Présentation d'Apigee mTLS

Edge for Private Cloud v4.19.01

La fonctionnalité mTLS d'Apigee renforce la sécurité des communications entre les composants de votre cluster Edge pour Private Cloud.

Présentation de l'architecture

Pour sécuriser les communications entre les composants, Apigee mTLS utilise un maillage de services qui établit des connexions TLS sécurisées et mutuellement authentifiées entre les composants.

L'image suivante montre les connexions entre les composants Apigee sécurisés par Apigee mTLS (in red). Les ports affichés dans l'image sont des exemples. Reportez-vous à la section Utilisation des ports pour obtenir la liste des plages que chaque composant peut utiliser.

(Notez que les ports indiqués par un "M" sont utilisés pour gérer le composant et doivent être ouverts sur le composant pour que le serveur de gestion puisse y accéder.)

Comme vous pouvez le voir dans le diagramme ci-dessus, Apigee mTLS renforce la sécurité des connexions entre la plupart des composants du cluster, y compris :

Source Destination
Serveur de gestion Nœuds Router, MP, QPid, LDAP, Postgres, Zookeeper et Cassandra
Routeur Boucle ; nœuds Qpid, Zookeeper et Cassandra
Processeur de messages Boucle ; nœuds Qpid, Zookeeper et Cassandra
ZooKeeper et Cassandra Autres nœuds Zookeeper et Cassandra
UI Edge SMTP (pour les IdP externes uniquement)
Postgres Autres nœuds Postgres, Zookeeper et Cassandra

Chiffrement/Déchiffrement des messages

Le maillage de services mTLS Apigee se compose de serveurs Consul qui s'exécutent sur chaque nœud ZooKeeper de votre cluster et des services Consul suivants sur chaque nœud du cluster :

  • Un proxy de sortie qui intercepte les messages sortants sur le nœud hôte. Ce service chiffre les messages sortants avant de les envoyer à leur destination.
  • Un proxy d'entrée qui intercepte les messages entrants sur le nœud hôte. Ce service déchiffre les messages entrants avant de les envoyer à leur destination finale.

Par exemple, lorsque le serveur de gestion envoie un message au routeur, le service proxy de sortie intercepte le message sortant, le chiffre, puis l'envoie au routeur. Lorsque le nœud du routeur reçoit le message, le service proxy d'entrée le déchiffre, puis le transmet au composant du routeur pour traitement.

Tout cela se produit de manière transparente pour les composants Edge : ils ne sont pas au courant du processus de chiffrement et de déchiffrement effectué par les services proxy Consul.

De plus, Apigee mTLS utilise l'utilitaire iptables, un service de pare-feu Linux qui gère la redirection du trafic.

Conditions requises

Apigee mTLS fournit un moyen standard de configurer et d'installer le maillage de services. Il est compatible avec la gestion des packages et l'automatisation de la configuration.

Étant donné que les services proxy Consul sont en couplage fort en tant qu'attributions de ports pour des processus individuels, une modification apportée à un nœud affecte tous les autres nœuds. Par conséquent, si votre topologie change, vous devez reconfigurer et réinitialiser les services sur chaque nœud du cluster.

Avant de pouvoir installer Apigee mTLS, votre environnement doit répondre aux exigences suivantes décrites dans cette section.

Voici les éléments à déterminer :

  • Version Edge pour le cloud privé
  • Un ensemble d'utilitaires installés et activés
  • Un compte utilisateur disposant du niveau d'autorisations approprié
  • Une machine d'administration (recommandé)

Exigences d'Edge pour le cloud privé

Apigee mTLS est compatible avec la version suivante d'Edge pour Private Cloud (mais pas sur toutes les plates-formes compatibles, comme décrit dans la section Exigences liées au système d'exploitation) :

  • 4.19.06
  • 4.19.01

Apigee mTLS nécessite que votre cluster Private Cloud utilise une topologie incluant au moins trois nœuds ZooKeeper. Par conséquent, vous ne pouvez installer Apigee mTLS que sur des topologies utilisant 5, 9, 12 (multicentre de données) ou 13 nœuds. Pour en savoir plus, consultez Topologies d'installation.

