設定 Apigee mTLS

在叢集的每個節點上安裝 apigee-mtls 元件後，您必須設定並初始化該元件。方法是產生憑證/金鑰組，並更新管理機器上的設定檔。接著，您將相同的生成檔案部署到叢集中的所有節點，並初始化本機 apigee-mtls 元件。

設定 apigee-mtls (初始安裝後)

本節說明如何在初始安裝後，立即為單一資料中心設定 Apigee mTLS。如要瞭解如何更新「現有」Apigee mTLS 安裝作業，請參閱「變更現有的 apigee-mtls 設定」。如要瞭解如何設定多個資料中心，請參閱「為 Apigee mTLS 設定多個資料中心」。

以下是設定 apigee-mtls 的一般程序：

  1. 更新設定檔：在管理機器上更新設定檔，加入 apigee-mtls 設定。
  2. 安裝 Consul 並產生憑證：安裝 Consul 並用來產生 TLS 憑證 (僅限一次)。

    此外，請編輯 Apigee mTLS 設定檔，以便：

    1. 新增憑證資訊
    2. 定義叢集拓撲

    請注意，您可以使用現有憑證，或使用 Consul 產生憑證。

  3. 發布設定檔和憑證：將產生的相同憑證/金鑰組和更新後的設定檔，發布至叢集中的所有節點。
  4. 初始化 apigee-mtls：初始化每個節點上的 apigee-mtls 元件。

以下各節將分別說明這些步驟。

步驟 1：更新設定檔

本節說明如何修改設定檔，加入 mTLS 設定屬性。如要進一步瞭解設定檔，請參閱「建立設定檔」。

使用 mTLS 相關屬性更新設定檔後，請先將設定檔複製到叢集中的所有節點，再於這些節點上初始化 apigee-mtls 元件。

參照設定檔的指令會使用「config_file」表示其位置是變數，取決於您在每個節點上儲存的位置。

更新設定檔：

  1. 在管理機器上開啟設定檔。
  2. 複製下列 mTLS 設定屬性，並貼到設定檔中：
    ALL_IP="ALL_PRIVATE_IPS_IN_CLUSTER"
ZK_MTLS_HOSTS="ZOOKEEPER_PRIVATE_IPS"
CASS_MTLS_HOSTS="CASSANDRA_PRIVATE_IPS"
PG_MTLS_HOSTS="POSTGRES_PRIVATE_IPS"
RT_MTLS_HOSTS="ROUTER_PRIVATE_IPS"
MS_MTLS_HOSTS="MGMT_SERVER_PRIVATE_IPS"
MP_MTLS_HOSTS="MESSAGE_PROCESSOR_PRIVATE_IPS"
QP_MTLS_HOSTS="QPID_PRIVATE_IPS"
LDAP_MTLS_HOSTS="OPENLDAP_PRIVATE_IPS"
MTLS_ENCAPSULATE_LDAP="y"

ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="BASE64_GOSSIP_MESSAGE"
PATH_TO_CA_CERT="PATH/TO/consul-agent-ca.pem"
PATH_TO_CA_KEY="PATH/TO/consul-agent-ca-key.pem"
APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR="NUMBER_OF_DAYS"

    根據設定調整各項屬性的值。

    下表說明這些設定屬性：

    屬性 說明
    ALL_IP 叢集中所有節點的私人主機 IP 位址清單，以空格分隔。

    IP 位址的順序並不重要，但叢集內所有設定檔中的順序必須相同。

    如果您為多個資料中心設定 Apigee mTLS，請列出所有區域中所有主機的所有 IP 位址。
    LDAP_MTLS_HOSTS 叢集中 OpenLDAP 節點的私人主機 IP 位址。
    ZK_MTLS_HOSTS

    以空格分隔的私人主機 IP 位址清單，ZooKeeper 節點託管於叢集中的這些位址。

    請注意，根據規定，至少須有三個 ZooKeeper 節點。
    CASS_MTLS_HOSTS 以空格分隔的私人主機 IP 位址清單，其中包含叢集中託管 Cassandra 伺服器的位址。
    PG_MTLS_HOSTS 以空格分隔的私人主機 IP 位址清單，用於託管叢集中的 Postgres 伺服器。
    RT_MTLS_HOSTS 以空格分隔的私人主機 IP 位址清單，用於託管叢集中的路由器。
    MTLS_ENCAPSULATE_LDAP 加密訊息處理器和 LDAP 伺服器之間的 LDAP 流量。請設為 y。
    MS_MTLS_HOSTS 以空格分隔的私人主機 IP 位址清單，用於託管叢集中的管理伺服器節點。
    MP_MTLS_HOSTS 以空格分隔的私人主機 IP 位址清單，訊息處理器託管於叢集中的這些位址。
    QP_MTLS_HOSTS 以空格分隔的私人主機 IP 位址清單，用於託管叢集中的 Qpid 伺服器。
    ENABLE_SIDECAR_PROXY 決定 Cassandra 和 Postgres 是否應瞭解服務網格。

