Bật tính năng mã hóa khóa bí mật

Tài liệu này giải thích cách bật tính năng mã hoá thông tin mật của người dùng (thông tin xác thực ứng dụng khách) của ứng dụng dành cho nhà phát triển được lưu trữ trong cơ sở dữ liệu Cassandra.

Tổng quan

Thông thường, Apigee Edge cho đám mây riêng tư cung cấp tính năng mã hoá không bắt buộc cho dữ liệu bản đồ khoá-giá trị (KVM) và mã truy cập OAuth.

Bảng sau đây mô tả các lựa chọn mã hoá cho dữ liệu ở trạng thái lưu trữ trong Apigee cho đám mây riêng tư:

Thực thể Tính năng mã hoá được bật theo mặc định Có thể mã hoá (không bắt buộc) Tài liệu liên quan
KVM Không Có Xem phần Giới thiệu về KVM đã mã hoá.
Mã truy cập OAuth Không Có Xem bài viết Băm mã thông báo để tăng cường bảo mật.
Khoá bí mật của người dùng ứng dụng dành cho nhà phát triển Không Có Để bật, hãy thực hiện các bước định cấu hình trong tài liệu này.

Để bật tính năng mã hoá thông tin xác thực ứng dụng, bạn cần thực hiện các thao tác sau trên tất cả các nút máy chủ quản lý và bộ xử lý thông báo:

  • Tạo kho khoá để lưu trữ Khoá mã hoá khoá (KEK). Apigee sử dụng khoá đã mã hoá này để mã hoá các khoá bí mật cần thiết nhằm mã hoá dữ liệu của bạn.
  • Chỉnh sửa các thuộc tính cấu hình trên tất cả các nút máy chủ quản lý và bộ xử lý thông báo.
  • Tạo một ứng dụng dành cho nhà phát triển để kích hoạt quy trình tạo khoá.
  • Khởi động lại các nút.

Những việc cần làm này được giải thích trong tài liệu này.

Những điều bạn cần biết về tính năng mã hoá khoá

Các bước trong tài liệu này giải thích cách bật tính năng KEK, cho phép Apigee mã hoá các khoá bí mật dùng để mã hoá khoá bí mật của ứng dụng dành cho nhà phát triển khi các khoá này được lưu trữ ở trạng thái rảnh trong cơ sở dữ liệu Cassandra.

Theo mặc định, mọi giá trị hiện có trong cơ sở dữ liệu sẽ không thay đổi (ở dạng văn bản thuần túy) và sẽ tiếp tục hoạt động như trước.

Nếu bạn thực hiện bất kỳ thao tác ghi nào trên một thực thể chưa mã hoá, thì thực thể đó sẽ được mã hoá khi thao tác được lưu. Ví dụ: nếu bạn thu hồi một mã thông báo chưa mã hoá rồi sau đó phê duyệt mã thông báo đó, thì mã thông báo mới được phê duyệt sẽ được mã hoá.

Bảo vệ khoá

Hãy nhớ lưu trữ bản sao của kho khoá chứa KEK ở một nơi an toàn. Bạn nên sử dụng cơ chế bảo mật của riêng mình để lưu bản sao của kho khoá. Như hướng dẫn trong tài liệu này, bạn phải đặt kho khoá trên mỗi nút máy chủ quản lý và bộ xử lý thông báo, nơi tệp cấu hình cục bộ có thể tham chiếu đến kho khoá đó. Tuy nhiên, bạn cũng cần lưu trữ một bản sao của kho khoá ở nơi khác để giữ an toàn và làm bản sao lưu.

Bật tính năng mã hoá khoá

Hãy làm theo các bước sau để mã hoá khoá bí mật của người dùng:

Điều kiện tiên quyết

Bạn phải đáp ứng các yêu cầu sau trước khi thực hiện các bước trong tài liệu này:

  • Bạn phải cài đặt hoặc nâng cấp lên Apigee Edge cho Private Cloud 4.50.00.10 trở lên.
  • Bạn phải là quản trị viên Apigee Edge cho Private Cloud.

Bước 1: Tạo kho khoá

Hãy làm theo các bước sau để tạo kho khoá lưu giữ khoá mã hoá khoá (KEK):

  1. Thực thi lệnh sau để tạo kho khoá lưu trữ khoá sẽ được dùng để mã hoá KEK. Nhập lệnh chính xác như được hiển thị. (Bạn có thể đặt tên kho khoá tuỳ ý):
    keytool -genseckey -alias KEYSTORE_NAME -keyalg AES -keysize 256 \
-keystore kekstore.p12 -storetype PKCS12

    Khi được nhắc, hãy nhập mật khẩu. Bạn sẽ sử dụng mật khẩu này trong các phần sau khi định cấu hình máy chủ quản lý và bộ xử lý thông báo.

