Yeni Edge kullanıcı arayüzü için TLS'yi yapılandırma

Yeni Edge kullanıcı arayüzüne varsayılan olarak, Edge kullanıcı arayüzü düğümü ve 3001 bağlantı noktasının IP adresini veya DNS adını kullanarak HTTP üzerinden erişirsiniz. Örneğin:

http://newue_IP:3001

Alternatif olarak, Edge kullanıcı arayüzüne TLS erişimini yapılandırarak bu özelliğe şu biçimde erişebilirsiniz:

https://newue_IP:3001

TLS koşulları

Uç kullanıcı arayüzü yalnızca TLS v1.2'yi destekler. Uç kullanıcı arayüzünde TLS'yi etkinleştirirseniz kullanıcıların, TLS v1.2 ile uyumlu bir tarayıcı kullanarak Edge kullanıcı arayüzüne bağlanması gerekir.

TLS yapılandırma özellikleri

Edge kullanıcı arayüzünde TLS'yi yapılandırmak için aşağıdaki komutu yürütün:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Burada configFile, Edge kullanıcı arayüzünü yüklemek için kullandığınız yapılandırma dosyasıdır.

Bu komutu yürütmeden önce yapılandırma dosyasını, TLS'yi kontrol eden gerekli özellikleri ayarlamak için düzenlemeniz gerekir. Aşağıdaki tabloda, Edge kullanıcı arayüzü için TLS'yi yapılandırmak üzere kullandığınız özellikler açıklanmaktadır:

Özellik Açıklama Zorunlu mu?
MANAGEMENT_UI_SCHEME

Edge kullanıcı arayüzüne erişmek için kullanılan protokolü ("http" veya "https") ayarlar. Varsayılan değer "http"dir. TLS'yi etkinleştirmek için URL'yi "https" olarak ayarlayın:

MANAGEMENT_UI_SCHEME=https
Evet
MANAGEMENT_UI_TLS_OFFLOAD

"n" değeri, Edge kullanıcı arayüzüne yönelik TLS isteklerinin Edge kullanıcı arayüzünde sonlandırıldığını belirtir. MANAGEMENT_UI_TLS_KEY_FILE ve MANAGEMENT_UI_TLS_CERT_FILE. ayarlarını yapmanız gerekir

"y" ise Edge kullanıcı arayüzüne yönelik TLS isteklerinin yük dengeleyicide sonlandırıldığını ve yük dengeleyicinin HTTP kullanarak isteği Edge kullanıcı arayüzüne yönlendirdiğini belirtir.

Yük dengeleyicide TLS'yi sonlandırırsanız Edge kullanıcı arayüzünün, orijinal isteğin TLS üzerinden geldiğini yine de bilmesi gerekir. Örneğin, bazı çerezlerde Güvenli işareti bulunur.

MANAGEMENT_UI_SCHEME öğesini "https" olarak ayarlamanız gerekir. Aksi takdirde MANAGEMENT_UI_TLS_OFFLOAD yoksayılır:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
Evet
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

MANAGEMENT_UI_TLS_OFFLOAD=n ise TLS anahtarı ve sertifika dosyalarının mutlak yolunu belirtir. Dosyalar, parola içermeyen PEM dosyaları olarak biçimlendirilmeli ve "Apigee" kullanıcısına ait olmalıdır.

Bu dosyalar için önerilen konum:

/opt/apigee/customer/application/edge-management-ui

Dizin yoksa oluşturun.

MANAGEMENT_UI_TLS_OFFLOAD=y ise MANAGEMENT_UI_TLS_KEY_FILE ve MANAGEMENT_UI_TLS_CERT_FILE. öğelerini çıkarın. Edge kullanıcı arayüzüne yapılan istekler HTTP üzerinden geldiği için bunlar yoksayılır.

MANAGEMENT_UI_TLS_OFFLOAD=n ise evet
MANAGEMENT_UI_PUBLIC_URIS

MANAGEMENT_UI_TLS_OFFLOAD=n ise Edge kullanıcı arayüzünün URL'sini belirtir.

