Konfigurowanie protokołu TLS dla nowego interfejsu użytkownika Edge

Domyślnie dostęp do nowego interfejsu Edge uzyskujesz przez HTTP, używając adresu IP lub nazwy DNS węzła interfejsu Edge i portu 3001. Na przykład:

http://newue_IP:3001

Możesz też skonfigurować dostęp TLS do interfejsu Edge, aby uzyskać do niego dostęp w postaci:

https://newue_IP:3001

Wymagania dotyczące TLS

Interfejs Edge obsługuje tylko TLS w wersji 1.2. Jeśli włączysz TLS w interfejsie Edge, użytkownicy muszą łączyć się z interfejsem Edge za pomocą przeglądarki zgodnej z TLS w wersji 1.2.

Właściwości konfiguracji TLS

Uruchom to polecenie, aby skonfigurować TLS dla interfejsu Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Gdzie configFile to plik konfiguracji użyty do zainstalowania interfejsu Edge.

Zanim wykonasz to polecenie, musisz zmodyfikować plik konfiguracji, aby ustawić niezbędne właściwości, które kontrolują TLS. W tabeli poniżej opisano właściwości, których używasz do konfigurowania TLS dla interfejsu użytkownika Edge:

Właściwość Opis Wymagany?
MANAGEMENT_UI_SCHEME

Ustawia protokół „http” lub „https” używany do uzyskiwania dostępu do interfejsu Edge. Wartość domyślna to „http”. Ustaw wartość „https”, aby włączyć TLS:

MANAGEMENT_UI_SCHEME=https
 		Tak
MANAGEMENT_UI_TLS_OFFLOAD

Jeśli „n”, określa, że żądania TLS do interfejsu Edge są kończone w interfejsie Edge. Musisz ustawić MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE.

Jeśli ustawisz wartość „y”, żądania TLS do interfejsu Edge będą kończone w systemie równoważenia obciążenia, który następnie przekieruje żądanie do interfejsu Edge za pomocą protokołu HTTP.

Jeśli zakończysz TLS w systemie równoważenia obciążenia, interfejs Edge nadal musi wiedzieć, że pierwotne żądanie zostało wysłane przez TLS. Na przykład niektóre pliki cookie mają ustawioną flagę Secure.

Musisz ustawić MANAGEMENT_UI_SCHEME na „https”, w przeciwnym razie MANAGEMENT_UI_TLS_OFFLOAD zostanie zignorowane:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 		Tak
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=n, określa ścieżkę bezwzględną do plików klucza i certyfikatu TLS. Pliki muszą być sformatowane jako pliki PEM bez hasła i muszą należeć do użytkownika „apigee”.

Zalecana lokalizacja tych plików to: 

/opt/apigee/customer/application/edge-management-ui

Jeśli ten katalog nie istnieje, utwórz go.

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=y, pomiń MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE.. Są one ignorowane, ponieważ żądania do interfejsu Edge UI są wysyłane przez HTTP.

 Tak, jeśli MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=n, określa adres URL interfejsu Edge.

Ustaw tę właściwość na podstawie innych właściwości w pliku konfiguracji. Na przykład:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Gdzie:

  • MANAGEMENT_UI_SCHEME określa protokół „http” lub „https” zgodnie z opisem powyżej.
  • MANAGEMENT_UI_IP określa adres IP lub nazwę DNS interfejsu użytkownika Edge.
  • MANAGEMENT_UI_PORT określa port używany przez interfejs Edge.

Więcej informacji o tych właściwościach znajdziesz w artykule Instalowanie nowego interfejsu Edge.

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP określa adres IP lub nazwę DNS systemu równoważenia obciążenia, a nie interfejsu użytkownika Edge.
  • System równoważenia obciążenia i nowy UE muszą używać tego samego numeru portu dla żądań, na przykład 3001. Użyj MANAGEMENT_UI_PORT, aby określić numer portu w systemie równoważenia obciążenia i w nowym UE.

Tak
MANAGEMENT_UI_TLS_ALLOWED_CIPHERS

Definiuje listę dostępnych szyfrów TLS jako ciąg znaków rozdzielonych przecinkami lub spacjami.

