Mehrere Rechenzentren für Apigee mTLS konfigurieren

Edge for Private Cloud v4.19.01

Apigee mTLS unterstützt mehrere Rechenzentren, sodass Sie Ihre Konfiguration auf komplexere Topologien wie eine Clusterinstallation mit 12 Knoten skalieren können.

Der Installationsvorgang für mTLS in einer Topologie mit mehreren Rechenzentren ist derselbe wie für einfachere Topologien. Sie müssen jedoch dafür sorgen, dass Ihre Installation die Voraussetzungen erfüllt und dass Sie Ihre Konfigurationsdateien wie in den folgenden Abschnitten beschrieben ändern.

Vorbereitung

Wenn Sie Apigee mTLS mit mehreren Rechenzentren verwenden möchten, müssen Sie Folgendes tun:

  • Deinstallieren Sie apigee-mtls und installieren Sie es mit der Konfiguration für mehrere Rechenzentren neu. Sie können eine vorhandene Konfiguration nicht ändern. Weitere Informationen finden Sie unter Vorhandene apigee-mtls-Konfiguration ändern.
  • Öffnen Sie Port 8302 auf jedem Host, auf dem mTLS ausgeführt wird.
  • Achten Sie darauf, dass der gesamte mTLS-Cluster ein flaches Netzwerk ist. Das bedeutet, dass Rechenzentren:
    • Darf sich nicht in verschiedenen Subnetzen befinden
    • NAT (Network Address Translation) kann nicht zwischen Rechenzentren verwendet werden
  • Verwenden Sie beim Angeben von Konfigurationsdateien absolute Pfade in Ihren Befehlen, wenn Unklarheiten bestehen könnten.
  • Fügen Sie Konfigurationsattribute für mehrere Rechenzentren hinzu, wie unter Konfigurationsdateien für mehrere Rechenzentren beschrieben.

Konfigurationsdateien für mehrere Rechenzentren

Wenn Sie Apigee mTLS mit mehreren Rechenzentren verwenden möchten, erstellen Sie für jedes Rechenzentrum eine separate Konfigurationsdatei.

In jeder der Konfigurationsdateien:

  1. Ändern Sie den Wert des Konfigurationsattributs ALL_IP so, dass alle Host-IP-Adressen in allen Regionen enthalten sind.
  2. Der Wert des Attributs REGION muss der Name der aktuellen Region oder des aktuellen Rechenzentrums sein. Beispiel: „dc-1“.
  3. Fügen Sie die folgenden Attribute hinzu:
    Attribut Beschreibung
    APIGEE_MTLS_MULTI_DC_ENABLE Ob Sie eine Konfiguration mit mehreren Rechenzentren verwenden oder nicht. Legen Sie „y“ fest, wenn Sie mehrere Rechenzentren konfigurieren. Andernfalls lassen Sie das Feld leer oder legen Sie „n“ fest. Der Standardwert wird weggelassen.
    MTLS_LOCAL_REGION_IP Eine durch Leerzeichen getrennte Liste aller IP-Adressen, die von der aktuellen Region verwendet werden, die Sie konfigurieren. Beispiel: „10.0.0.1 10.0.0.2 10.0.0.3“.

    Verwenden Sie für die zweite Region in der Konfiguration das Attribut MTLP_REMOTE_REGION_1_IP.
    MTLS_REMOTE_REGION_1_NAME Der Name der zweiten Region in einer Konfiguration mit mehreren Rechenzentren. Beispiel: „dc-2“.

    In der Konfigurationsdatei der zweiten Region verwenden Sie „dc-2“ für REGION und „dc-1“ für MTLS_REMOTE_REGION_1_NAME..
    MTLS_REMOTE_REGION_1_IP Eine durch Leerzeichen getrennte Liste aller IP-Adressen, die von der zweiten Region in einer Konfiguration mit mehreren Rechenzentren verwendet werden. Beispiel: „10.0.0.4 10.0.0.5 10.0.0.6“.