    Lệnh này tạo một tệp kho khoá kekstore.p12 chứa khoá có bí danh KEYSTORE_NAME.

  2. (Không bắt buộc) Xác minh rằng tệp đã được tạo chính xác bằng lệnh sau. Nếu tệp chính xác, lệnh sẽ trả về một khoá có bí danh KEYSTORE_NAME: 
    keytool -list -keystore kekstore.p12

Bước 2: Thiết lập máy chủ quản lý

Tiếp theo, hãy định cấu hình máy chủ quản lý. Nếu đã cài đặt máy chủ quản lý trên nhiều nút, bạn phải lặp lại các bước này trên mỗi nút.

  1. Sao chép tệp kho khoá bạn đã tạo ở Bước 1 vào một thư mục trên nút máy chủ quản lý, chẳng hạn như /opt/apigee/customer/application. Ví dụ: 
    cp certs/kekstore.p12 /opt/apigee/customer/application
  2. Đảm bảo người dùng apigee có thể đọc tệp: 
    chown apigee:apigee /opt/apigee/customer/application/kekstore.p12
     
    chmod 400 /opt/apigee/customer/application/kekstore.p12
  3. Thêm các thuộc tính sau vào /opt/apigee/customer/application/management-server.properties. Nếu tệp không tồn tại, hãy tạo tệp. Xem thêm Tài liệu tham khảo về tệp thuộc tính.
    conf_keymanagement_kmscred.encryption.enabled=true

# Fallback is true to ensure your existing plaintext credentials continue to work
conf_keymanagement_kmscred.encryption.allowFallback=true

conf_keymanagement_kmscred.encryption.keystore.path=PATH_TO_KEYSTORE_FILE
conf_keymanagement_kmscred.encryption.kek.alias=KEYSTORE_NAME

# These could alternately be set as environment variables. These variables should be
# accessible to Apigee user during bootup of the Java process. If environment
# variables are specified, you can skip the password configs below.
# KMSCRED_ENCRYPTION_KEYSTORE_PASS=
# KMSCRED_ENCRYPTION_KEK_PASS=
See also Using environment variables for configuration properties.

conf_keymanagement_kmscred.encryption.keystore.pass=KEYSTORE_PASSWORD
conf_keymanagement_kmscred.encryption.kek.pass=KEK_PASSWORD

    Xin lưu ý rằng KEK_PASSWORD có thể giống với KEYSTORE_PASSWORD, tuỳ thuộc vào công cụ dùng để tạo kho khoá.

  4. Khởi động lại máy chủ quản lý bằng các lệnh sau: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
     
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server wait_for_ready

    Lệnh wait_for_ready trả về thông báo sau khi máy chủ quản lý đã sẵn sàng:

    Checking if management-server is up: management-server is up.
  5. Nếu bạn đã cài đặt máy chủ quản lý trên nhiều nút, hãy lặp lại các bước từ 1 đến 4 ở trên trên mỗi nút máy chủ quản lý.

Bước 3: Tạo ứng dụng dành cho nhà phát triển

Bây giờ, khi các máy chủ quản lý đã được cập nhật, bạn phải tạo một ứng dụng dành cho nhà phát triển để kích hoạt việc tạo khoá dùng để mã hoá dữ liệu thông tin xác thực của ứng dụng:

  1. Tạo một ứng dụng dành cho nhà phát triển để kích hoạt việc tạo khoá mã hoá dữ liệu (KEK). Để biết các bước thực hiện, hãy xem bài viết Đăng ký ứng dụng.
  2. Xoá ứng dụng của nhà phát triển nếu bạn muốn. Bạn không cần giữ lại tệp này sau khi khoá mã hoá được tạo.

Bước 4: Định cấu hình bộ xử lý thông báo

Cho đến khi tính năng mã hoá được bật trong bộ xử lý thông báo, các yêu cầu trong thời gian chạy sẽ không thể xử lý bất kỳ thông tin đăng nhập đã mã hoá nào.

