กำหนดค่า SSO ของ Apigee สำหรับการเข้าถึง HTTPS

ติดตั้งและกำหนดค่า Apigee SSO อธิบายวิธีติดตั้งและกำหนดค่าโมดูล Apigee SSO เพื่อใช้ HTTP ในพอร์ต 9099 ตามที่ระบุไว้ในพร็อพเพอร์ตี้ต่อไปนี้ในไฟล์การกำหนดค่า Edge

SSO_TOMCAT_PROFILE=DEFAULT

หรือจะตั้งค่า SSO_TOMCAT_PROFILE เป็นค่าใดค่าหนึ่งต่อไปนี้เพื่อเปิดใช้การเข้าถึง HTTPS ก็ได้

  • SSL_PROXY: กำหนดค่า apigee-sso ซึ่งเป็นโมดูล SSO ของ Apigee ในโหมดพร็อกซี ซึ่งหมายความว่าคุณได้ติดตั้งตัวจัดสรรภาระงานไว้หน้า apigee-sso และสิ้นสุด TLS บนตัวจัดสรรภาระงาน จากนั้นคุณระบุพอร์ตที่ใช้ใน apigee-sso สำหรับคำขอจากตัวจัดสรรภาระงาน
  • SSL_TERMINATION: เปิดใช้การเข้าถึง TLS ไปยัง apigee-sso ในพอร์ตที่คุณเลือก คุณต้องระบุคีย์สโตร์สำหรับโหมดนี้ซึ่งมีใบรับรองที่ลงนามโดย CA คุณไม่สามารถใช้ใบรับรองแบบ Self-signed ได้

คุณเลือกเปิดใช้ HTTPS ได้ในตอนที่ติดตั้งและกำหนดค่า apigee-sso เป็นครั้งแรก หรือจะเปิดใช้ในภายหลังก็ได้

การเปิดใช้การเข้าถึง HTTPS ไปยัง apigee-sso โดยใช้โหมดใดโหมดหนึ่งจะเป็นการปิดใช้การเข้าถึง HTTP กล่าวคือ คุณไม่สามารถเข้าถึง apigee-sso โดยใช้ทั้ง HTTP และ HTTPS พร้อมกันได้

เปิดใช้โหมด SSL_PROXY

ในโหมด SSL_PROXY ระบบจะใช้ตัวจัดสรรภาระงานที่ด้านหน้าโมดูล Apigee SSO และสิ้นสุด TLS ในตัวจัดสรรภาระงาน ในรูปภาพต่อไปนี้ ตัวจัดสรรภาระงานจะสิ้นสุด TLS บนพอร์ต 443 แล้วส่งต่อคำขอไปยังโมดูล Apigee SSO บนพอร์ต 9099

ในการกำหนดค่านี้ คุณเชื่อถือการเชื่อมต่อจากตัวจัดสรรภาระงาน ไปยังโมดูล Apigee SSO จึงไม่จำเป็นต้องใช้ TLS สำหรับการเชื่อมต่อนั้น อย่างไรก็ตาม เอนทิตีภายนอก เช่น IDP ต้องเข้าถึงโมดูล Apigee SSO ในพอร์ต 443 ไม่ใช่ในพอร์ต 9099 ที่ไม่มีการป้องกัน

เหตุผลในการกำหนดค่าโมดูล Apigee SSO ในโหมด SSL_PROXY คือโมดูล Apigee SSO จะสร้าง URL เปลี่ยนเส้นทางที่ IDP ใช้ภายนอกโดยอัตโนมัติ ซึ่งเป็นส่วนหนึ่งของกระบวนการตรวจสอบสิทธิ์ ดังนั้น URL การเปลี่ยนเส้นทางเหล่านี้ต้องมีหมายเลขพอร์ตภายนอกในตัวจัดสรรภาระงาน (443 ในตัวอย่างนี้) ไม่ใช่พอร์ตภายในในโมดูล Apigee SSO (9099)

