ضبط بروتوكول أمان طبقة النقل لواجهة برمجة التطبيقات للإدارة

يكون بروتوكول أمان طبقة النقل (TLS) غير مفعَّل تلقائيًا في Management API، ويمكنك الوصول إلى Edge Management API عبر HTTP باستخدام عنوان IP لعقدة خادم الإدارة والمنفذ 8080. على سبيل المثال:

http://ms_IP:8080

يمكنك بدلاً من ذلك ضبط وصول بروتوكول أمان طبقة النقل (TLS) إلى Management API لتتمكّن من الوصول إليها بالصيغة التالية:

https://ms_IP:8443

في هذا المثال، يمكنك ضبط وصول بروتوكول أمان طبقة النقل (TLS) لاستخدام المنفذ 8443. ومع ذلك، لا يتطلب Edge رقم المنفذ هذا، ويمكنك ضبط خادم الإدارة لاستخدام قيم منافذ أخرى. الشرط الوحيد هو أن يسمح جدار الحماية بحركة البيانات عبر المنفذ المحدّد.

لضمان تشفير الزيارات من وإلى Management API، اضبط الإعدادات في ملف /opt/apigee/customer/application/management-server.properties.

بالإضافة إلى إعدادات بروتوكول أمان طبقة النقل (TLS)، يمكنك أيضًا التحكّم في التحقّق من كلمة المرور (طول كلمة المرور وقوتها) من خلال تعديل ملف management-server.properties.

التأكّد من أنّ منفذ بروتوكول أمان طبقة النقل (TLS) مفتوح

يضبط الإجراء في هذا القسم بروتوكول أمان طبقة النقل (TLS) لاستخدام المنفذ 8443 على خادم الإدارة. بغض النظر عن المنفذ الذي تستخدمه، يجب التأكّد من أنّ المنفذ مفتوح على خادم الإدارة. على سبيل المثال، يمكنك استخدام الأمر التالي لفتحه:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

إعداد بروتوكول أمان طبقة النقل (TLS)

عدِّل ملف /opt/apigee/customer/application/management-server.properties للتحكّم في استخدام بروتوكول أمان طبقة النقل (TLS) في الزيارات من وإلى Management API. إذا لم يكن هذا الملف متوفّرًا، يمكنك إنشاؤه.

لضبط وصول بروتوكول أمان طبقة النقل (TLS) إلى Management API:

1. أنشئ ملف JKS لمخزن المفاتيح يحتوي على شهادة TLS والمفتاح الخاص. لمزيد من المعلومات، يُرجى الاطّلاع على ضبط بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) في Edge On Premises.
2. انسخ ملف JKS الخاص بمخزن المفاتيح إلى دليل على عقدة خادم الإدارة، مثل /opt/apigee/customer/application.
3. غيِّر ملكية ملف JKS إلى المستخدم "apigee":

   chown apigee:apigee keystore.jks

   حيث يمثّل keystore.jks اسم ملف تخزين المفاتيح.

4. عدِّل /opt/apigee/customer/application/management-server.properties لضبط السمات التالية. إذا لم يكن هذا الملف متوفّرًا، أنشِئه:

   conf_webserver_ssl.enabled=true
   # Leave conf_webserver_http.turn.off set to false
   # because many Edge internal calls use HTTP.
   conf_webserver_http.turn.off=false
   conf_webserver_ssl.port=8443
   conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
   # Enter the obfuscated keystore password below.
   conf_webserver_keystore.password=OBF:obfuscatedPassword

   حيث يمثّل keyStore.jks ملف تخزين المفاتيح، ويمثّل obfuscatedPassword كلمة مرور تخزين المفاتيح المُخفاة. يُرجى الاطّلاع على ضبط بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) في Edge On Premises للحصول على معلومات حول إنشاء كلمة مرور مخفية.

5. أعِد تشغيل خادم إدارة Edge باستخدام الأمر:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

تتيح Management API الآن الوصول عبر بروتوكول أمان طبقة النقل (TLS).

ضبط واجهة مستخدم Edge لاستخدام بروتوكول أمان طبقة النقل (TLS) للوصول إلى واجهة برمجة تطبيقات Edge

In the procedure above, Apigee recommended leaving conf_webserver_http.turn.off=false so that the Edge UI can continue to make Edge API calls over HTTP.

استخدِم الإجراء التالي لضبط واجهة مستخدم Edge لإجراء هذه الطلبات عبر HTTPS فقط:

1. اضبط إمكانية الوصول إلى Management API عبر بروتوكول أمان طبقة النقل (TLS) كما هو موضّح أعلاه.
2. بعد التأكّد من عمل بروتوكول أمان طبقة النقل (TLS) مع Management API، عدِّل /opt/apigee/customer/application/management-server.properties لضبط السمة التالية:

   conf_webserver_http.turn.off=true

3. أعِد تشغيل خادم إدارة Edge من خلال تنفيذ الأمر التالي:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 

4. عدِّل /opt/apigee/customer/application/ui.properties لضبط السمة التالية لواجهة مستخدم Edge:

   conf_apigee_apigee.mgmt.baseurl="https://FQ_domain_name:port/v1"

   حيث FQ_domain_name هو اسم النطاق الكامل، وفقًا لعنوان شهادة خادم الإدارة، وport هو المنفذ المحدّد أعلاه بواسطة conf_webserver_ssl.port.

   إذا لم يكن الملف ui.properties متوفّرًا، أنشِئه.

5. في حال استخدام شهادة موقَّعة ذاتيًا فقط (لا يُنصح بها في بيئة التشغيل الفعلي) عند ضبط الوصول عبر بروتوكول أمان طبقة النقل (TLS) إلى Management API أعلاه، أضِف السمة التالية إلى ui.properties:

   conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true

   وإلا، سترفض واجهة مستخدم Edge الشهادة الموقَّعة ذاتيًا.

6. أعِد تشغيل واجهة مستخدم Edge من خلال تنفيذ الأمر التالي:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

خصائص بروتوكول أمان طبقة النقل (TLS) لخادم الإدارة

يسرد الجدول التالي جميع سمات بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) التي يمكنك ضبطها في management-server.properties:

OBF:xxxxxxxxxx

OBF:xxxxxxxxxx