  1. Sao chép tệp kho khoá bạn đã tạo ở Bước 1 vào một thư mục trên nút trình xử lý thông báo, chẳng hạn như /opt/apigee/customer/application. Ví dụ: 
    cp certs/kekstore.p12 /opt/apigee/customer/application
  2. Đảm bảo người dùng apigee có thể đọc tệp: 
    chown apigee:apigee /opt/apigee/customer/application/kekstore.p12
  3. Thêm các thuộc tính sau vào /opt/apigee/customer/application/message-processor.properties. Nếu tệp không tồn tại, hãy tạo tệp. Xem thêm Tài liệu tham khảo về tệp thuộc tính. 
    conf_keymanagement_kmscred.encryption.enabled=true

# Fallback is true to ensure your existing plaintext credentials continue to work
conf_keymanagement_kmscred.encryption.allowFallback=true

conf_keymanagement_kmscred.encryption.keystore.path=PATH_TO_KEYSTORE_FILE
conf_keymanagement_kmscred.encryption.kek.alias=KEYSTORE_NAME

# These could alternately be set as environment variables. These variables should be
# accessible to Apigee user during bootup of the Java process. If environment
# variables are specified, you can skip the password configs below.
# KMSCRED_ENCRYPTION_KEYSTORE_PASS=
# KMSCRED_ENCRYPTION_KEK_PASS=
See also Using environment variables for configuration properties.


conf_keymanagement_kmscred.encryption.keystore.pass=KEYSTORE_PASSWORD
conf_keymanagement_kmscred.encryption.kek.pass=KEK_PASSWORD

    Xin lưu ý rằng KEK_PASSWORD có thể giống với KEYSTORE_PASSWORD, tuỳ thuộc vào công cụ dùng để tạo kho khoá.

  4. Khởi động lại trình xử lý thông báo bằng các lệnh sau: 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
     
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor wait_for_ready

    Lệnh wait_for_ready trả về thông báo sau khi bộ xử lý thông báo đã sẵn sàng xử lý thông báo:

    Checking if message-processor is up: message-processor is up.
  5. Nếu bạn đã cài đặt bộ xử lý thông báo trên nhiều nút, hãy lặp lại các bước từ 1 đến 4 trên mỗi nút bộ xử lý thông báo.

Tóm tắt

Mọi ứng dụng của nhà phát triển mà bạn tạo từ giờ trở đi sẽ có thông tin xác thực bí mật được mã hoá khi lưu trữ trong cơ sở dữ liệu Cassandra.

Sử dụng biến môi trường cho các thuộc tính cấu hình

Ngoài ra, bạn có thể đặt các thuộc tính cấu hình máy chủ quản lý và bộ xử lý thông báo sau đây bằng cách sử dụng biến môi trường. Nếu được đặt, các biến môi trường sẽ ghi đè các thuộc tính được đặt trong bộ xử lý thông báo hoặc tệp cấu hình máy chủ quản lý. 

conf_keymanagement_kmscred.encryption.keystore.pass=
conf_keymanagement_kmscred.encryption.kek.pass=

Các biến môi trường tương ứng là: 

export KMSCRED_ENCRYPTION_KEYSTORE_PASS=KEYSTORE_PASSWORD
 
export KMSCRED_ENCRYPTION_KEK_PASS=KEK_PASSWORD

Nếu đặt các biến môi trường này, bạn có thể bỏ qua các thuộc tính cấu hình này khỏi tệp cấu hình trên bộ xử lý thông báo và nút máy chủ quản lý, vì các thuộc tính này sẽ bị bỏ qua: 

conf_keymanagement_kmscred.encryption.keystore.pass
conf_keymanagement_kmscred.encryption.kek.pass

Tài liệu tham khảo về tệp thuộc tính

Phần này mô tả các thuộc tính cấu hình mà bạn phải đặt trên tất cả các nút máy chủ quản lý và bộ xử lý thông báo, như đã giải thích trước đó trong tài liệu này.

Thuộc tính Mặc định Mô tả
conf_keymanagement_kmscred.encryption.enabled false Phải là true để bật tính năng mã hoá khoá.
conf_keymanagement_kmscred.encryption.allowFallback false Đặt allowFallback thành true để đảm bảo thông tin đăng nhập dạng văn bản thuần tuý hiện có của bạn tiếp tục hoạt động.
conf_keymanagement_kmscred.encryption.keystore.path Không áp dụng Cung cấp đường dẫn đến kho khoá KEK trên bộ xử lý thông báo hoặc nút máy chủ quản lý. Xem Bước 2: Định cấu hình máy chủ quản lý và Bước 3: Định cấu hình bộ xử lý thông báo.
conf_keymanagement_kmscred.encryption.kek.alias Không áp dụng Bí danh mà KEK được lưu trữ trong kho khoá.
conf_keymanagement_kmscred.encryption.keystore.pass Không áp dụng Không bắt buộc nếu bạn sử dụng biến môi trường để đặt các thuộc tính này. Xem thêm phần Sử dụng biến môi trường cho các thuộc tính cấu hình.
conf_keymanagement_kmscred.encryption.kek.pass Không áp dụng Không bắt buộc nếu bạn sử dụng biến môi trường để đặt các thuộc tính này. Xem thêm phần Sử dụng biến môi trường cho các thuộc tính cấu hình.