本頁面由 Cloud Translation API 翻譯而成。

設定 Apigee mTLS

在叢集中的每個節點上安裝 apigee-mtls 元件後，您必須設定並初始化該元件。方法是產生憑證/金鑰組，並更新管理機器上的設定檔。接著，將相同的產生的檔案部署至叢集中的所有節點，並初始化本機 apigee-mtls 元件。

設定 apigee-mtls (首次安裝後)

本節說明如何在初次安裝後，立即為單一資料中心設定 Apigee mTLS。如要瞭解如何更新「現有」Apigee mTLS 的安裝作業，請參閱變更現有的 apigee-mtls 設定。如要瞭解如何設定多個資料中心，請參閱「為 Apigee mTLS 設定多個資料中心」。

以下是設定 apigee-mtls 的一般程序：

更新設定檔：在管理機器上更新設定檔，加入 apigee-mtls 設定。
安裝 Consul 並產生憑證：安裝 Consul 並使用其產生傳輸層安全標準 (TLS) 憑證 (僅限一次)。
此外，請將 Apigee mTLS 設定檔編輯為：
1. 新增憑證資訊
2. 定義叢集的拓撲
請注意，您可以使用現有憑證或使用 Consul 產生憑證。
發布設定檔和憑證：將相同的憑證/金鑰組和更新後的設定檔發布至叢集中的所有節點。
初始化 apigee-mtls：初始化每個節點上的 apigee-mtls 元件。

以下各節將說明這些步驟。

步驟 1：更新設定檔

本節說明如何修改設定檔，以納入 mTLS 設定屬性。如要進一步瞭解設定檔的一般資訊，請參閱「建立設定檔」一文。

使用 mTLS 相關屬性更新設定檔後，您可將其複製到叢集中的所有節點，然後再初始化這些節點上的 apigee-mtls 元件。

參照設定檔的指令會使用「config_file」指出其位置會因您儲存在每個節點的位置而有所不同。

如何更新設定檔：

在管理電腦上開啟設定檔。

複製下列 mTLS 設定屬性組合，並貼到設定檔中：

ALL_IP="ALL_PRIVATE_IPS_IN_CLUSTER"
ZK_MTLS_HOSTS="ZOOKEEPER_PRIVATE_IPS"
CASS_MTLS_HOSTS="CASSANDRA_PRIVATE_IPS"
PG_MTLS_HOSTS="POSTGRES_PRIVATE_IPS"
RT_MTLS_HOSTS="ROUTER_PRIVATE_IPS"
MS_MTLS_HOSTS="MGMT_SERVER_PRIVATE_IPS"
MP_MTLS_HOSTS="MESSAGE_PROCESSOR_PRIVATE_IPS"
QP_MTLS_HOSTS="QPID_PRIVATE_IPS"
LDAP_MTLS_HOSTS="OPENLDAP_PRIVATE_IPS"
MTLS_ENCAPSULATE_LDAP="y"

ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="BASE64_GOSSIP_MESSAGE"
PATH_TO_CA_CERT="PATH/TO/consul-agent-ca.pem"
PATH_TO_CA_KEY="PATH/TO/consul-agent-ca-key.pem"
APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR="NUMBER_OF_DAYS"

根據您的設定，分別設定每個屬性的值。

下表說明這些設定屬性：

屬性	說明
`ALL_IP`	叢集內所有節點的私人主機 IP 位址清單 (以空格分隔)。 IP 位址的順序無關緊要，不過叢集中的所有設定檔都必須使用相同的 IP 位址。如果您在多個資料中心中設定 Apigee mTLS，請列出所有地區上所有主機的所有 IP 位址。
`LDAP_MTLS_HOSTS`	叢集內 OpenLDAP 節點的私人主機 IP 位址。
`ZK_MTLS_HOSTS`	叢集內代管 ZooKeeper 節點的私人主機 IP 位址清單 (以空格分隔)。請注意，根據規定，至少要有三個 ZooKeeper 節點。
`CASS_MTLS_HOSTS`	叢集內託管 Cassandra 伺服器的私人主機 IP 位址清單 (以空格分隔)。
`PG_MTLS_HOSTS`	叢集內託管 Postgres 伺服器的私人主機 IP 位址清單 (以空格分隔)。
`RT_MTLS_HOSTS`	叢集內託管路由器的私人主機 IP 位址清單 (以空格分隔)。
`MTLS_ENCAPSULATE_LDAP`	加密郵件處理器和 LDAP 伺服器之間的 LDAP 流量。請設為 `y`。
`MS_MTLS_HOSTS`	叢集內託管管理伺服器節點的私人主機 IP 位址清單 (以空格分隔)。
`MP_MTLS_HOSTS`	以空格分隔的私人主機 IP 位址清單，訊息處理器會在叢集中託管訊息處理器。
`QP_MTLS_HOSTS`	叢集內託管 Qpid 伺服器的私人主機 IP 位址清單 (以空格分隔)。
`ENABLE_SIDECAR_PROXY`	判斷 Cassandra 和 Postgres 是否應知道服務網格。您必須將這個值設為「y」。
`ENCRYPT_DATA`	Consul 使用的 Base64 編碼加密金鑰。您已使用「步驟 2：安裝 Consul 並產生憑證」中的 `consul keygen` 指令產生這組金鑰。叢集內所有節點的值皆須相同。
`PATH_TO_CA_CERT`	節點上的憑證檔案位置。您已在步驟 2：安裝 Consul 並產生憑證中產生這個檔案。叢集內所有節點的這個位置都應相同，這樣設定檔才會相同。憑證必須採用 X509v3 編碼。
`PATH_TO_CA_KEY`	節點上的金鑰檔案位置。您已在步驟 2：安裝 Consul 並產生憑證中產生這個檔案。叢集內所有節點的這個位置都應相同，這樣設定檔才會相同。金鑰檔案必須採用 X509v3 編碼。
`APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR`	憑證在產生自訂憑證時可用的天數。預設值為 365。最大值為 7865 天 (5 年)。

