Configurazione di TLS per l'interfaccia utente di gestione

Per impostazione predefinita, accedi alla UI Edge tramite HTTP utilizzando l'indirizzo IP del nodo del server di gestione e la porta 9000. Ad esempio:

http://ms_IP:9000

In alternativa, puoi configurare l'accesso TLS alla UI Edge in modo da potervi accedere nel seguente formato:

https://ms_IP:9443

In questo esempio, configuri l'accesso TLS in modo che utilizzi la porta 9443. Tuttavia, questo numero di porta non è richiesto da Edge: puoi configurare il server di gestione in modo che utilizzi altri valori di porta. L'unico requisito è che il firewall consenta il traffico sulla porta specificata.

Assicurati che la porta TLS sia aperta

La procedura descritta in questa sezione configura TLS per l'utilizzo della porta 9443 sul server di gestione. Indipendentemente dalla porta utilizzata, devi assicurarti che sia aperta sul server di gestione. Ad esempio, puoi utilizzare il seguente comando per aprirlo:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

Configura TLS

Utilizza la seguente procedura per configurare l'accesso TLS alla UI di gestione:

  1. Genera il file JKS dell'archivio chiavi contenente la certificazione TLS e la chiave privata e copialo nel nodo del server di gestione. Per saperne di più, consulta Configurazione di TLS/SSL per Edge on-premise.
  2. Esegui questo comando per configurare TLS: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl
  3. Inserisci il numero di porta HTTPS, ad esempio 9443.
  4. Specifica se vuoi disattivare l'accesso HTTP alla UI di gestione. Per impostazione predefinita, l'interfaccia utente di gestione è accessibile tramite HTTP sulla porta 9000.
  5. Inserisci l'algoritmo dell'archivio chiavi. Il valore predefinito è JKS.
  6. Inserisci il percorso assoluto del file JKS del keystore.

    Lo script copia il file nella directory /opt/apigee/customer/conf sul nodo del server di gestione e cambia la proprietà del file in "apigee".

  7. Inserisci la password del keystore in testo non crittografato.
  8. Lo script riavvia quindi la UI di gestione di Edge. Dopo il riavvio, la UI di gestione supporta l'accesso tramite TLS.

    Puoi visualizzare queste impostazioni in /opt/apigee/etc/edge-ui.d/SSL.sh.

Utilizzo di un file di configurazione per configurare TLS

In alternativa alla procedura precedente, puoi passare un file di configurazione al comando nel passaggio 2 della procedura. Dovrai utilizzare questo metodo se vuoi impostare proprietà TLS facoltative.

Per utilizzare un file di configurazione, crea un nuovo file e aggiungi le seguenti proprietà:

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

Salva il file in una directory locale con un nome a tua scelta. Quindi utilizza il seguente comando per configurare TLS:

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

dove configFile è il percorso completo del file salvato.

Configura l'interfaccia utente di Edge quando TLS termina sul bilanciatore del carico

Se hai un bilanciatore del carico che inoltra le richieste alla UI di Edge, puoi scegliere di terminare la connessione TLS sul bilanciatore del carico e poi fare in modo che il bilanciatore del carico inoltri le richieste alla UI di Edge tramite HTTP. Questa configurazione è supportata, ma devi configurare il bilanciatore del carico e l'interfaccia utente di Edge di conseguenza.

La configurazione aggiuntiva è necessaria quando la UI Edge invia agli utenti email per impostare la password quando l'utente viene creato o quando l'utente richiede di reimpostare una password persa. Questa email contiene un URL che l'utente seleziona per impostare o reimpostare una password. Per impostazione predefinita, se la UI di Edge non è configurata per l'utilizzo di TLS, l'URL nell'email generata utilizza il protocollo HTTP e non HTTPS. Devi configurare il bilanciatore del carico e la UI Edge in modo che generino un indirizzo email che utilizza HTTPS.

Per configurare il bilanciatore del carico, assicurati che imposti la seguente intestazione sulle richieste inoltrate all'interfaccia utente di Edge:

X-Forwarded-Proto: https

Per configurare la UI di Edge:

  1. Apri il file /opt/apigee/customer/application/ui.properties in un editor. Se il file non esiste, crealo: 
    vi /opt/apigee/customer/application/ui.properties
  2. Imposta la seguente proprietà in ui.properties: 
    conf/application.conf+trustxforwarded=true
  3. Salva le modifiche in ui.properties.
  4. Riavvia la UI Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Impostazione delle proprietà TLS facoltative

La UI di Edge supporta proprietà di configurazione TLS facoltative che puoi utilizzare per impostare quanto segue:

  • Protocollo TLS predefinito
  • Elenco dei protocolli TLS supportati
  • Algoritmi TLS supportati
  • Cifrari TLS supportati

Questi parametri facoltativi sono disponibili solo quando imposti la seguente proprietà di configurazione in un file di configurazione, come descritto in Utilizza un file di configurazione per configurare TLS:

TLS_CONFIGURE=y

La tabella seguente descrive queste proprietà:

Proprietà Descrizione
TLS_PROTOCOL Definisce il protocollo TLS predefinito per la UI di Edge. Per impostazione predefinita, è TLS 1.2. I valori validi sono TLSv1.2, TLSv1.1, TLSv1.
TLS_ENABLED_PROTOCOL

Definisce l'elenco dei protocolli abilitati come array separato da virgole. Ad esempio:

TLS_ENABLED_PROTOCOL=[\"TLSv1.2\", \"TLSv1.1\", \"TLSv1\"]

Tieni presente che devi utilizzare il carattere di escape ".

