Resetowanie haseł Edge

Edge dla chmury prywatnej w wersji 4.19.01

Po zakończeniu instalacji możesz zresetować te hasła:

Instrukcje resetowania tych haseł znajdziesz w sekcjach poniżej.

Resetowanie hasła OpenLDAP

Sposób resetowania hasła OpenLDAP zależy od konfiguracji. W zależności od konfiguracji Edge, OpenLDAP można zainstalować jako:

  • Pojedyncza instancja OpenLDAP zainstalowana w węźle serwera zarządzania. na przykład w konfiguracji Edge z 2, 5 lub 9 węzłami.
  • Wiele instancji OpenLDAP zainstalowanych na węzłach serwera zarządzania, skonfigurowanych z replikacją OpenLDAP. Na przykład w konfiguracji Edge z 12 węzłami.
  • Wiele instancji OpenLDAP zainstalowanych w osobnych węzłach i skonfigurowanych z replikacją OpenLDAP. Na przykład w konfiguracji Edge z 13 węzłami.

W przypadku pojedynczej instancji OpenLDAP zainstalowanej na serwerze zarządzania wykonaj te czynności:

  1. Aby utworzyć nowe hasło OpenLDAP, w węźle serwera zarządzania uruchom to polecenie: 
    /opt/apigee/apigee‑service/bin/apigee‑service apigee‑openldap 
  change‑ldap‑password ‑o OLD_PASSWORD ‑n NEW_PASSWORD
  2. Uruchom to polecenie, aby zapisać nowe hasło, które będzie używane przez serwer zarządzania: 
    /opt/apigee/apigee‑service/bin/apigee‑service edge‑management‑server 
  store_ldap_credentials ‑p NEW_PASSWORD

    To polecenie ponownie uruchamia serwer zarządzania.

W konfiguracji replikacji OpenLDAP z OpenLDAP zainstalowanym na węzłach serwera zarządzania wykonaj powyższe czynności na obu węzłach serwera zarządzania, aby zaktualizować hasło.

W przypadku konfiguracji replikacji OpenLDAP, w której OpenLDAP znajduje się na węźle innym niż serwer zarządzania, najpierw zmień hasło na obu węzłach OpenLDAP, a następnie na obu węzłach serwera zarządzania.

Resetowanie hasła administratora systemu

Aby zresetować hasło administratora systemu, musisz je zresetować w 2 miejscach:

  • Serwer zarządzania
  • UI

Aby zresetować hasło administratora systemu:

  1. Zmodyfikuj plik konfiguracji instalacji dyskretnej, który został użyty do zainstalowania interfejsu Edge, aby ustawić te właściwości: 
    APIGEE_ADMINPW=NEW_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y
SMTPMAILFROM="My Company <myco@company.com>"

    Pamiętaj, że podczas przekazywania nowego hasła musisz uwzględnić właściwości SMTP, ponieważ wszystkie właściwości w interfejsie są resetowane.

  2. W węźle interfejsu zatrzymaj interfejs Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
  3. Użyj narzędzia apigee-setup, aby zresetować hasło w interfejsie Edge z pliku konfiguracji: 
    /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile
  4. thought (Tylko jeśli protokół TLS jest włączony w interfejsie użytkownika) Ponownie włącz protokół TLS w interfejsie Edge zgodnie z opisem w artykule Konfigurowanie protokołu TLS dla interfejsu zarządzania.
  5. Na serwerze zarządzania utwórz nowy plik XML. W tym pliku ustaw identyfikator użytkownika na „admin” i zdefiniuj hasło, imię, nazwisko oraz adres e-mail w tym formacie: 
    <User id="admin">
  <Password><![CDATA[password]]></Password>
  <FirstName>first_name</FirstName>
  <LastName>last_name</LastName>
  <EmailId>email_address</EmailId>
</User>
  6. Na serwerze zarządzania uruchom to polecenie: 
    curl ‑u "admin_email_address:admin_password" ‑H \ 
  "Content‑Type: application/xml" ‑H "Accept: application/json" ‑X POST \ 
  "http://localhost:8080/v1/users/admin_email_address" ‑d @your_data_file

    Gdzie your_data_file to plik utworzony w poprzednim kroku.

    Edge zaktualizuje hasło administratora na serwerze zarządzania.

  7. Usuń utworzony plik XML. Hasła nigdy nie powinny być trwale przechowywane w postaci zwykłego tekstu.

W środowisku replikacji OpenLDAP z wieloma serwerami zarządzania zresetowanie hasła na jednym serwerze zarządzania powoduje automatyczną aktualizację drugiego serwera zarządzania. Musisz jednak zaktualizować wszystkie węzły interfejsu Edge oddzielnie.