除了上述屬性以外，當您在多資料中心設定中安裝 Apigee mTLS 時，也會使用多項額外屬性。詳情請參閱「設定多個資料中心」的說明。

請務必將 ENABLE_SIDECAR_PROXY 屬性設為「y」。
更新主機相關屬性中的 IP 位址。參照每個節點時，請務必使用「私人」IP 位址，而非公開 IP 位址。
在後續步驟中，您將設定其他屬性的值，例如 ENCRYPT_DATA、PATH_TO_CA_CERT 和 PATH_TO_CA_KEY。您尚未設定這些屬性的值。

編輯 apigee-mtls 設定屬性時，請注意下列事項：
- 所有屬性都是字串，您必須使用單引號或雙引號括住所有屬性的值。
- 如果主機相關值有多個私人 IP 位址，請以空格分隔每個 IP 位址。
- 使用私人 IP 位址，而非設定檔中所有主機相關屬性的主機名稱或公開 IP 位址。
- 叢集內所有設定檔中的 IP 位址順序均必須相同。
儲存對設定檔所做的變更。

步驟 2：安裝 Consul 並產生憑證

本節說明如何安裝 Consul 及產生憑證。

您必須選擇下列其中一種方法來產生憑證：

如本節所述，使用 Consul 建立自己的 CA (建議)
將現有憑證授權單位的憑證與 Apigee mTLS 搭配使用 (進階)

關於憑證

憑證內容包括：

憑證：每個節點代管的 TLS 憑證
金鑰：各節點代管的 TLS 公開金鑰
Gossip 訊息：Base-64 編碼的加密金鑰

您只需要為這些檔案個別產生一個版本即可。您會將金鑰和憑證檔案複製到叢集中的所有節點，並將加密金鑰新增至設定檔 (也會複製到所有節點)。

如要進一步瞭解 Consul 的加密實作，請參閱以下內容：

安裝 Consul 並產生憑證

您會使用本機 Consul 二進位檔產生憑證，讓 Apigee mTLS 用於驗證 Private Cloud 叢集中節點之間的安全通訊。因此，您必須在管理機器上安裝 Consul，才能產生憑證。

如何安裝 Consul 並產生 mTLS 憑證：

在管理機器上，從 HashiCorp 網站下載 Consul 1.6.2 二進位檔。
將下載的封存檔案內容解壓縮。例如，將內容擷取至 /opt/consul/。
注意：請繼續執行這個程序，使用 Consul 產生憑證 (建議選項)。
如要使用現有的憑證，請參閱將自訂憑證與 Apigee mTLS 整合 (進階) 一文。
在管理機器中執行下列指令，建立新的憑證授權單位 (CA)：
```
/opt/consul/consul tls ca create
```
Consul 會建立以下檔案，其中包含憑證/金鑰組：
- consul-agent-ca.pem (憑證)
- consul-agent-ca-key.pem (鍵)
根據預設，憑證和金鑰檔案均採用 X509v3 編碼。

稍後，您會將這些檔案複製到叢集中的所有節點。不過，目前您只能決定在節點上存放這些檔案的「位置」。設定檔應位於每個節點的相同位置。例如 /opt/apigee/。
在設定檔中，將 PATH_TO_CA_CERT 的值設定為您要在節點上複製 consul-agent-ca.pem 檔案的位置。例如：
```
PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem"
```
將 PATH_TO_CA_KEY 的值設為您要在節點上複製 consul-agent-ca-key.pem 檔案的位置。例如：
```
PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem"
```
執行下列指令，為 Consul 建立加密金鑰：
```
/opt/consul/consul keygen
```
Consul 會輸出類似下方的隨機字串：
```
QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY=
```
複製字串，並將字串設為設定檔中 ENCRYPT_DATA 屬性的值。例如：
```
ENCRYPT_DATA="QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY="
```
注意：上述值為「範例」加密金鑰。這「不是」您要使用的實際字串。您必須自行產生。
儲存設定檔。

