配置 Apigee mTLS

在集群中的所有节点上安装 Apigee mTLS 后,您必须配置并初始化 apigee-mtls 组件。为此,您需要生成证书/密钥对并更新管理机上的配置文件。然后,将生成的相同文件和配置文件部署到集群中的所有节点,并初始化本地 apigee-mtls 组件。

配置 apigee-mtls(初始安装后)

本部分介绍如何在初始安装后直接配置 Apigee mTLS。如需了解如何更新 Apigee mTLS 的现有安装,请参阅更改现有的 apigee-mtls 配置

本部分适用于安装在单个数据中心内的情形。如需了解如何在多个数据中心设置中配置 Apigee mTLS,请参阅为 Apigee mTLS 配置多个数据中心

配置 apigee-mtls 的一般流程如下

  1. 更新配置文件:在管理机器上,更新配置文件以包含 apigee-mtls 设置。
  2. 安装 Consul 并生成凭据:安装 Consul 并(可选)使用它生成 TLS 凭据(仅限一次)。

    此外,请修改 Apigee mTLS 配置文件以便:

    1. 添加凭据信息
    2. 定义集群的拓扑

    请注意,您可以使用现有凭据,也可以通过 Consul 生成凭据

  3. 分发凭据和配置文件:将生成的同一证书/密钥对和更新后的配置文件分发到集群中的所有节点。
  4. 初始化 apigee-mtls:初始化每个节点上的 apigee-mtls 组件。

后续几个部分将介绍其中每个步骤。

第 1 步:更新配置文件

本部分介绍如何修改配置文件以包含 mTLS 配置属性。如需了解有关配置文件的更多常规信息,请参阅创建配置文件

使用与 mTLS 相关的属性更新配置文件后,请先将其复制到集群中的所有节点,然后再初始化这些节点上的 apigee-mtls 组件。

如需更新配置文件,请执行以下操作

  1. 在您的管理计算机上,打开配置文件进行修改。
  2. 复制下面一组 mTLS 配置属性,并将其粘贴到配置文件中:
    ALL_IP="ALL_PRIVATE_IPS_IN_CLUSTER"
    ZK_MTLS_HOSTS="ZOOKEEPER_PRIVATE_IPS"
    CASS_MTLS_HOSTS="CASSANDRA_PRIVATE_IPS"
    PG_MTLS_HOSTS="POSTGRES_PRIVATE_IPS"
    RT_MTLS_HOSTS="ROUTER_PRIVATE_IPS"
    MS_MTLS_HOSTS="MGMT_SERVER_PRIVATE_IPS"
    MP_MTLS_HOSTS="MESSAGE_PROCESSOR_PRIVATE_IPS"
    QP_MTLS_HOSTS="QPID_PRIVATE_IPS"
    LDAP_MTLS_HOSTS="OPENLDAP_PRIVATE_IPS"
    MTLS_ENCAPSULATE_LDAP="y"
    
    ENABLE_SIDECAR_PROXY="y"
    ENCRYPT_DATA="BASE64_GOSSIP_MESSAGE"
    PATH_TO_CA_CERT="PATH/TO/consul-agent-ca.pem"
    PATH_TO_CA_KEY="PATH/TO/consul-agent-ca-key.pem"
    APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR="NUMBER_OF_DAYS"

    设置每个属性的值,使其与您的配置保持一致。

    下表介绍了这些配置属性:

