Настройка TLS для API управления

По умолчанию TLS отключен для API управления, и вы получаете доступ к API управления Edge через HTTP, используя IP-адрес узла сервера управления и порт 8080. Например:

http://ms_IP:8080

Альтернативно вы можете настроить TLS-доступ к API управления, чтобы иметь к нему доступ в форме:

https://ms_IP:8443

В этом примере вы настраиваете доступ TLS для использования порта 8443. Однако этот номер порта не требуется для Edge — вы можете настроить сервер управления на использование других значений порта. Единственное требование — ваш брандмауэр разрешает трафик через указанный порт.

Чтобы обеспечить шифрование входящего и исходящего трафика вашего API управления, настройте параметры в файле /opt/apigee/customer/application/management-server.properties .

Помимо настройки TLS, вы также можете контролировать проверку пароля (длину и надежность пароля), изменив файл management-server.properties .

Убедитесь, что ваш порт TLS открыт

Процедура, описанная в этом разделе, настраивает TLS для использования порта 8443 на сервере управления. Независимо от того, какой порт вы используете, вы должны убедиться, что порт открыт на сервере управления. Например, вы можете использовать следующую команду, чтобы открыть его:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

Настроить TLS

Отредактируйте файл /opt/apigee/customer/application/management-server.properties , чтобы контролировать использование TLS для входящего и исходящего трафика вашего API управления. Если этот файл не существует, создайте его.

Чтобы настроить доступ TLS к API управления:

1. Создайте файл JKS хранилища ключей, содержащий ваш сертификат TLS и закрытый ключ. Дополнительные сведения см. в разделе Настройка TLS/SSL для Edge On Premises .
2. Скопируйте файл JKS хранилища ключей в каталог на узле Management Server, например /opt/apigee/customer/application .
3. Измените владельца файла JKS на пользователя «apigee»:

   chown apigee:apigee keystore.jks

   Где keystore.jks — это имя вашего файла хранилища ключей.

4. Отредактируйте /opt/apigee/customer/application/management-server.properties , чтобы установить следующие свойства. Если этот файл не существует, создайте его:

   conf_webserver_ssl.enabled=true
   # Leave conf_webserver_http.turn.off set to false
   # because many Edge internal calls use HTTP.
   conf_webserver_http.turn.off=false
   conf_webserver_ssl.port=8443
   conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
   # Enter the obfuscated keystore password below.
   conf_webserver_keystore.password=OBF:obfuscatedPassword

   Где keyStore.jks — это ваш файл хранилища ключей, а obfuscatedPassword — ваш запутанный пароль хранилища ключей. Информацию о создании запутанного пароля см. в разделе Настройка TLS/SSL для Edge On Premises .

5. Перезапустите Edge Management Server с помощью команды:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

API управления теперь поддерживает доступ через TLS.

Настройте пользовательский интерфейс Edge для использования TLS для доступа к Edge API.

В приведенной выше процедуре Apigee рекомендовал оставить conf_webserver_http.turn.off=false , чтобы пользовательский интерфейс Edge мог продолжать выполнять вызовы Edge API через HTTP.

Используйте следующую процедуру, чтобы настроить пользовательский интерфейс Edge для выполнения этих вызовов только через HTTPS:

1. Настройте доступ TLS к API управления, как описано выше.
2. Убедившись, что TLS работает для API управления, отредактируйте /opt/apigee/customer/application/ management-server.properties установив следующее свойство:

   conf_webserver_http.turn.off=true

3. Перезапустите Edge Management Server, выполнив следующую команду:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 

4. Отредактируйте /opt/apigee/customer/application/ ui.properties чтобы установить следующее свойство для пользовательского интерфейса Edge:

   conf_apigee_apigee.mgmt.baseurl="https://FQ_domain_name:port/v1"

   Где FQ_domain_name — это полное имя домена согласно адресу вашего сертификата Сервера управления, а port — это порт, указанный выше в conf_webserver_ssl.port .

   Если ui.properties не существует, создайте его.

5. Только если вы использовали самозаверяющий сертификат (не рекомендуется в производственной среде) при настройке доступа TLS к API управления выше, добавьте следующее свойство в ui.properties :

   conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true

   В противном случае пользовательский интерфейс Edge отклонит самозаверяющий сертификат.

6. Перезапустите пользовательский интерфейс Edge, выполнив следующую команду:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Свойства TLS для сервера управления

В следующей таблице перечислены все свойства TLS/SSL, которые вы можете установить в management-server.properties :

OBF:xxxxxxxxxx

OBF:xxxxxxxxxx