    這個值必須設為「y」。
    ENCRYPT_DATA Consul 使用的 Base64 編碼加密金鑰。您在步驟 2：安裝 Consul 並產生憑證中，使用 consul keygen 指令產生了這組金鑰。

    叢集內所有節點的這個值必須相同。
    PATH_TO_CA_CERT 節點上的憑證檔案位置。您已在步驟 2：安裝 Consul 並產生憑證中產生這個檔案。

    叢集內所有節點的這個位置應相同，這樣設定檔才會相同。

    憑證必須採用 X509v3 編碼。
    PATH_TO_CA_KEY 節點上的金鑰檔案位置。您已在步驟 2：安裝 Consul 並產生憑證中產生這個檔案。

    叢集內所有節點的這個位置應相同，這樣設定檔才會相同。

    金鑰檔案必須採用 X509v3 編碼。
    APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR

    產生自訂憑證時，憑證的有效天數。

    預設值為 365。最大值為 7865 天 (5 年)。

    除了上述屬性外，在多資料中心設定中安裝 Apigee mTLS 時，還會使用其他幾項屬性。詳情請參閱「設定多個資料中心」。

  3. 請務必將 ENABLE_SIDECAR_PROXY 屬性設為「y」。
  4. 更新主機相關屬性中的 IP 位址。參照各個節點時，請務必使用「私人」IP 位址，而非「公開」IP 位址。

    在後續步驟中，您將設定其他屬性的值，例如 ENCRYPT_DATA、PATH_TO_CA_CERT 和 PATH_TO_CA_KEY。您尚未設定其值。

    編輯 apigee-mtls 設定屬性時，請注意下列事項：

    • 所有屬性都是字串，因此您必須使用單引號或雙引號括住所有屬性的值。
    • 如果主機相關值有多個私人 IP 位址，請以空格分隔每個 IP 位址。
    • 在設定檔中，所有與主機相關的屬性都應使用私人 IP 位址，而非主機名稱或公開 IP 位址。
    • 在整個叢集的所有設定檔中，屬性值中的 IP 位址順序必須相同。
  5. 儲存設定檔變更。

步驟 2：安裝 Consul 並產生憑證

本節說明如何安裝 Consul 並產生憑證。

您必須選擇下列其中一種方法來產生憑證：

  • 按照本節所述，使用 Consul 建立自己的 CA (建議)
  • 使用現有 CA 的憑證搭配 Apigee mTLS (進階)

關於憑證

憑證包含下列項目：

  • 憑證：各節點上託管的 TLS 憑證
  • 金鑰：各節點上託管的 TLS 公開金鑰
  • Gossip 訊息：採用 Base64 編碼的加密金鑰

您只需為每個檔案產生一個版本。您將金鑰和憑證檔案複製到叢集中的所有節點，並將加密金鑰新增至設定檔，然後將設定檔也複製到所有節點。

如要進一步瞭解 Consul 的加密實作，請參閱下列資源：

安裝 Consul 並產生憑證

您可以使用本機 Consul 二進位檔產生憑證，Apigee mTLS 會使用這些憑證，驗證私有雲叢集中節點之間的安全通訊。因此，您必須先在管理機器上安裝 Consul，才能產生憑證。

如要安裝 Consul 並產生 mTLS 憑證，請按照下列步驟操作：

  1. 在管理機器上，從 HashiCorp 網站下載 Consul 1.6.2 二進位檔。
  2. 將下載的封存檔解壓縮。例如，將內容擷取至 /opt/consul/。
  3. 在管理機器上執行下列指令，建立新的憑證授權單位 (CA)：
    /opt/consul/consul tls ca create

    Consul 會建立下列檔案，也就是憑證/金鑰組：

    • consul-agent-ca.pem (憑證)
    • consul-agent-ca-key.pem (金鑰)

    根據預設，憑證和金鑰檔案會以 X509v3 編碼。

    稍後，您會將這些檔案複製到叢集中的所有節點。不過，目前您只需要決定要將這些檔案放在節點上的哪個位置。每個節點上的位置應相同。例如：/opt/apigee/。

  4. 在設定檔中，將 PATH_TO_CA_CERT 的值設為您要將 consul-agent-ca.pem 檔案複製到節點上的位置。例如： 
    PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem"
  5. 將 PATH_TO_CA_KEY 的值設為您要將 consul-agent-ca-key.pem 檔案複製到節點上的位置。例如： 
    PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem"
  6. 執行下列指令，為 Consul 建立加密金鑰： 
    /opt/consul/consul keygen