Per impostazione predefinita, tutti i protocolli sono abilitati.
TLS_DISABLED_ALGO

Definisce le suite di crittografia disattivate e può essere utilizzata anche per impedire l'utilizzo di chiavi di piccole dimensioni per l'handshake TLS. Non esiste un valore predefinito.

I valori passati a TLS_DISABLED_ALGO corrispondono ai valori consentiti per jdk.tls.disabledAlgorithms, come descritto qui. Tuttavia, devi utilizzare il codice di escape per i caratteri di spazio quando imposti TLS_DISABLED_ALGO:

TLS_DISABLED_ALGO=EC\ keySize\ <\ 160,RSA\ keySize\ <\ 2048
TLS_ENABLED_CIPHERS

Definisce l'elenco delle crittografie TLS disponibili come array separato da virgole. Ad esempio: 

TLS_ENABLED_CIPHERS=[\"TLS_DHE_RSA_WITH_AES_128_CBC_SHA\",
\"TLS_DHE_DSS_WITH_AES_128_CBC_SHA\"]

Tieni presente che devi utilizzare il carattere di escape ".

L'elenco predefinito di crittografie abilitate è:

"TLS_DHE_RSA_WITH_AES_256_CBC_SHA",
"TLS_DHE_RSA_WITH_AES_128_CBC_SHA",
"TLS_DHE_DSS_WITH_AES_128_CBC_SHA",
"TLS_RSA_WITH_AES_256_CBC_SHA",
"TLS_RSA_WITH_AES_128_CBC_SHA",
"SSL_RSA_WITH_RC4_128_SHA",
"SSL_RSA_WITH_RC4_128_MD5",
"TLS_EMPTY_RENEGOTIATION_INFO_SCSV"

Trova l'elenco dei sistemi di crittografia disponibili qui.

Disattivazione dei protocolli TLS

Per disattivare i protocolli TLS, devi modificare il file di configurazione, descritto in Utilizzo di un file di configurazione per configurare TLS, come segue:

  1. Apri il file di configurazione in un editor.
  2. Per disattivare un singolo protocollo TLS, ad esempio TLSv1.0, aggiungi quanto segue al file di configurazione: 
    TLS_CONFIGURE=y
TLS_DISABLED_ALGO="tlsv1"

    Per disattivare più protocolli, ad esempio TLSv1.0 e TLSv1.1, aggiungi quanto segue al file di configurazione:

    TLS_CONFIGURE=y
TLS_DISABLED_ALGO="tlsv1, tlsv1.1"
  3. Salva le modifiche nel file di configurazione.
  4. Esegui questo comando per configurare TLS: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

    dove configFile è il percorso completo del file di configurazione.

  5. Riavvia la UI Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Utilizza cookie sicuri

Apigee Edge for Private Cloud supporta l'aggiunta del flag secure all'intestazione Set-Cookie per le risposte dalla UI di Edge. Se questo flag è presente, il cookie può essere inviato solo tramite canali abilitati per TLS. Se non è presente, il cookie può essere inviato tramite qualsiasi canale, sicuro o meno.

I cookie senza il flag secure possono potenzialmente consentire a un malintenzionato di acquisire e riutilizzare il cookie o di compromettere una sessione attiva. Pertanto, la best practice consiste nell'attivare questa impostazione.

Per impostare il flag secure per i cookie della UI di Edge:

  1. Apri il seguente file in un editor di testo: 
    /opt/apigee/customer/application/ui.properties

    Se il file non esiste, crealo.

  2. Imposta la proprietà conf_application_session.secure su true nel file ui.properties, come mostrato nell'esempio seguente: 
    conf_application_session.secure=true
  3. Salva le modifiche.
  4. Riavvia la UI Edge utilizzando l'utilità apigee-serice, come mostrato nell'esempio seguente: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Per verificare che la modifica funzioni, controlla le intestazioni della risposta dall'interfaccia utente di Edge utilizzando un'utilità come curl, ad esempio:

curl -i -v https://edge_UI_URL

L'intestazione deve contenere una riga simile alla seguente:

Set-Cookie: secure; ...

Disabilita TLS sulla UI di Edge

Per disattivare TLS sulla UI Edge, utilizza il seguente comando:

/opt/apigee/apigee-service/bin/apigee-service edge-ui disable-ssl