以下範例顯示設定檔中的 mTLS 相關設定 (含範例值)：

...
IP1=10.126.0.121
IP2=10.126.0.124
IP3=10.126.0.125
IP4=10.126.0.127
IP5=10.126.0.130
ALL_IP="$IP1 $IP2 $IP3 $IP4 $IP5"
LDAP_MTLS_HOSTS="$IP3"
ZK_MTLS_HOSTS="$IP3 $IP4 $IP5"
CASS_MTLS_HOSTS="$IP3 $IP4 $IP5"
PG_MTLS_HOSTS="$IP2 $IP1"
RT_MTLS_HOSTS="$IP4 $IP5"
MS_MTLS_HOSTS="$IP3"
MP_MTLS_HOSTS="$IP4 $IP5"
QP_MTLS_HOSTS="$IP2 $IP1"
ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY="
PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem"
PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem"
...

步驟 3：發布設定檔和憑證

使用 scp 等工具，將下列檔案複製到執行 ZooKeeper 的節點：

設定檔：複製這個檔案的更新版本，並取代所有節點上的現有版本 (不只是執行 ZooKeeper 的節點)。
consul-agent-ca.pem:複製到您在設定檔中指定為 PATH_TO_CA_CERT 值的位置。
consul-agent-ca-key.pem:複製到您在設定檔中指定為 PATH_TO_CA_KEY 值的位置。

確認憑證和金鑰檔案的複製位置與您在步驟 2：安裝 Consul 並產生憑證的設定檔值相符。

步驟 4：初始化 apigee-mtls

更新設定檔之後，將設定檔與憑證複製到叢集中的所有節點，並在每個節點上安裝 apigee-mtls，就可以開始初始化每個節點上的 apigee-mtls 元件。

如要初始化 apigee-mtls：

以超級使用者身分登入叢集中的節點。您可以視需要在節點上執行這些步驟。
將 apigee:apigee 使用者設為已更新設定檔的擁有者，如以下範例所示：
```
chown apigee:apigee config_file
```

執行下列指令來設定 apigee-mtls 元件：

/opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f config_file

(選用) 執行以下指令，確認是否設定成功：
```
/opt/apigee/apigee-mtls/lib/actions/iptables.sh validate
```
執行下列指令來啟動 Apigee mTLS：
```
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
```
安裝 Apigee mTLS 後，您必須先啟動這個元件，然後再啟動節點上的任何其他元件。

(僅限 Cassandra 節點) Cassandra 需要額外的引數才能在安全性網格中運作。因此，您必須在每個 Cassandra 節點上執行下列指令：

/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart

(僅限 Postgres 節點) Postgres 需要額外的引數才能在安全性網格中運作。因此，您必須在 Postgres 節點上執行以下操作：
(僅限主要版本)
1. 對 Postgres 主要節點執行下列指令：
```
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
```
(僅限待命)
1. 備份現有的 Postgres 資料。如要安裝 Apigee mTLS，您必須重新初始化主要執行個體/待命節點，以免資料遺失。詳情請參閱「設定 Postgres 的主要執行個體/待命複製功能」。
2. 刪除所有 Postgres 資料：
```
rm -rf /opt/apigee/data/apigee-postgresql/pgdata
```
3. 設定 Postgres 然後重新啟動 Postgres，如以下範例所示：
```
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
```
注意：由於網路發生問題，您可能需要多次執行這個步驟，才能順利完成。

如果您要在多資料中心拓撲中安裝，請使用設定檔的絕對路徑。
按照開始順序啟動節點上的其餘 Apigee 元件，如以下範例所示：
```
/opt/apigee/apigee-service/bin/apigee-service component_name start
```
對叢集中的每個節點重複執行這項程序。
(選用) 使用以下一或多種方法，確認 apigee-mtls 初始化成功：
1. 驗證 iptables 設定
2. 驗證遠端 Proxy 狀態
3. 驗證仲裁狀態
上述每種方法在驗證您的設定中都會提供。

變更現有的 apigee-mtls 設定

如要自訂現有的 apigee-mtls 設定，請先解除安裝再重新安裝 apigee-mtls。

CAUTION：Apigee mTLS 的設定與設定「並非」冪等。因此，所有節點上的 apigee-mtls 設定項目都必須相同：如果您在單一節點上進行變更，就必須在所有節點上進行相同的變更。否則服務網格可能會失敗。

如要重申這個時間點，在變更現有 Apigee mTLS 設定時：

如果變更設定檔，必須先解除安裝 apigee-mtls，然後重新執行 setup 或 configure：

# DO THIS:
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall

# BEFORE YOU DO THIS:
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f file
OR
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls configure

您必須解除安裝並重新執行叢集內所有節點的 setup 或 configure，而非只有單一節點。

注意：在 apigee-mtls 上重複執行 setup 或 configure，並不會與其他 Apigee 服務相同。而且不一定會產生新的設定 (或修改本機設定)。