Как сбросить пароли Edge

После завершения установки вы можете сбросить следующие пароли:

Инструкции по сбросу каждого из этих паролей приведены в следующих разделах.

Как сбросить пароль OpenLDAP

Способ сброса пароля OpenLDAP зависит от конфигурации. В зависимости от конфигурации Edge OpenLDAP можно установить как:

  • Один экземпляр OpenLDAP, установленный на узле сервера управления. Например, в конфигурации Edge с 2, 5 или 9 узлами.
  • Несколько экземпляров OpenLDAP, установленных на узлах сервера управления и настроенных с репликацией OpenLDAP. Например, в конфигурации Edge с 12 узлами.
  • Несколько экземпляров OpenLDAP, установленных на собственных узлах и настроенных с репликацией OpenLDAP. Например, в конфигурации Edge с 13 узлами.

Для одного экземпляра OpenLDAP, установленного на сервере управления, выполните следующие действия:

  1. На узле Management Server выполните следующую команду, чтобы создать новый пароль OpenLDAP: 
    /opt/apigee/apigee‑service/bin/apigee‑service apigee‑openldap \ 
  change‑ldap‑password ‑o OLD_PASSWORD ‑n NEW_PASSWORD
  2. Чтобы сохранить новый пароль для доступа к серверу управления, выполните следующую команду: 
    /opt/apigee/apigee‑service/bin/apigee‑service edge‑management‑server \ 
  store_ldap_credentials ‑p NEW_PASSWORD

    Эта команда перезапускает сервер управления.

В конфигурации репликации OpenLDAP с OpenLDAP, установленным на узлах сервера управления, выполните описанные выше действия на обоих узлах сервера управления, чтобы обновить пароль.

В настройке репликации OpenLDAP, где OpenLDAP находится на узле, отличном от сервера управления, сначала измените пароль на обоих узлах OpenLDAP, а затем на обоих узлах сервера управления.

Сброс пароля системного администратора

Чтобы сбросить пароль системного администратора, необходимо выполнить сброс в двух местах:

  • Сервер управления
  • Интерфейс

Чтобы сбросить пароль системного администратора:

  1. Отредактируйте файл конфигурации, который вы использовали для установки Edge UI, чтобы задать следующие свойства: 
    APIGEE_ADMINPW=NEW_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y
SMTPMAILFROM="My Company <myco@company.com>"

    Обратите внимание, что при передаче нового пароля необходимо указать свойства SMTP, поскольку все свойства в пользовательском интерфейсе сбрасываются.

  2. На узле пользовательского интерфейса остановите пользовательский интерфейс Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
  3. Используйте утилиту apigee-setup, чтобы сбросить пароль в Edge UI из файла конфигурации: 
    /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile
  4. (Только если TLS включен в пользовательском интерфейсе) Повторно включите TLS в пользовательском интерфейсе Edge, как описано в разделе Настройка TLS для пользовательского интерфейса управления.
  5. Создайте на сервере управления новый XML-файл. В этом файле задайте идентификатор пользователя admin и укажите пароль, имя, фамилию и адрес электронной почты в следующем формате: 
    <User id="admin">
  <Password><![CDATA[password]]></Password>
  <FirstName>first_name</FirstName>
  <LastName>last_name</LastName>
  <EmailId>email_address</EmailId>
</User>
  6. На сервере управления выполните следующую команду: 
    curl ‑u "admin_email_address:admin_password" ‑H \ 
  "Content‑Type: application/xml" ‑H "Accept: application/json" ‑X POST \ 
  "http://localhost:8080/v1/users/admin_email_address" ‑d @your_data_file

    где your_data_file – файл, созданный на предыдущем шаге.

    Edge обновит пароль администратора на сервере управления.

  7. Удалите созданный XML-файл. Пароли никогда не должны храниться в незашифрованном виде.

В среде репликации OpenLDAP с несколькими серверами управления сброс пароля на одном сервере управления автоматически обновляет другой сервер управления. Однако вам необходимо обновить все узлы Edge UI отдельно.

Сбросить пароль пользователя организации

Чтобы сбросить пароль пользователя организации, используйте утилиту apigee-servce для вызова apigee-setup, как показано в примере ниже.

