การกําหนดค่า TLS/SSL

TLS (Transport Layer Security ซึ่งเป็นรุ่นก่อนหน้าของ SSL) เป็นเทคโนโลยีการรักษาความปลอดภัยมาตรฐานที่ช่วยให้มั่นใจได้ว่าการรับส่งข้อความจะปลอดภัยและมีการเข้ารหัสในสภาพแวดล้อม API ตั้งแต่แอปไปจนถึง Apigee Edge และบริการแบ็กเอนด์

ไม่ว่าการกำหนดค่าสภาพแวดล้อมสำหรับ Management API จะเป็นอย่างไร เช่น ไม่ว่าคุณจะใช้พร็อกซี, เราเตอร์ และ/หรือตัวจัดสรรภาระงานที่ด้านหน้า Management API (หรือไม่ก็ตาม) Edge จะช่วยให้คุณเปิดใช้และกำหนดค่า TLS ได้ ซึ่งจะช่วยให้คุณควบคุมการเข้ารหัสข้อความในสภาพแวดล้อมการจัดการ API ภายในองค์กรได้

สำหรับการติดตั้ง Edge Private Cloud ในองค์กร คุณสามารถกำหนดค่า TLS ได้หลายที่ ดังนี้

1. ระหว่างเราเตอร์กับ Message Processor
2. สำหรับการเข้าถึง Edge Management API
3. สำหรับการเข้าถึง UI การจัดการ Edge
4. สำหรับการเข้าถึง Edge UI ใหม่
5. สำหรับการเข้าถึง API จากแอป
6. สำหรับการเข้าถึงจาก Edge ไปยังบริการแบ็กเอนด์

ดูภาพรวมทั้งหมดของการกำหนดค่า TLS ใน Edge ได้ที่ TLS/SSL

การสร้างไฟล์ JKS

สำหรับการกำหนดค่า TLS หลายรายการ คุณจะแสดงคีย์สโตร์เป็นไฟล์ JKS โดยที่คีย์สโตร์จะมีใบรับรอง TLS และคีย์ส่วนตัว การสร้างไฟล์ JKS มีหลายวิธี แต่วิธีหนึ่งคือการใช้ยูทิลิตี openssl และ keytool

ตัวอย่างเช่น คุณมีไฟล์ PEM ชื่อ server.pem ที่มีใบรับรอง TLS และไฟล์ PEM ชื่อ private_key.pem ที่มีคีย์ส่วนตัว ใช้คำสั่งต่อไปนี้เพื่อสร้างไฟล์ PKCS12

openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12

คุณต้องป้อนพาสเฟรสสำหรับคีย์ (หากมี) และรหัสผ่านการส่งออก คำสั่งนี้จะสร้างไฟล์ PKCS12 ชื่อ keystore.pkcs12

ใช้คำสั่งต่อไปนี้เพื่อแปลงเป็นไฟล์ JKS ชื่อ keystore.jks

keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks

ระบบจะแจ้งให้คุณป้อนรหัสผ่านใหม่สำหรับไฟล์ JKS และรหัสผ่านที่มีอยู่สำหรับไฟล์ PKCS12 ตรวจสอบว่าคุณใช้รหัสผ่านเดียวกันสำหรับไฟล์ JKS กับที่ใช้สำหรับไฟล์ PKCS12

หากคุณต้องระบุนามแฝงของคีย์ เช่น เมื่อกำหนดค่า TLS ระหว่างเราเตอร์กับ Message Processor ให้ใส่ตัวเลือก -name ไว้ในคำสั่ง openssl ดังนี้

openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12 -name devtest

จากนั้นใส่ตัวเลือก -alias ลงในคำสั่ง keytool ดังนี้

keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks -alias devtest

กำลังสร้างรหัสผ่านที่สร้างความสับสน

ขั้นตอนการกำหนดค่า Edge TLS บางส่วนกำหนดให้คุณต้องป้อนรหัสผ่านที่สร้างความสับสนในไฟล์การกำหนดค่า รหัสผ่านที่สร้างความสับสนเป็นทางเลือกที่ปลอดภัยกว่าการป้อนรหัสผ่านเป็นข้อความธรรมดา

คุณสร้างรหัสผ่านที่สร้างความสับสนได้โดยใช้คำสั่งต่อไปนี้ใน Edge Management Server

/opt/apigee/apigee-service/bin/apigee-service edge-management-server generate-obfuscated-password

ป้อนรหัสผ่านใหม่ แล้วยืนยันรหัสผ่านที่ข้อความแจ้ง ระบบจะไม่แสดงข้อความของรหัสผ่านเนื่องจากเหตุผลด้านความปลอดภัย คำสั่งนี้จะแสดงรหัสผ่านในรูปแบบต่อไปนี้

OBF:58fh40h61svy156789gk1saj
MD5:902fobg9d80e6043b394cb2314e9c6

ใช้รหัสผ่านที่สร้างความสับสนซึ่งระบุโดย OBF เมื่อกำหนดค่า TLS

ดูข้อมูลเพิ่มเติมได้ที่บทความนี้