Bu özelliği, yapılandırma dosyasındaki diğer özelliklere göre ayarlayın. Örneğin:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Burada:

  • MANAGEMENT_UI_SCHEME, yukarıda açıklandığı gibi "http" veya "https" protokolünü belirtir.
  • MANAGEMENT_UI_IP, Edge kullanıcı arayüzünün IP adresini veya DNS adını belirtir.
  • MANAGEMENT_UI_PORT, Edge kullanıcı arayüzü tarafından kullanılan bağlantı noktasını belirtir.

Bu özelliklerle ilgili daha fazla bilgi için Yeni Edge kullanıcı arayüzünü yükleme konusuna bakın.

MANAGEMENT_UI_TLS_OFFLOAD=y ise:

  • MANAGEMENT_UI_IP, Edge kullanıcı arayüzünün değil, yük dengeleyicinin IP adresini veya DNS adını belirtir.
  • Yük dengeleyici ve yeni UE, istekler için aynı bağlantı noktası numarasını kullanmalıdır (ör. 3001). Yük dengeleyicide ve Yeni UE'de bağlantı noktası numarasını belirtmek için MANAGEMENT_UI_PORT öğesini kullanın.

Evet

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS

Kullanılabilir TLS şifreleri listesini virgülle veya boşlukla ayrılmış bir dize olarak tanımlar.

Virgülle ayrılmış dize:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

Çift tırnak içinde, boşlukla ayrılmış dize:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS="TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"

SHOEHORN_SCHEME

Yeni Edge kullanıcı arayüzünü yüklemeden önce shoehorn adlı temel Edge kullanıcı arayüzünü yüklemeniz gerekir. Yükleme yapılandırma dosyası, temel Edge kullanıcı arayüzüne erişmek için kullanılan protokolü ("http") belirtmek için aşağıdaki özelliği kullanır:

SHOEHORN_SCHEME=http

Temel Edge kullanıcı arayüzü TLS'yi desteklemez. Bu nedenle, Edge kullanıcı arayüzünde TLS'yi etkinleştirseniz bile bu özellik hâlâ "http" olarak ayarlanmalıdır.

Evet ve "http" olarak ayarlandı

TLS'yi yapılandırın

Edge kullanıcı arayüzüne TLS erişimini yapılandırmak için:

  1. TLS sertifikasını ve anahtarını parola olmadan PEM dosyaları olarak oluşturun. Örneğin:

    mykey.pem
    mycert.pem

    TLS sertifikası ve anahtarı oluşturmanın birçok yolu vardır. Örneğin, imzasız bir sertifika ve anahtar oluşturmak için aşağıdaki komutu yürütebilirsiniz:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Anahtar ve sertifika dosyalarını /opt/apigee/customer/application/edge-management-ui dizinine kopyalayın. Dizin yoksa oluşturun.
  3. Sertifikanın ve anahtarın "Apigee" kullanıcısına ait olduğundan emin olun:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem
  4. Aşağıdaki TLS özelliklerini ayarlamak için, Edge kullanıcı arayüzünü yüklemek için kullandığınız yapılandırma dosyasını düzenleyin:

    # Set to https to enable TLS.
    MANAGEMENT_UI_SCHEME=https 
    # Do NOT terminate TLS on a load balancer.
    MANAGEMENT_UI_TLS_OFFLOAD=n
    
    # Specify the key and cert. 
    MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
    MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem
    
    # Leave these properties set to the same values as when you installed the Edge UI:
    MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
    SHOEHORN_SCHEME=http
  5. TLS'yi yapılandırmak için aşağıdaki komutu yürütün:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Burada configFile, yapılandırma dosyasının adıdır.

    Komut dosyası, Edge kullanıcı arayüzünü yeniden başlatır.

  6. shoehorn'u kurmak ve yeniden başlatmak için aşağıdaki komutları çalıştırın:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Yeniden başlatma sonrasında Edge kullanıcı arayüzü HTTPS üzerinden erişimi destekler. TLS'yi etkinleştirdikten sonra Edge kullanıcı arayüzüne giriş yapamıyorsanız tarayıcı önbelleğini temizleyip tekrar giriş yapmayı deneyin.