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password
  [-h]
  [-u USER_EMAIL]
  [-p USER_PWD]
  [-a ADMIN_EMAIL]
  [-P APIGEE_ADMINPW]
  [-f configFile]

Пример:

/opt/apigee/apigee‑service/bin/apigee‑service apigee‑setup reset_user_password 
  ‑u user@myCo.com ‑p Foo12345 ‑a admin@myCo.com ‑P adminPword
 
cp ~/Documents/tmp/hybrid_root/apigeectl_beta2_a00ae58_linux_64/README.md 
  ~/Documents/utilities/README.md

Ниже приведен пример файла конфигурации, который можно использовать с параметром -f.

USER_NAME=user@myCo.com
USER_PWD="Foo12345"
APIGEE_ADMINPW=ADMIN_PASSWORD

Вы также можете использовать API Update user, чтобы изменить пароль пользователя.

Правила в отношении паролей для системных администраторов и пользователей организации

В этом разделе можно задать требования к длине и надежности паролей для пользователей API Management. В настройках используется ряд предварительно настроенных (и уникально пронумерованных) регулярных выражений для проверки содержимого пароля (например, заглавных и строчных букв, цифр и специальных символов). Запишите эти настройки в файл /opt/apigee/customer/application/management-server.properties. Если такого файла нет, создайте его.

После изменения management-server.properties перезапустите сервер управления:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Затем вы можете задать оценки надежности паролей, сгруппировав разные комбинации регулярных выражений. Например, вы можете указать, что пароль, содержащий хотя бы одну заглавную и одну строчную букву, получает оценку надежности "3", а пароль, содержащий хотя бы одну строчную букву и одну цифру, получает более высокую оценку "4".

Свойство Описание 
conf_security_password.validation.minimum.password.length=8
conf_security_password.validation.default.rating=2
conf_security_password.validation.minimum.rating.required=3

Они определяют общие характеристики действительных паролей. По умолчанию минимальная оценка надежности пароля (описана ниже в таблице) равна 3.

Обратите внимание, что значение password.validation.default.rating=2 ниже минимально допустимого. Это означает, что если введенный пароль не соответствует настроенным правилам, он получает оценку 2 и считается недопустимым (ниже минимальной оценки 3).

Ниже приведены регулярные выражения, которые определяют характеристики пароля. Обратите внимание, что каждый из них пронумерован. Например, password.validation.regex.5=... – это выражение номер 5. Эти числа используются в последующих разделах файла для настройки различных комбинаций, определяющих общую надежность пароля.

 
conf_security_password.validation.regex.1=^(.)\\1+$

1 – все символы повторяются.

 
conf_security_password.validation.regex.2=^.*[a-z]+.*$

2 – хотя бы одна строчная буква;

 
conf_security_password.validation.regex.3=^.*[A-Z]+.*$

3 – хотя бы одна заглавная буква;

 
conf_security_password.validation.regex.4=^.*[0-9]+.*$

4. Хотя бы одна цифра.

 
conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$

5: хотя бы один специальный символ (не включая символ подчеркивания "_").

 
conf_security_password.validation.regex.6=^.*[_]+.*$

6: хотя бы один символ подчеркивания;

 
conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$

7 – более одной строчной буквы;

 
conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$

8 – более одной заглавной буквы.

 
conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$

9 – несколько цифр.

 
conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$

10: более одного специального символа (не считая символа подчеркивания)

 
conf_security_password.validation.regex.11=^.*[_]{2,}.*$

11: несколько символов подчеркивания

Надежность пароля определяется по следующим правилам: Каждое правило включает одно или несколько регулярных выражений из предыдущего раздела и назначает им числовое значение надежности. Чтобы определить, является ли пароль действительным, его числовая надежность сравнивается со значением conf_security_password.validation.minimum.rating.required в верхней части этого файла.

 
conf_security_password.validation.rule.1=1,AND,0
conf_security_password.validation.rule.2=2,3,4,AND,4
conf_security_password.validation.rule.3=2,9,AND,4
conf_security_password.validation.rule.4=3,9,AND,4
conf_security_password.validation.rule.5=5,6,OR,4
conf_security_password.validation.rule.6=3,2,AND,3
conf_security_password.validation.rule.7=2,9,AND,3
conf_security_password.validation.rule.8=3,9,AND,3

Каждое правило пронумеровано. Например, password.validation.rule.3=... – это правило номер 3.