Resetowanie hasła użytkownika organizacji

Aby zresetować hasło użytkownika organizacji, użyj narzędzia apigee-servce do wywołania apigee-setup, jak pokazano w tym przykładzie:

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password
  [-h]
  [-u USER_EMAIL]
  [-p USER_PWD]
  [-a ADMIN_EMAIL]
  [-P APIGEE_ADMINPW]
  [-f configFile]

Na przykład:

/opt/apigee/apigee‑service/bin/apigee‑service apigee‑setup reset_user_password 
  ‑u user@myCo.com ‑p Foo12345 ‑a admin@myCo.com ‑P adminPword
 
cp ~/Documents/tmp/hybrid_root/apigeectl_beta2_a00ae58_linux_64/README.md 
  ~/Documents/utilities/README.md

Poniżej znajduje się przykładowy plik konfiguracji, którego możesz użyć z opcją „-f”:

USER_NAME=user@myCo.com
USER_PWD="Foo12345"
APIGEE_ADMINPW=ADMIN_PASSWORD

Możesz też użyć interfejsu API Update user, aby zmienić hasło użytkownika.

Reguły dotyczące haseł administratora systemu i użytkowników organizacji

W tej sekcji możesz wymusić odpowiednią długość i siłę haseł użytkowników zarządzania interfejsami API. Ustawienia używają serii wstępnie skonfigurowanych (i jednoznacznie ponumerowanych) wyrażeń regularnych do sprawdzania zawartości hasła (np. wielkich i małych liter, cyfr i znaków specjalnych). Zapisz te ustawienia w pliku /opt/apigee/customer/application/management-server.properties. Jeśli ten plik nie istnieje, utwórz go.

Po zmodyfikowaniu pliku management-server.properties uruchom ponownie serwer zarządzania:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Następnie możesz ustawić oceny siły hasła, grupując różne kombinacje wyrażeń regularnych. Możesz na przykład określić, że hasło zawierające co najmniej 1 wielką i 1 małą literę otrzyma ocenę siły „3”, ale hasło zawierające co najmniej 1 małą literę i 1 cyfrę otrzyma wyższą ocenę „4”.

Właściwość Opis 
conf_security_password.validation.minimum.password.length=8
conf_security_password.validation.default.rating=2
conf_security_password.validation.minimum.rating.required=3

Użyj ich, aby określić ogólne cechy prawidłowych haseł. Domyślna minimalna ocena siły hasła (opisana w tabeli poniżej) to 3.

Zauważ, że wartość password.validation.default.rating=2 jest niższa niż wymagana ocena minimalna, co oznacza, że jeśli wprowadzone hasło nie spełnia skonfigurowanych reguł, otrzymuje ocenę 2 i jest nieprawidłowe (poniżej minimalnej oceny 3).

Poniżej znajdziesz wyrażenia regularne, które identyfikują cechy haseł. Zwróć uwagę, że każdy z nich jest ponumerowany. Na przykład password.validation.regex.5=... to wyrażenie numer 5. Użyjesz tych liczb w dalszej części pliku, aby ustawić różne kombinacje, które określają ogólną siłę hasła.

 
conf_security_password.validation.regex.1=^(.)\\1+$

1: wszystkie znaki się powtarzają,

 
conf_security_password.validation.regex.2=^.*[a-z]+.*$

2: co najmniej 1 małą literę,

 
conf_security_password.validation.regex.3=^.*[A-Z]+.*$

3: co najmniej 1 wielką literę,

 
conf_security_password.validation.regex.4=^.*[0-9]+.*$

4: co najmniej 1 cyfrę,

 
conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$

5: co najmniej 1 znak specjalny (nie licząc podkreślenia _).

 
conf_security_password.validation.regex.6=^.*[_]+.*$

6: co najmniej 1 podkreślenie,

 
conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$

7: więcej niż 1 mała litera,

 
conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$

8: Więcej niż 1 wielka litera

 
conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$

9: więcej niż 1 cyfra.

 
conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$

10: więcej niż 1 znak specjalny (nie licząc podkreślenia).

 
conf_security_password.validation.regex.11=^.*[_]{2,}.*$

11. Więcej niż 1 podkreślenie

Te reguły określają siłę hasła na podstawie jego zawartości. Każda reguła zawiera co najmniej 1 wyrażenie regularne z poprzedniej sekcji i przypisuje mu wartość liczbową. The numeric strength of a password is compared to the conf_security_password.validation.minimum.rating.required number at the top of this file to determine whether or not a password is valid.

 
conf_security_password.validation.rule.1=1,AND,0
conf_security_password.validation.rule.2=2,3,4,AND,4
conf_security_password.validation.rule.3=2,9,AND,4
conf_security_password.validation.rule.4=3,9,AND,4
conf_security_password.validation.rule.5=5,6,OR,4
conf_security_password.validation.rule.6=3,2,AND,3
conf_security_password.validation.rule.7=2,9,AND,3
conf_security_password.validation.rule.8=3,9,AND,3

Każda reguła jest ponumerowana. Na przykład password.validation.rule.3=... to reguła numer 3.