Ciąg znaków rozdzielany przecinkami:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

Ciąg znaków rozdzielonych spacjami ujęty w cudzysłów:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS="TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"
SHOEHORN_SCHEME

Zanim zainstalujesz nowy interfejs Edge, musisz zainstalować podstawowy interfejs Edge, który nazywa się shoehorn. Plik konfiguracji instalacji używa tej właściwości do określenia protokołu „http” używanego do uzyskiwania dostępu do podstawowego interfejsu Edge:

SHOEHORN_SCHEME=http

Podstawowy interfejs Edge nie obsługuje TLS, więc nawet jeśli włączysz TLS w interfejsie Edge, ta właściwość musi być ustawiona na „http”.

 Tak, ustawiony na „http”

Konfigurowanie TLS

Aby skonfigurować dostęp TLS do interfejsu Edge:

  1. Wygeneruj certyfikat i klucz TLS jako pliki PEM bez hasła. Na przykład:

    mykey.pem
mycert.pem

    Certyfikat i klucz TLS można wygenerować na wiele sposobów. Możesz na przykład wykonać to polecenie, aby wygenerować niepodpisany certyfikat i klucz:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Skopiuj pliki klucza i certyfikatu do katalogu /opt/apigee/customer/application/edge-management-ui. Jeśli ten katalog nie istnieje, utwórz go.

  3. Upewnij się, że certyfikat i klucz należą do użytkownika „apigee”:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Zmodyfikuj plik konfiguracji użyty do zainstalowania interfejsu Edge, aby ustawić te właściwości TLS:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. Aby skonfigurować TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    configFile to nazwa pliku konfiguracji.

    Skrypt ponownie uruchamia interfejs Edge.

  6. Uruchom te polecenia, aby skonfigurować i ponownie uruchomić shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Po ponownym uruchomieniu interfejs Edge obsługuje dostęp przez HTTPS. Jeśli po włączeniu TLS nie możesz zalogować się w interfejsie Edge, wyczyść pamięć podręczną przeglądarki i spróbuj zalogować się ponownie.

Konfigurowanie interfejsu Edge, gdy zakończenie TLS następuje w systemie równoważenia obciążenia

Jeśli masz system równoważenia obciążenia, który przekazuje żądania do interfejsu Edge, możesz zakończyć połączenie TLS w systemie równoważenia obciążenia, a następnie przekazywać żądania do interfejsu Edge przez HTTP:

Zakończenie TLS w systemie równoważenia obciążenia

Ta konfiguracja jest obsługiwana, ale musisz odpowiednio skonfigurować system równoważenia obciążenia i interfejs Edge.

Aby skonfigurować interfejs użytkownika Edge, gdy zakończenie TLS następuje na systemie równoważenia obciążenia:

  1. Zmodyfikuj plik konfiguracji użyty do zainstalowania interfejsu Edge, aby ustawić te właściwości TLS:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and Edge UI.
# The load balancer and the Edge UI must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    Jeśli ustawisz MANAGEMENT_UI_TLS_OFFLOAD=y, pomiń MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE.. Są one ignorowane, ponieważ żądania do interfejsu Edge są wysyłane przez HTTP.

  2. Aby skonfigurować TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    configFile to nazwa pliku konfiguracji.

    Skrypt ponownie uruchamia interfejs Edge.

  3. Uruchom te polecenia, aby skonfigurować i ponownie uruchomić shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Po ponownym uruchomieniu interfejs Edge obsługuje dostęp przez HTTPS. Jeśli po włączeniu TLS nie możesz zalogować się w interfejsie Edge, wyczyść pamięć podręczną przeglądarki i spróbuj zalogować się ponownie.

Wyłączanie TLS w interfejsie Edge

Aby wyłączyć TLS w interfejsie Edge:

  1. Zmodyfikuj plik konfiguracji użyty do zainstalowania interfejsu Edge, aby ustawić tę właściwość TLS:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the Edge UI.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. Aby wyłączyć TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    configFile to nazwa pliku konfiguracji.

    Skrypt ponownie uruchamia interfejs Edge.

  3. Uruchom te polecenia, aby skonfigurować i ponownie uruchomić shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Możesz teraz uzyskać dostęp do interfejsu Edge przez HTTP. Jeśli po wyłączeniu TLS nie możesz zalogować się w interfejsie Edge, wyczyść pamięć podręczną przeglądarki i spróbuj zalogować się ponownie.