Yük dengeleyicide TLS sona erdiğinde Edge kullanıcı arayüzünü yapılandırma

İstekleri Edge kullanıcı arayüzüne yönlendiren bir yük dengeleyiciniz varsa yük dengeleyicideki TLS bağlantısını sonlandırmayı ve ardından yük dengeleyicinin istekleri HTTP üzerinden Edge kullanıcı arayüzüne iletmesini sağlayabilirsiniz:

Yük dengeleyicide TLS'yi sonlandır

Bu yapılandırma desteklenir ancak yük dengeleyiciyi ve Edge kullanıcı arayüzünü buna göre yapılandırmanız gerekir.

TLS yük dengeleyicide sonlandığında Edge kullanıcı arayüzünü yapılandırmak için:

  1. Aşağıdaki TLS özelliklerini ayarlamak için, Edge kullanıcı arayüzünü yüklemek için kullandığınız yapılandırma dosyasını düzenleyin:

    # Set to https to enable TLS
    MANAGEMENT_UI_SCHEME=https
    # Terminate TLS on a load balancer
    MANAGEMENT_UI_TLS_OFFLOAD=y
    # Set to the IP address or DNS name of the load balancer.
    MANAGEMENT_UI_IP=LB_IP_DNS
    # Set to the port number for the load balancer and Edge UI.
    # The load balancer and the Edge UI must use the same port number.
    MANAGEMENT_UI_IP=3001
    
    # Leave these properties set to the same values as when you installed the Edge UI:
    MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
    SHOEHORN_SCHEME=http
    

    MANAGEMENT_UI_TLS_OFFLOAD=y değerini ayarlarsanız MANAGEMENT_UI_TLS_KEY_FILE ve MANAGEMENT_UI_TLS_CERT_FILE. öğelerini çıkarın. Edge kullanıcı arayüzüne yapılan istekler HTTP üzerinden geldiği için bunlar yoksayılır.

  2. TLS'yi yapılandırmak için aşağıdaki komutu yürütün:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Burada configFile, yapılandırma dosyasının adıdır.

    Komut dosyası, Edge kullanıcı arayüzünü yeniden başlatır.

  3. shoehorn'u kurmak ve yeniden başlatmak için aşağıdaki komutları çalıştırın:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Yeniden başlatma sonrasında Edge kullanıcı arayüzü HTTPS üzerinden erişimi destekler. TLS'yi etkinleştirdikten sonra Edge kullanıcı arayüzüne giriş yapamıyorsanız tarayıcı önbelleğini temizleyip tekrar giriş yapmayı deneyin.

Uç kullanıcı arayüzünde TLS'yi devre dışı bırak

Uç kullanıcı arayüzünde TLS'yi devre dışı bırakmak için:

  1. Aşağıdaki TLS özelliğini ayarlamak için, Edge kullanıcı arayüzünü yüklemek için kullandığınız yapılandırma dosyasını düzenleyin:

    # Set to http to disable TLS.
    MANAGEMENT_UI_SCHEME=http
    
    # Only if you had terminated TLS on a load balancer,
    # reset to the IP address or DNS name of the Edge UI.
    MANAGEMENT_UI_IP=newue_IP_DNS
    
  2. TLS'yi devre dışı bırakmak için aşağıdaki komutu yürütün:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Burada configFile, yapılandırma dosyasının adıdır.

    Komut dosyası, Edge kullanıcı arayüzünü yeniden başlatır.

  3. shoehorn'u kurmak ve yeniden başlatmak için aşağıdaki komutları çalıştırın:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Artık Edge kullanıcı arayüzüne HTTP üzerinden erişebilirsiniz. TLS'yi devre dışı bıraktıktan sonra Edge kullanıcı arayüzüne giriş yapamıyorsanız tarayıcı önbelleğini temizleyip tekrar giriş yapmayı deneyin.