Każda reguła ma ten format (po prawej stronie znaku równości):

regex-index-list,[AND|OR],rating

regex-index-list to lista wyrażeń regularnych (według numeru z poprzedniej sekcji) wraz z operatorem AND|OR (co oznacza, że należy uwzględnić wszystkie lub dowolne z wymienionych wyrażeń).

rating to liczbowa ocena siły przypisana do każdej reguły.

Na przykład reguła 5 oznacza, że każde hasło zawierające co najmniej 1 znak specjalny LUB 1 podkreślenie otrzymuje ocenę siły 4. Jeśli na początku pliku znajduje się password.validation.minimum.rating.required=3, hasło z oceną 4 jest prawidłowe.

 
conf_security_rbac.password.validation.enabled=true

Gdy włączone jest logowanie jednokrotne, ustaw weryfikację hasła kontroli dostępu opartej na rolach na wartość false. Wartość domyślna to true.

Resetowanie hasła Cassandra

Domyślnie Cassandra jest dostarczana z wyłączonym uwierzytelnianiem. Jeśli włączysz uwierzytelnianie, będzie ono używać wstępnie zdefiniowanej nazwy użytkownika „cassandra” z hasłem „cassandra”. Możesz użyć tego konta, ustawić dla niego inne hasło lub utworzyć nowego użytkownika Cassandra. Dodawaj, usuwaj i modyfikuj użytkowników za pomocą instrukcji CREATE/ALTER/DROP USER systemu Cassandra.

Informacje o tym, jak włączyć uwierzytelnianie Cassandra, znajdziesz w artykule Włączanie uwierzytelniania Cassandra.

Aby zresetować hasło Cassandra, musisz:

  • Ustaw hasło na dowolnym węźle Cassandra, a zostanie ono rozesłane do wszystkich węzłów Cassandra w pierścieniu.
  • Zaktualizuj serwer zarządzania, procesory komunikatów, routery, serwery Qpid i serwery Postgres na każdym węźle, używając nowego hasła.

Więcej informacji znajdziesz na stronie http://www.datastax.com/documentation/cql/3.0/cql/cql_reference/cqlCommandsTOC.html.

Aby zresetować hasło Cassandra:

  1. Zaloguj się w dowolnym węźle Cassandra za pomocą narzędzia cqlsh i domyślnych danych logowania. Wystarczy zmienić hasło na jednym węźle Cassandra, a zostanie ono rozesłane do wszystkich węzłów Cassandra w pierścieniu: 
    /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p cassandra

    Gdzie:

    • cassIP to adres IP węzła Cassandra.
    • 9042 to port Cassandra.
    • Domyślny użytkownik to cassandra.
    • Domyślne hasło to cassandra. Jeśli hasło zostało wcześniej zmienione, użyj bieżącego hasła.
  2. Aby zaktualizować hasło, uruchom to polecenie w wierszu poleceń cqlsh>: 
    ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';

    Jeśli nowe hasło zawiera znak pojedynczego cudzysłowu, zmień jego znaczenie, poprzedzając go znakiem pojedynczego cudzysłowu.

  3. Zamknij narzędzie cqlsh: 
    exit
  4. Na węźle serwera zarządzania uruchom to polecenie: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u CASS_USERNAME -p CASS_PASSWORD

    Opcjonalnie możesz przekazać do polecenia plik zawierający nową nazwę użytkownika i hasło: 

    apigee-service edge-management-server store_cassandra_credentials -f configFile

    configFile zawiera te informacje: 

    CASS_USERNAME=CASS_USERNAME
CASS_PASSWORD=CASS_PASSWROD

    To polecenie automatycznie uruchamia ponownie serwer zarządzania.

  5. Powtórz krok 4 na:
    • Wszystkie procesory komunikatów
    • Wszystkie routery
    • Wszystkie serwery Qpid (edge-qpid-server)
    • Serwery Postgres (edge-postgres-server)

Hasło do bazy danych Cassandra zostało zmienione.

Resetowanie hasła do PostgreSQL

Domyślnie baza danych PostgreSQL ma zdefiniowanych 2 użytkowników: „postgres” i „apigee”. Obaj użytkownicy mają domyślne hasło „postgres”. Aby zmienić domyślne hasło, wykonaj te czynności.

Zmień hasło na wszystkich węzłach głównych Postgres. Jeśli masz skonfigurowane 2 serwery Postgres w trybie głównym/czuwania, musisz zmienić hasło tylko w węźle głównym. Więcej informacji znajdziesz w artykule Konfigurowanie replikacji master-standby w Postgres.

