iguais. O certificado precisa ser codificado em X509v3.
`PATH_TO_CA_KEY`	O local do arquivo de chave no nó. Você gerou esse arquivo na Etapa 2: instalar o Consul e gerar credenciais. Esse local precisa ser o mesmo em todos os nós no cluster para que os arquivos de configuração sejam iguais. O arquivo de chave precisa ser codificado em X509v3. OBSERVAÇÃO: Se você tiver uma autoridade de certificação (CA, na sigla em inglês) própria estabelecida: use-a para gerar o certificado e a chave, conforme descrito nesta seção. Se você não tiver uma CA: a Apigee recomenda que você instale o Consul e o use para gerar o par de certificados/chaves. Para mais informações, consulte a Etapa 2: instalar o Consul e gerar credenciais.
`APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR`	O número de dias em que um certificado é válido para quando você gera um certificado personalizado. O valor padrão é 365. O valor máximo é de 7.865 dias (cinco anos).

Além das propriedades listadas acima, o mTLS da Apigee usa várias outras propriedades quando você o instala em uma configuração de vários data centers. Para mais informações, acesse Configurar vários data centers.

Defina a propriedade ENABLE_SIDECAR_PROXY como "y".
Atualize os endereços IP nas propriedades relacionadas ao host. Use os endereços IP particulares ao se referir a cada nó, não os endereços IP públicos.
Nas próximas etapas, você vai definir os valores das outras propriedades, como ENCRYPT_DATA, PATH_TO_CA_CERT e PATH_TO_CA_KEY. Você ainda não define os valores.

Ao editar as propriedades de configuração de apigee-mtls, observe o seguinte:
- Todas as propriedades são strings. Você precisa colocar os valores de todas elas entre aspas simples ou duplas.
- Se um valor relacionado ao host tiver mais de um endereço IP particular, separe cada endereço IP com um espaço.
- Use endereços IP particulares, e não nomes de host ou endereços IP públicos, para todas as propriedades relacionadas ao host no arquivo de configuração.
- A ordem dos endereços IP em um valor de propriedade precisa estar na mesma ordem em todos os arquivos de configuração no cluster.
Salve suas alterações no arquivo de configuração.

Etapa 2: instalar o Consul e gerar credenciais

Esta seção descreve como instalar o Consul e gerar credenciais.

Escolha um dos seguintes métodos para gerar credenciais:

Crie sua própria CA usando o Consul, conforme descrito nesta seção (recomendado)
Usar as credenciais de uma AC com a Apigee mTLS (avançado)

Sobre as credenciais

As credenciais consistem no seguinte:

Certificado:o certificado TLS hospedado em cada nó
Chave:a chave pública TLS hospedada em cada nó
Mensagem de fofoca:uma chave de criptografia codificada em base64.

Você gera uma única versão de cada um desses arquivos apenas uma vez. Você copia os arquivos de chave e certificado para todos os nós no cluster e adiciona a chave de criptografia ao arquivo de configuração que também copia para todos os nós.

Para mais informações sobre a implementação de criptografia do Consul, consulte:

Instale o Consul e gere credenciais

Use um binário local do Consul para gerar credenciais que o mTLS da Apigee usa para autenticar comunicações seguras entre os nós no cluster de nuvem privada. Como resultado, você precisa instalar o Consul na sua máquina de administração antes de poder gerar credenciais.

Para instalar o Consul e gerar credenciais mTLS:

Na máquina de administração, faça o download do binário do Consul 1.6.2 no site da HashiCorp (em inglês).
Extraia o conteúdo do arquivo. Por exemplo, extraia o conteúdo para /opt/consul/.
OBSERVAÇÃO: continue com este procedimento para usar o Consul para gerar as credenciais (recomendado).
Se você quiser usar suas credenciais atuais, consulte Integrar certificados personalizados com o mTLS da Apigee (avançado).
Na máquina de administração, crie uma nova autoridade de certificação (CA, na sigla em inglês) executando o seguinte comando:
```
/opt/consul/consul tls ca create
```
O Consul cria os seguintes arquivos, que são um par de certificado/chave:
- consul-agent-ca.pem (certificado)
- consul-agent-ca-key.pem (chave)
Por padrão, os arquivos de certificado e de chave são codificados em X509v3.

Depois você vai copiar esses arquivos para todos os nós do cluster. Por enquanto, você só precisa decidir onde os nós serão colocados. Eles precisam estar no mesmo local em cada nó. Por exemplo, /opt/apigee/.
No arquivo de configuração, defina o valor de PATH_TO_CA_CERT como o local para onde você copiará o arquivo consul-agent-ca.pem no nó. Por exemplo:
```
PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem"
```
Defina o valor de PATH_TO_CA_KEY como o local para onde você copiará o arquivo consul-agent-ca-key.pem no nó. Por exemplo:
```
PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem"
```
Execute o seguinte comando para criar uma chave de criptografia para o Consul:
```
/opt/consul/consul keygen
```
O Consul gera uma string aleatória parecida com esta:
```
QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY=
```
Copie a string e defina-a como o valor da propriedade ENCRYPT_DATA no seu arquivo de configuração. Por exemplo:
```
ENCRYPT_DATA="QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY="
```
OBSERVAÇÃO: o valor acima é um exemplo de chave de criptografia. Ele não é a string que você vai usar. Você precisa gerar o seu próprio.
Salve o arquivo de configuração.