    Consul 會輸出隨機字串，大致如下：

    QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY=
  7. 複製字串，並將其設為設定檔中 ENCRYPT_DATA 屬性的值。例如： 
    ENCRYPT_DATA="QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY="
  8. 儲存設定檔。

以下範例顯示設定檔中與 mTLS 相關的設定 (含範例值)：

...
IP1=10.126.0.121
IP2=10.126.0.124
IP3=10.126.0.125
IP4=10.126.0.127
IP5=10.126.0.130
ALL_IP="$IP1 $IP2 $IP3 $IP4 $IP5"
LDAP_MTLS_HOSTS="$IP3"
ZK_MTLS_HOSTS="$IP3 $IP4 $IP5"
CASS_MTLS_HOSTS="$IP3 $IP4 $IP5"
PG_MTLS_HOSTS="$IP2 $IP1"
RT_MTLS_HOSTS="$IP4 $IP5"
MS_MTLS_HOSTS="$IP3"
MP_MTLS_HOSTS="$IP4 $IP5"
QP_MTLS_HOSTS="$IP2 $IP1"
ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY="
PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem"
PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem"
...

steps 3：發布設定檔和憑證

使用 scp 等工具，將下列檔案複製到執行 ZooKeeper 的節點：

  • 設定檔：複製這個檔案的更新版本，並取代所有節點 (不只是執行 ZooKeeper 的節點) 上的現有版本。
  • consul-agent-ca.pem:複製到您在設定檔中指定為 PATH_TO_CA_CERT 值的路徑。
  • consul-agent-ca-key.pem:複製到您在設定檔中指定為 PATH_TO_CA_KEY 值的路徑。

請務必確認憑證和金鑰檔案的複製位置，與您在「步驟 2：安裝 Consul 並產生憑證」中設定的設定檔值相符。

步驟 4：初始化 apigee-mtls

更新設定檔、將設定檔和憑證複製到叢集中的所有節點，並在每個節點上安裝 apigee-mtls 後，即可在每個節點上初始化 apigee-mtls 元件。

如要初始化 apigee-mtls：

  1. 以超級使用者身分登入叢集中的節點。您可以按照任何順序在節點上執行這些步驟。
  2. 將 apigee:apigee 使用者設為更新後設定檔的擁有者，如以下範例所示：
    chown apigee:apigee config_file
  3. 執行下列指令，設定 apigee-mtls 元件： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f config_file
  4. (選用) 執行下列指令，確認設定成功： 
    /opt/apigee/apigee-mtls/lib/actions/iptables.sh validate
  5. 執行下列指令，啟動 Apigee mTLS： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start

    安裝 Apigee mTLS 後，您必須先啟動這項元件，再啟動節點上的其他元件。

  6. (僅限 Cassandra 節點) Cassandra 需要額外引數，才能在安全網格中運作。因此，您必須在每個 Cassandra 節點上執行下列指令： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
  7. (僅限 Postgres 節點) Postgres 需要額外引數，才能在安全網格中運作。因此，您必須在 Postgres 節點上執行下列操作：

    (僅限主要帳戶)

    1. 在 Postgres 主要節點上執行下列指令： 
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

    (僅限待機模式)

    1. 備份現有的 Postgres 資料。如要安裝 Apigee mTLS，您必須重新初始化主要/待命節點，因此會遺失資料。詳情請參閱「為 Postgres 設定主要/待命複製功能」。
    2. 刪除所有 Postgres 資料： 
      rm -rf /opt/apigee/data/apigee-postgresql/pgdata
    3. 設定 Postgres，然後重新啟動 Postgres，如以下範例所示： 
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

    如要在多資料中心拓撲上安裝，請使用設定檔的絕對路徑。

  8. 按照啟動順序，在節點上啟動其餘 Apigee 元件，如以下範例所示：
    /opt/apigee/apigee-service/bin/apigee-service component_name start
  9. 為叢集中的每個節點重複這項程序。
  10. (選用) 使用下列一或多種方法，確認 apigee-mtls 初始化成功：
    1. 驗證 iptables 設定
    2. 驗證遠端 Proxy 狀態
    3. 驗證仲裁狀態

    如要瞭解這些方法，請參閱「驗證設定」。

變更現有的 apigee-mtls 設定

如要自訂現有的 apigee-mtls 設定，您必須解除安裝並重新安裝 apigee-mtls。

再次強調，變更現有 Apigee mTLS 設定時：

  • 如果您變更設定檔，必須先解除安裝 apigee-mtls，然後重新執行 setup 或 configure：
    # DO THIS:
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall

# BEFORE YOU DO THIS:
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f file
OR
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls configure
  • 您必須在叢集中的所有節點 (而非單一節點) 解除安裝並重新執行 setup 或 configure。