Каждое правило использует следующий формат (справа от знака равенства):

regex-index-list,[AND|OR],rating

regex-index-list – список регулярных выражений (по номерам из предыдущего раздела) и оператор AND|OR (означает, что нужно учитывать все или любые из перечисленных выражений).

rating – это числовая оценка надежности, присвоенная каждому правилу.

Например, правило 5 означает, что любой пароль, содержащий хотя бы один специальный символ ИЛИ один символ подчеркивания, получает оценку надежности 4. Если в верхней части файла указано password.validation.minimum.rating.required=3, пароль с оценкой 4 будет действительным.

 
conf_security_rbac.password.validation.enabled=true

Если включена система единого входа, отключите проверку пароля для управления доступом на основе ролей. Значение по умолчанию – true.

Сброс пароля Cassandra

По умолчанию в Cassandra аутентификация отключена. Если вы включите аутентификацию, будет использоваться предопределенный пользователь cassandra с паролем cassandra. Вы можете использовать этот аккаунт, задать для него другой пароль или создать нового пользователя Cassandra. Добавляйте, удаляйте и изменяйте пользователей с помощью операторов CREATE/ALTER/DROP USER Cassandra.

Инструкции по включению аутентификации Cassandra приведены в этой статье.

Чтобы сбросить пароль Cassandra, необходимо:

  • Задайте пароль на любом узле Cassandra, и он будет передан на все узлы Cassandra в кольце.
  • Обновите пароль на сервере управления, процессорах сообщений, маршрутизаторах, серверах Qpid и Postgres на каждом узле.

Дополнительную информацию можно найти на странице http://www.datastax.com/documentation/cql/3.0/cql/cql_reference/cqlCommandsTOC.html.

Чтобы сбросить пароль Cassandra:

  1. Войдите в любой узел Cassandra, используя инструмент cqlsh и учетные данные по умолчанию. Вам нужно изменить пароль только на одном узле Cassandra, и он будет передан на все узлы Cassandra в кольце: 
    /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p 'cassandra'

    Где:

    • cassIP – IP-адрес узла Cassandra.
    • 9042 – порт Cassandra.
    • Пользователь по умолчанию – cassandra.
    • Пароль по умолчанию – cassandra. Если вы меняли пароль, используйте текущий. Если пароль содержит специальные символы, заключите его в одинарные кавычки.
  2. Чтобы изменить пароль, выполните следующую команду в командной строке cqlsh>: 
    ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';

    Если новый пароль содержит символ одинарной кавычки, экранируйте его, добавив перед ним символ одинарной кавычки.

  3. Выйти из инструмента "cqlsh": 
    exit
  4. На узле Management Server выполните следующую команду: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u CASS_USERNAME -p 'CASS_PASSWORD'

    При необходимости вы можете передать команде файл, содержащий новое имя пользователя и пароль: 

    apigee-service edge-management-server store_cassandra_credentials -f configFile

    где configFile содержит следующее: 

    CASS_USERNAME=CASS_USERNAME
CASS_PASSWORD='CASS_PASSWROD'

    Эта команда автоматически перезапускает сервер управления.

  5. Повторите шаг 4 на следующих устройствах:
    • Все процессоры сообщений
    • Все маршрутизаторы
    • Все серверы Qpid (edge-qpid-server)
    • Серверы Postgres (edge-postgres-server)

Пароль Cassandra изменен.