O exemplo a seguir mostra as definições relacionadas a mTLS em um arquivo de configuração (com valores de exemplo):

...
IP1=10.126.0.121
IP2=10.126.0.124
IP3=10.126.0.125
IP4=10.126.0.127
IP5=10.126.0.130
ALL_IP="$IP1 $IP2 $IP3 $IP4 $IP5"
LDAP_MTLS_HOSTS="$IP3"
ZK_MTLS_HOSTS="$IP3 $IP4 $IP5"
CASS_MTLS_HOSTS="$IP3 $IP4 $IP5"
PG_MTLS_HOSTS="$IP2 $IP1"
RT_MTLS_HOSTS="$IP4 $IP5"
MS_MTLS_HOSTS="$IP3"
MP_MTLS_HOSTS="$IP4 $IP5"
QP_MTLS_HOSTS="$IP2 $IP1"
ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY="
PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem"
PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem"
...

Etapa 3: distribuir o arquivo de configuração e as credenciais

Copie os seguintes arquivos para os nós que executam o ZooKeeper usando uma ferramenta como scp:

Arquivo de configuração: copie a versão atualizada desse arquivo e substitua a versão atual em todos os nós, não apenas nos que estão executando o ZooKeeper.
consul-agent-ca.pem::copie para o local especificado como o valor de PATH_TO_CA_CERT no arquivo de configuração.
consul-agent-ca-key.pem::copie para o local especificado como o valor de PATH_TO_CA_KEY no arquivo de configuração.

Verifique se os locais para onde você copia os arquivos de certificado e de chave correspondem aos valores definidos no arquivo de configuração na Etapa 2: instalar o Consul e gerar credenciais.

Etapa 4: inicializar o apigee-mtls

Depois de atualizar o arquivo de configuração, copiá-lo e as credenciais para todos os nós no cluster e instalado apigee-mtls em cada nó, estará pronto para inicializar o componente apigee-mtls em cada nó.

Para inicializar o apigee-mtls:

Faça login em um nó no cluster como o usuário raiz. Você pode executar essas etapas nos nós na ordem que quiser.
Torne o usuário apigee:apigee proprietário do arquivo de configuração atualizado, conforme o exemplo a seguir:
```
chown apigee:apigee config_file
```

Execute este comando para configurar o componente apigee-mtls:

/opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f config_file

(Opcional) Execute o seguinte comando para verificar se a configuração foi bem-sucedida:
```
/opt/apigee/apigee-mtls/lib/actions/iptables.sh validate
```
Inicie a Apigee mTLS executando o seguinte comando:
```
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
```
Depois de instalar o mTLS da Apigee, é necessário iniciar esse componente antes de qualquer outro componente no nó.

(Somente nós do Cassandra) O Cassandra requer argumentos adicionais para funcionar na malha de segurança. Por isso, é preciso executar os seguintes comandos em cada nó do Cassandra:

/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart

(Somente nós do Postgres) O Postgres exige argumentos adicionais para funcionar na malha de segurança. Como resultado, faça o seguinte nos nós do Postgres:
(somente mestre)
1. Execute os seguintes comandos no nó mestre do Postgres:
```
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
```
(Apenas em espera)
1. Faça backup dos seus dados do Postgres. Para instalar o mTLS da Apigee, é necessário reinicializar os nós mestre/de espera para que haja perda de dados. Para mais informações, consulte Configurar a replicação mestre/em espera para o Postgres.
2. Excluir todos os dados do Postgres:
```
rm -rf /opt/apigee/data/apigee-postgresql/pgdata
```
3. Configure o Postgres e reinicie o Postgres, conforme o exemplo a seguir:
```
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
```
OBSERVAÇÃO: devido a problemas de rede, talvez seja necessário executar esta etapa mais de uma vez para que ela seja bem-sucedida.

Se você estiver instalando em uma topologia de vários data centers, use um caminho absoluto para o arquivo de configuração.
Inicie os componentes restantes da Apigee no nó na ordem de início, conforme o exemplo a seguir mostra:
```
/opt/apigee/apigee-service/bin/apigee-service component_name start
```
Repita esse processo para cada nó no cluster.
(Opcional) Verifique se a inicialização de apigee-mtls foi bem-sucedida usando um ou mais dos seguintes métodos:
1. Validar a configuração do iptables
2. Verificar o status do proxy remoto
3. Verificar o status do quórum
Cada um desses métodos é descrito em Verificar sua configuração.

Alterar uma configuração existente do apigee-mtls

Para personalizar uma configuração de apigee-mtls atual, desinstale e reinstale o apigee-mtls.

ATENÇÃO: a configuração do mTLS da Apigee não é idempotente. Como resultado, as entradas de configuração apigee-mtls precisam ser idênticas em todos os nós: se você fizer uma alteração em um nó, será necessário fazer a mesma alteração em todos eles. Se você não fizer isso, a malha de serviço poderá falhar.

Para reforçar esse ponto, ao alterar uma configuração mTLS atual da Apigee:

Se você alterar um arquivo de configuração, primeiro desinstale o apigee-mtls e execute novamente setup ou configure:

# DO THIS:
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall

# BEFORE YOU DO THIS:
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f file
OR
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls configure

Desinstale e execute novamente setup ou configure em todos os nós do cluster, não apenas em um único nó.

OBSERVAÇÃO: executar repetidamente setup ou configure em apigee-mtls não funciona da mesma forma que outros serviços da Apigee. Isso não necessariamente gera uma nova configuração nem modifica a configuração local.