Die folgenden Beispiele zeigen die Konfigurationsdateien für zwei Rechenzentren („dc-1“ und „dc-2“). Eigenschaften, die für eine Konfiguration mit mehreren Rechenzentren spezifisch sind, werden hervorgehoben:

dc-1-Konfigurationsdatei

ALL_IP="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.132 10.126.0.133 10.126.0.104 10.126.0.106 10.126.0.105 10.126.0.95 10.126.0.102 10.126.0.100 10.126.0.112"
LDAP_MTLS_HOSTS="10.126.0.114 10.126.0.106"
ZK_MTLS_HOSTS="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.106 10.126.0.105 10.126.0.95"
CASS_MTLS_HOSTS="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.106 10.126.0.105 10.126.0.95"
PG_MTLS_HOSTS="10.126.0.104 10.126.0.112"
RT_MTLS_HOSTS="10.126.0.113 10.126.0.96 10.126.0.105 10.126.0.95"
MS_MTLS_HOSTS="10.126.0.114 10.126.0.106"
MP_MTLS_HOSTS="10.126.0.113 10.126.0.96 10.126.0.105 10.126.0.95"
QP_MTLS_HOSTS="10.126.0.132 10.126.0.133 10.126.0.102 10.126.0.100"
ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="zRNQ9lhRySNTfegiLLLfIQ=="
PATH_TO_CA_CERT="/opt/consul-agent-ca.pem"
PATH_TO_CA_KEY="/opt/consul-agent-ca-key.pem"

APIGEE_MTLS_MULTI_DC_ENABLE="y"
REGION="dc-1"
MTLS_LOCAL_REGION_IP="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.132 10.126.0.133 10.126.0.104"
MTLS_REMOTE_REGION_1_NAME="dc-2"
MTLS_REMOTE_REGION_1_IP="10.126.0.106 10.126.0.105 10.126.0.95 10.126.0.102 10.126.0.100 10.126.0.112"

dc-2-Konfigurationsdatei

ALL_IP="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.132 10.126.0.133 10.126.0.104 10.126.0.106 10.126.0.105 10.126.0.95 10.126.0.102 10.126.0.100 10.126.0.112"
LDAP_MTLS_HOSTS="10.126.0.114 10.126.0.106"
ZK_MTLS_HOSTS="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.106 10.126.0.105 10.126.0.95"
CASS_MTLS_HOSTS="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.106 10.126.0.105 10.126.0.95"
PG_MTLS_HOSTS="10.126.0.104 10.126.0.112"
RT_MTLS_HOSTS="10.126.0.113 10.126.0.96 10.126.0.105 10.126.0.95"
MS_MTLS_HOSTS="10.126.0.114 10.126.0.106"
MP_MTLS_HOSTS="10.126.0.113 10.126.0.96 10.126.0.105 10.126.0.95"
QP_MTLS_HOSTS="10.126.0.132 10.126.0.133 10.126.0.102 10.126.0.100"
ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="zRNQ9lhRySNTfegiLLLfIQ=="
PATH_TO_CA_CERT="/opt/consul-agent-ca.pem"
PATH_TO_CA_KEY="/opt/consul-agent-ca-key.pem"

APIGEE_MTLS_MULTI_DC_ENABLE="y"
REGION="dc-2"
MTLS_LOCAL_REGION_IP="10.126.0.106 10.126.0.105 10.126.0.95 10.126.0.102 10.126.0.100 10.126.0.112"
MTLS_REMOTE_REGION_1_NAME="dc-1"
MTLS_REMOTE_REGION_1_IP="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.132 10.126.0.133 10.126.0.104"

Informationen zu den Standardkonfigurationsattributen finden Sie unter Schritt 1: Konfigurationsdatei aktualisieren.

Konfiguration mit mehreren Rechenzentren testen

Der Befehl raft list-peers zeigt eine Liste der IP-Adressen an, die in MTLS_LOCAL_REGION_IP definiert sind, d. h. sich im selben Rechenzentrum befinden.

Die folgenden Beispiele zeigen die Beispielausgabe eines raft list-peers-Befehls:

[ec2-user]# consul operator raft list-peers

Node              ID                Address            State     Voter  RaftProtocol
prc-test-1-2119   d1361917-b244-42  10.126.0.151:8300  leader    true   3
prc-test-0-2119   fad66fc3-22a0-43  10.126.0.155:8300  follower  true   3
prc-test-2-2119   78847b12-dd83-44  10.126.0.159:8300  follower  true   3
prc-test-6-2119   60bb50ac-37b6-52  10.126.0.152:8300  leader    true   3
prc-test-7-2119   515bbdfd-e968-53  10.126.0.147:8300  follower  true   3
prc-test-8-2119   d869c9a5-b4f6-54  10.126.0.158:8300  follower  true   3

Apigee mTLS wurde in zwei Rechenzentren getestet und wird nur für zwei Rechenzentren unterstützt. Sie können jedoch Konfigurationen für bis zu acht Rechenzentren mit den folgenden Attributen angeben:

  • MTLS_REMOTE_REGION_[2-8]_IP
  • MTLS_REMOTE_REGION_[2-8]_NAME

Wie bereits erwähnt, werden Konfigurationen mit mehr als zwei Rechenzentren nicht unterstützt.