  1. Na węźle głównym Postgres przejdź do katalogu /opt/apigee/apigee-postgresql/pgsql/bin.
  2. Ustaw hasło użytkownika „postgres” w PostgreSQL:
    1. Zaloguj się w bazie danych PostgreSQL za pomocą polecenia: 
      psql -h localhost -d apigee -U postgres
    2. Gdy pojawi się prośba, wpisz hasło istniejącego użytkownika „postgres” jako „postgres”.
    3. W wierszu polecenia PostgreSQL wpisz to polecenie, aby zmienić domyślne hasło: 
      ALTER USER postgres WITH PASSWORD 'new_password';

      Jeśli operacja się powiedzie, PostgreSQL zwróci tę odpowiedź:

      ALTER ROLE
    4. Zamknij bazę danych PostgreSQL za pomocą tego polecenia: 
      \q
  3. Ustaw hasło użytkownika „apigee” w PostgreSQL:
    1. Zaloguj się w bazie danych PostgreSQL za pomocą polecenia: 
      psql -h localhost -d apigee -U apigee
    2. Gdy pojawi się prośba, wpisz hasło użytkownika „apigee” jako „postgres”.
    3. W wierszu polecenia PostgreSQL wpisz to polecenie, aby zmienić domyślne hasło: 
      ALTER USER apigee WITH PASSWORD 'new_password';
    4. Zamknij bazę danych PostgreSQL za pomocą polecenia: 
      \q

    Możesz ustawić hasła użytkowników „postgres” i „apigee” na tę samą wartość lub na różne wartości.

  4. Ustaw APIGEE_HOME: 
    export APIGEE_HOME=/opt/apigee/edge-postgres-server
  5. Zaszyfruj nowe hasło: 
    sh /opt/apigee/edge-postgres-server/utils/scripts/utilities/passwordgen.sh new_password

    To polecenie zwraca zaszyfrowane hasło. Zaszyfrowane hasło zaczyna się po znaku „:” i nie zawiera znaku „:”. Na przykład zaszyfrowane hasło dla „apigee1234” to:

    Encrypted string:WheaR8U4OeMEM11erxA3Cw==
  6. Zaktualizuj węzeł serwera zarządzania, podając nowe zaszyfrowane hasła użytkowników „postgres” i „apigee”.
    1. Na serwerze zarządzania przejdź do katalogu /opt/apigee/customer/application.
    2. Zmodyfikuj plik management-server.properties, aby ustawić te właściwości. Jeśli ten plik nie istnieje, utwórz go.
    3. Upewnij się, że plik należy do użytkownika „apigee”: 
      chown apigee:apigee management-server.properties
  7. Zaktualizuj wszystkie węzły serwera Postgres i serwera Qpid, używając nowego zaszyfrowanego hasła.
    1. W węźle serwera Postgres lub Qpid przejdź do tego katalogu: 
      /opt/apigee/customer/application
    2. Otwórz te pliki do edycji:
      • postgres-server.properties
      • qpid-server.properties

      Jeśli te pliki nie istnieją, utwórz je.

    3. Dodaj do plików te właściwości:
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
    4. Upewnij się, że właścicielem plików jest użytkownik „apigee”: 
      chown apigee:apigee postgres-server.properties
chown apigee:apigee qpid-server.properties
  8. Zaktualizuj komponent logowania jednokrotnego (jeśli jest włączone):

    1. Połącz się z węzłem, na którym działa komponent apigee-sso, lub zaloguj się na nim. Jest on też nazywany serwerem SSO.

      W instalacjach AIO lub 3-węzłowych ten węzeł jest tym samym węzłem co serwer zarządzania.

      Jeśli masz wiele węzłów, na których działa komponent apigee-sso, musisz wykonać te czynności na każdym z nich.

    2. Otwórz do edycji ten plik: 
      /opt/apigee/customer/application/sso.properties

      Jeśli plik nie istnieje, utwórz go.

    3. Dodaj do tego pliku ten kod: 
      conf_uaa_database_password=new_password_in_plain_text

      Na przykład:

      conf_uaa_database_password=apigee1234
    4. Uruchom to polecenie, aby zastosować zmiany konfiguracji do komponentu apigee-sso: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-sso configure
    5. Powtórz te czynności dla każdego serwera SSO.
  9. Uruchom ponownie te komponenty w podanej kolejności:
    1. Baza danych PostgreSQL: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
    2. Serwer Qpid: 
      /opt/apigee/apigee-service/bin/apigee-service edge-qpid-server restart
    3. Serwer Postgres: 
      /opt/apigee/apigee-service/bin/apigee-service edge-postgres-server restart
    4. Serwer zarządzania: 
      /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
    5. Serwer SSO: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-sso restart