วิธีกำหนดค่าโมดูล Apigee SSO สำหรับโหมด SSL_PROXY

  1. เพิ่มการตั้งค่าต่อไปนี้ลงในไฟล์การกำหนดค่า 
    # Enable SSL_PROXY mode.
SSO_TOMCAT_PROFILE=SSL_PROXY

# Specify the apigee-sso port, typically between 1025 and 65535.
# Typically ports 1024 and below require root access by apigee-sso.
# The default is 9099.
SSO_TOMCAT_PORT=9099

# Specify the port number on the load balancer for terminating TLS.
# This port number is necessary for apigee-sso to auto-generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

# Set public access scheme of apigee-sso to https.
SSO_PUBLIC_URL_SCHEME=https
  2. กำหนดค่าโมดูล Apigee SSO ดังนี้ 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. อัปเดตการกำหนดค่า IDP เพื่อส่งคำขอ HTTPS ในพอร์ต 443 ของตัวจัดสรรภาระงานเพื่อเข้าถึง Apigee SSO ดูข้อมูลเพิ่มเติมได้จากหัวข้อต่อไปนี้
  4. อัปเดตการกำหนดค่า Edge UI สำหรับ HTTPS โดยตั้งค่าพร็อพเพอร์ตี้ต่อไปนี้ในไฟล์การกำหนดค่า
    SSO_PUBLIC_URL_PORT=443
SSO_PUBLIC_URL_SCHEME=https

    จากนั้นอัปเดต Edge UI โดยทำดังนี้

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f configFile

    ใช้คอมโพเนนต์ edge-ui สำหรับ UI แบบคลาสสิก

  5. หากคุณติดตั้งพอร์ทัล Apigee Developer Services (หรือเรียกสั้นๆ ว่าพอร์ทัล) ให้อัปเดตพอร์ทัลเพื่อใช้ HTTPS ในการเข้าถึง Apigee SSO ดูข้อมูลเพิ่มเติมได้ที่หัวข้อกำหนดค่าพอร์ทัลให้ใช้ IDP ภายนอก

ดูข้อมูลเพิ่มเติมได้ที่เปิดใช้ IDP ภายนอกใน Edge UI

เปิดใช้โหมด SSL_TERMINATION

สำหรับโหมด SSL_TERMINATION คุณต้องมีคุณสมบัติต่อไปนี้

  • สร้างใบรับรองและคีย์ TLS แล้วจัดเก็บไว้ในไฟล์คีย์สโตร์ คุณไม่สามารถใช้ใบรับรองแบบ Self-signed คุณต้องสร้างใบรับรองจาก CA
  • อัปเดตการตั้งค่าการกำหนดค่าสำหรับ apigee-sso.

วิธีสร้างไฟล์คีย์สโตร์จากใบรับรองและคีย์

  1. สร้างไดเรกทอรีสำหรับไฟล์ JKS โดยทำดังนี้ 
    sudo mkdir -p /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  2. เปลี่ยนเป็นไดเรกทอรีใหม่โดยใช้คำสั่งต่อไปนี้ 
    cd /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  3. สร้างไฟล์ JKS ที่มีใบรับรองและคีย์ คุณต้องระบุคีย์สโตร์สำหรับโหมดนี้ที่มีใบรับรองที่ลงนามโดย CA คุณไม่สามารถใช้ใบรับรองแบบ Self-signed ได้ ดูตัวอย่างการสร้างไฟล์ JKS ได้ที่การกำหนดค่า TLS/SSL สำหรับ Edge On Premises
  4. กำหนดให้ไฟล์ JKS เป็นของผู้ใช้ "apigee" โดยทำดังนี้
    sudo chown -R apigee:apigee /opt/apigee/customer/application/apigee-sso/tomcat-ssl