Как сбросить пароль PostgreSQL

По умолчанию в базе данных PostgreSQL определены два пользователя: postgres и apigee. Для обоих пользователей по умолчанию задан пароль postgres. Чтобы изменить пароль по умолчанию, выполните следующие действия:

Измените пароль на всех главных узлах Postgres. Если у вас есть два сервера Postgres, настроенных в режиме master/standby, то вам нужно изменить пароль только на главном узле. Подробнее о том, как настроить репликацию Master-Standby для Postgres…

  1. На главном узле Postgres перейдите в каталог /opt/apigee/apigee-postgresql/pgsql/bin.
  2. Задайте пароль пользователя postgres в PostgreSQL:
    1. Войдите в базу данных PostgreSQL с помощью следующей команды: 
      psql -h localhost -d apigee -U postgres
    2. При появлении запроса введите пароль существующего пользователя postgres – postgres.
    3. В командной строке PostgreSQL введите следующую команду, чтобы изменить пароль по умолчанию: 
      ALTER USER postgres WITH PASSWORD 'new_password';

      В случае успеха PostgreSQL возвращает следующий ответ:

      ALTER ROLE
    4. Выйдите из базы данных PostgreSQL, используя следующую команду: 
      \q
  3. Задайте пароль пользователя apigee в PostgreSQL:
    1. Войдите в базу данных PostgreSQL с помощью следующей команды: 
      psql -h localhost -d apigee -U apigee
    2. При появлении запроса введите пароль пользователя apigee – postgres.
    3. В командной строке PostgreSQL введите следующую команду, чтобы изменить пароль по умолчанию: 
      ALTER USER apigee WITH PASSWORD 'new_password';
    4. Выйдите из базы данных PostgreSQL с помощью команды: 
      \q

    Вы можете задать одинаковые или разные пароли для пользователей postgres и apigee.

  4. Подход APIGEE_HOME: 
    export APIGEE_HOME=/opt/apigee/edge-postgres-server
  5. Зашифруйте новый пароль: 
    sh /opt/apigee/edge-analytics/utils/scripts/utilities/passwordgen.sh new_password

    Эта команда возвращает зашифрованный пароль. Зашифрованный пароль начинается после символа ":" и не включает его. Например, зашифрованный пароль для "apigee1234" выглядит так:

    Encrypted string:WheaR8U4OeMEM11erxA3Cw==
  6. Обновите узел сервера управления, указав новые зашифрованные пароли для пользователей postgres и apigee.
    1. На сервере управления перейдите в каталог /opt/apigee/customer/application.
    2. Измените файл management-server.properties, чтобы задать следующие свойства. Если такого файла нет, создайте его.
    3. Убедитесь, что файл принадлежит пользователю apigee: 
      chown apigee:apigee management-server.properties
  7. Обновите все узлы Postgres Server и Qpid Server, указав новый зашифрованный пароль.
    1. На узле Postgres Server или Qpid Server перейдите в следующий каталог: 
      /opt/apigee/customer/application
    2. Откройте для редактирования следующие файлы:
      • postgres-server.properties
      • qpid-server.properties

      Если этих файлов нет, создайте их.

    3. Добавьте в файлы следующие свойства.
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
    4. Убедитесь, что владельцем файлов является пользователь apigee: 
      chown apigee:apigee postgres-server.properties
chown apigee:apigee qpid-server.properties
  8. Обновите компонент SSO (если система единого входа включена):

    1. Подключитесь к узлу, на котором запущен компонент apigee-sso, или войдите в него. Его также называют сервером SSO.

      В установках AIO или с тремя узлами этот узел совпадает с сервером управления.

      Если у вас несколько узлов, на которых запущен компонент apigee-sso, выполните эти действия на каждом из них.

    2. Откройте для редактирования следующий файл: 
      /opt/apigee/customer/application/sso.properties

      Если файла нет, создайте его.

    3. Добавьте в файл следующую строку: 
      conf_uaa_database_password=new_password_in_plain_text

      Пример:

      conf_uaa_database_password=apigee1234
    4. Выполните следующую команду, чтобы применить изменения конфигурации к компоненту apigee-sso: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-sso configure
    5. Повторите эти действия для каждого сервера SSO.
  9. Перезапустите следующие компоненты в указанном порядке:
    1. База данных PostgreSQL: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
    2. Сервер Qpid: 
      /opt/apigee/apigee-service/bin/apigee-service edge-qpid-server restart
    3. Сервер Postgres: 
      /opt/apigee/apigee-service/bin/apigee-service edge-postgres-server restart
    4. Сервер управления: 
      /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
    5. Сервер системы единого входа: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-sso restart