Exigences concernant l'OS

Apigee mTLS est compatible avec les plates-formes suivantes pour votre cluster Private Cloud (l'OS compatible avec mTLS dépend de la version de Private Cloud) :

Système d'exploitation Version de Private Cloud compatible
v4.19.06 v4.50.00 v4.51.00
CentOS
RedHat Enterprise Linux (RHEL)
Oracle Linux		 7.5, 7.6, 7.7 7.5, 7.6, 7.7, 7.8, 7.9 7.5, 7.6, 7.7, 7.8, 7.9, 8.0

Utilitaires/packages

Apigee mTLS nécessite que les packages suivants soient installés et activés sur chaque machine de votre cluster, y compris sur votre machine d'administration, avant de commencer le processus d'installation :

Utilitaire/Package Description Puis-je le retirer après l'installation ?
base64 Vérifie les données dans les scripts d'installation.
gnu-bash
gnu-sed
gnu-grep		 Utilisé par le script d'installation et d'autres outils courants.
iptables Remplace le pare-feu par défaut, firewalld.
iptables-services Fournit des fonctionnalités à l'utilitaire iptables.
lsof Utilisé par le script d'installation.
nc Vérifie les routes iptables.
openssl Signe les certificats localement lors du processus d'amorçage initial.

Lors de l'installation, vous installez également le package Consul sur la machine d'administration afin de pouvoir générer des identifiants et la clé de chiffrement.

Le package apigee-mtls installe et configure les serveurs Consul, y compris les proxys d'entrée et de sortie sur les nœuds ZooKeeper du cluster.

Autorisations du compte utilisateur

Le compte qui exécute l'installation d'Apigee mTLS sur chaque nœud du cluster doit pouvoir :

  • Démarrer, arrêter, redémarrer et initialiser les composants Apigee
  • Définir des règles de pare-feu
  • Créer un compte utilisateur d'OS/système
  • Activer, désactiver, démarrer, arrêter et masquer des services avec systemctl

Machine d'administration (recommandé)

Apigee vous recommande de disposer d'un nœud dans le cluster que vous pouvez utiliser pour effectuer diverses tâches décrites dans ce document, y compris :

  1. Installez HashiCorp Consul 1.6.2.
  2. Générez et distribuez une paire certificat/clé et une clé de chiffrement Gossip.
  3. Mettez à jour et distribuez le fichier de configuration.

La machine d'administration nécessite les éléments suivants :

  • Vous avez téléchargé et installé les utilitaires apigee-service et apigee-setup sur ce nœud, comme décrit dans Installer l'utilitaire apigee-setup d'Edge.
  • Dispose d'un accès scp/ssh à tous les nœuds du cluster. Pour distribuer votre fichier de configuration et vos identifiants, vous devez disposer d'un accès scp/ssh à tous les hôtes du cluster.
  • Vous disposez d'un accès racine à la machine d'administration.

Utilisation et attribution des ports

Cette section décrit l'utilisation et l'attribution des ports pour permettre les communications Consul avec Apigee mTLS.

Utilisation du port : tous les nœuds exécutant apigee-mtls

Tous les nœuds du cluster qui utilisent le service apigee-mtls doivent autoriser les connexions des services sur l'hôte local (127.0.0.1). Cela permet aux proxys Consul de communiquer avec les autres services lorsqu'ils traitent les messages entrants et sortants.

Utilisation des ports : nœuds de serveur Consul (nœuds exécutant ZooKeeper)

Vous devez ouvrir la plupart des ports suivants sur les nœuds du serveur Consul (les nœuds exécutant ZooKeeper) pour accepter les requêtes de tous les nœuds du cluster :

Nœud Port du serveur Consul Description Protocole Autoriser les agents mTLS externes
*
Serveur Consul (nœuds ZooKeeper) 8300 Connecte tous les serveurs Consul du cluster. RPC
8301 Gère l'appartenance et les messages de diffusion au sein du cluster. UDP/TCP
8302 Port WAN qui gère l'appartenance et les messages de diffusion dans une configuration à plusieurs centres de données. UDP/TCP
8500 Gère les connexions HTTP aux API du serveur Consul à partir des processus du même nœud.