วิธีกำหนดค่าโมดูล Apigee SSO

  1. เพิ่มการตั้งค่าต่อไปนี้ลงในไฟล์การกำหนดค่า 
    # Enable SSL_TERMINATION mode.
SSO_TOMCAT_PROFILE=SSL_TERMINATION

# Specify the path to the keystore file.
SSO_TOMCAT_KEYSTORE_FILEPATH=/opt/apigee/customer/application/apigee-sso/tomcat-ssl/keystore.jks

SSO_TOMCAT_KEYSTORE_ALIAS=sso

# The password specified when you created the keystore.
SSO_TOMCAT_KEYSTORE_PASSWORD=keystorePassword

# Specify the HTTPS port number between 1025 and 65535.
# Typically ports 1024 and below require root access by apigee-sso.
# The default is 9099.
SSO_TOMCAT_PORT=9443
SSO_PUBLIC_URL_PORT=9443

# Set public access scheme of apigee-sso to https.
SSO_PUBLIC_URL_SCHEME=https
  2. กำหนดค่าโมดูล Apigee SSO ดังนี้ 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. อัปเดตการกำหนดค่า IDP เพื่อส่งคำขอ HTTPS ในพอร์ต 9443 ของตัวจัดสรรภาระงานเพื่อเข้าถึง Apigee SSO ตรวจสอบว่าไม่มีบริการอื่นใช้พอร์ตนี้อยู่

    ดูข้อมูลเพิ่มเติมได้ที่หัวข้อต่อไปนี้

  4. อัปเดตการกำหนดค่า Edge UI สำหรับ HTTPS โดยตั้งค่าพร็อพเพอร์ตี้ต่อไปนี้ 
    SSO_PUBLIC_URL_PORT=9443
SSO_PUBLIC_URL_SCHEME=https
  5. หากคุณติดตั้งพอร์ทัลบริการสำหรับนักพัฒนาซอฟต์แวร์ ให้อัปเดตพอร์ทัลเพื่อใช้ HTTPS ในการเข้าถึง Apigee SSO ดูข้อมูลเพิ่มเติมได้ที่หัวข้อกำหนดค่าพอร์ทัลให้ใช้ IDP ภายนอก

ตั้งค่า SSO_TOMCAT_PROXY_PORT เมื่อใช้โหมด SSL_TERMINATION

คุณอาจมีตัวจัดสรรภาระงานอยู่หน้าโมดูล Apigee SSO ที่สิ้นสุด TLS ในตัวจัดสรรภาระงาน แต่ยังเปิดใช้ TLS ระหว่างตัวจัดสรรภาระงานกับ Apigee SSO ด้วย ในภาพด้านบนสำหรับโหมด SSL_PROXY หมายความว่าการเชื่อมต่อจากตัวจัดสรรภาระงานไปยัง Apigee SSO ใช้ TLS

ในสถานการณ์นี้ คุณจะกำหนดค่า TLS ใน Apigee SSO เช่นเดียวกับที่ทำด้านบนสำหรับโหมด SSL_TERMINATION อย่างไรก็ตาม หากตัวจัดสรรภาระงานใช้หมายเลขพอร์ต TLS ที่แตกต่างจากที่ Apigee SSO ใช้สำหรับ TLS คุณต้องระบุพร็อพเพอร์ตี้ SSO_TOMCAT_PROXY_PORT ในไฟล์การกำหนดค่าด้วย เช่น

  • ตัวจัดสรรภาระงานจะสิ้นสุด TLS ในพอร์ต 443
  • Apigee SSO จะสิ้นสุด TLS บนพอร์ต 9443

ตรวจสอบว่าได้รวมการตั้งค่าต่อไปนี้ไว้ในไฟล์การกำหนดค่า

# Specify the port number on the load balancer for terminating TLS.
# This port number is necessary for apigee-sso to generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

กำหนดค่า IDP และ Edge UI เพื่อส่งคำขอ HTTPS ในพอร์ต 443