Ce port n'est pas utilisé pour la communication ou la coordination à distance. Il n'écoute que sur localhost.

 HTTP
8502 Gère les connexions gRPC+HTTPS aux API du serveur Consul à partir d'autres nœuds du cluster. gRPC+HTTPS
8503 Gère les connexions HTTPS aux API du serveur Consul à partir d'autres nœuds du cluster. HTTPS
8600 Gère le DNS du serveur Consul. UDP/TCP
* Apigee vous recommande de limiter les requêtes entrantes aux membres du cluster uniquement (y compris entre les datastores). Vous pouvez le faire avec iptables.

Comme le montre ce tableau, les nœuds exécutant le composant consul-server (nœuds ZooKeeper) doivent ouvrir les ports 8301, 8302, 8502 et 8503 à tous les membres du cluster qui exécutent le service apigee-mtls, même entre les centres de données. Les nœuds qui n'exécutent pas ZooKeeper n'ont pas besoin d'ouvrir ces ports.

Attributions de ports pour tous les nœuds Consul (y compris les nœuds exécutant ZooKeeper)

Pour accepter les communications Consul, les nœuds exécutant les composants Apigee suivants doivent autoriser les connexions externes aux ports dans les plages suivantes :

Composant Apigee Plage Nombre de ports requis par nœud
mTLS Apigee 10700 à 10799 1
Cassandra 10100 à 10199 2
Processeur de messages 10500 à 10599 2
OpenLDAP 10200 à 10299 1
Postgres 10300 à 10399 3
Qpid 10400 à 10499 2
Routeur 10600 à 10699 2
ZooKeeper 10001 à 10099 3

Consul attribue les ports de manière linéaire et simple. Par exemple, si votre cluster comporte deux nœuds Postgres, le premier nœud utilise deux ports. Consul lui attribue donc les ports 10300 et 10301. Le deuxième nœud utilise également deux ports. Consul lui attribue donc les ports 10302 et 10303. Cela s'applique à tous les types de composants.

Comme vous pouvez le constater, le nombre réel de ports dépend de la topologie : si votre cluster comporte deux nœuds Postgres, vous devez ouvrir quatre ports (deux nœuds multipliés par deux ports chacun).

Veuillez noter les points suivants :

  • Les proxys Consul ne peuvent pas écouter sur les mêmes ports que les services Apigee.
  • Consul ne dispose que d'un seul espace d'adressage de port. Les attributions de ports de proxy Consul doivent être uniques dans l'ensemble du cluster, y compris les centres de données. Cela signifie que si le proxy A sur l'hôte A écoute sur le port 15000, le proxy B sur l'hôte B ne peut pas écouter sur le port 15000.
  • Le nombre de ports utilisés varie en fonction de la topologie, comme décrit précédemment.

Dans une configuration multicentre de données, tous les hôtes exécutant mTLS doivent également ouvrir le port 8302.

Vous pouvez personnaliser les ports par défaut utilisés par Apigee mTLS. Pour savoir comment procéder, consultez Personnaliser la plage de ports du proxy.

Limites

Apigee mTLS présente les limites suivantes :

  • Ne chiffre pas les communications Cassandra entre les nœuds (port 7000)
  • La configuration et l'installation ne sont pas idempotentes. Cela signifie que si vous apportez une modification sur un nœud, vous devez effectuer la même modification sur tous les nœuds. Le système ne récupère pas cette modification pour l'appliquer aux autres nœuds à votre place. Pour en savoir plus, consultez Modifier une configuration apigee-mtls existante.

Terminologie

Cette section utilise la terminologie suivante :

Terme Définition
Cluster Groupe de machines qui composent votre installation Edge pour Private Cloud.
Consul Le maillage de services utilisé par Apigee mTLS. Pour en savoir plus sur la façon dont Consul sécurise vos communications Private Cloud, consultez le modèle de sécurité de Consul.
mTLS TLS mutuellement authentifié.
maillage de services Un réseau de superposition (ou un réseau au sein d'un réseau).
TLS Transaction Layer Security. Protocole d'authentification standard pour les communications sécurisées.