    媒体资源 说明
    ALL_IP 集群中所有节点的专用主机 IP 地址列表(以空格分隔)。

    IP 地址的顺序无关紧要,只是它在整个集群的所有配置文件中必须相同。

    如果您为多个数据中心配置 Apigee mTLS,请列出所有区域中所有主机的所有 IP 地址。

    LDAP_MTLS_HOSTS 集群中 OpenLDAP 节点的专用主机 IP 地址。
    ZK_MTLS_HOSTS

    用空格分隔的专用主机 IP 地址列表,集群中托管 ZooKeeper 节点。

    请注意,根据相关要求,必须至少有三个 ZooKeeper 节点。

    CASS_MTLS_HOSTS 用空格分隔的专用主机 IP 地址列表,集群中托管 Cassandra 服务器。
    PG_MTLS_HOSTS 一个以空格分隔的专用主机 IP 地址列表,集群中托管 Postgres 服务器的位置。
    RT_MTLS_HOSTS 用空格分隔的专用主机 IP 地址列表,集群中托管路由器。
    MTLS_ENCAPSULATE_LDAP 加密消息处理器和 LDAP 服务器之间的 LDAP 流量。设置为 y
    MS_MTLS_HOSTS 用空格分隔的专用主机 IP 地址列表,管理服务器节点位于这些地址的集群中。
    MP_MTLS_HOSTS 用空格分隔的专用主机 IP 地址列表,集群中托管消息处理器。
    QP_MTLS_HOSTS 用空格分隔的专用主机 IP 地址列表,集群中托管 Qpid 服务器。
    ENABLE_SIDECAR_PROXY 确定 Cassandra 和 Postgres 是否应知道服务网格。

    您必须将该值设置为“y”。

    ENCRYPT_DATA Consul 使用的 base64 编码的加密密钥。您已使用第 2 步:安装 Consul 并生成凭据中的 consul keygen 命令生成此密钥。

    集群内所有节点的此值必须相同。

    PATH_TO_CA_CERT 证书文件在节点上的位置。您在第 2 步:安装 Consul 并生成凭据中生成了此文件。

    集群中所有节点的此位置应相同,以便配置文件相同。

    证书必须采用 X509v3 编码。

    PATH_TO_CA_KEY 密钥文件在节点上的位置。您在第 2 步:安装 Consul 并生成凭据中生成了此文件。

    集群中所有节点的此位置应相同,以便配置文件相同。

    密钥文件必须采用 X509v3 编码。

    APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR

    生成自定义证书时适合使用证书的天数。

    默认值为 365。最大值为 7865 天(5 年)。

    除了上面列出的属性之外,当您在多数据中心配置上安装 Apigee mTLS 时,它还会使用另外几个属性。如需了解详情,请参阅配置多个数据中心

  3. 确保将 ENABLE_SIDECAR_PROXY 设置为“y”。
  4. 在主机相关属性中更新 IP 地址。引用每个节点时,请务必使用专用 IP 地址,而不是公共 IP 地址。

    在后续步骤中,您将设置其他属性的值,例如 ENCRYPT_DATAPATH_TO_CA_CERTPATH_TO_CA_KEY。您尚未设置它们的值。

    修改 apigee-mtls 配置属性时,请注意以下事项:

    • 所有属性都是字符串;您必须用单引号或双引号括住所有属性的值。
    • 如果与主机相关的值具有多个专用 IP 地址,请使用空格分隔每个 IP 地址。
    • 对于配置文件中所有与主机相关的属性,请使用专用 IP 地址,而不是主机名或公共 IP 地址。
    • 属性值中 IP 地址的顺序必须与集群内所有配置文件中的顺序相同。
  5. 将所做的更改保存到配置文件。

第 2 步:安装 Consul 并生成凭据

本部分介绍如何安装 Consul 并生成已启用 mTLS 的组件使用的凭据。

您必须选择以下方法之一来生成凭据:

  • (推荐)使用 Consul 创建您自己的证书授权机构 (CA),如本部分中所述
  • 将现有 CA 的凭据与 Apigee mTLS 结合使用(高级)

凭据简介

凭据包含以下内容:

  • 证书:TLS 证书
  • 密钥:TLS 公钥
  • Gossip 消息:使用 base-64 编码的加密密钥

您只能为这些文件生成一次版本。然后,您需要将密钥和证书文件复制到集群中的所有节点,并将加密密钥添加到同样也复制到所有节点的配置文件中。

如需详细了解 Consul 的加密实现,请参阅以下内容:

安装 Consul 并生成凭据

如需生成 Apigee mTLS 用于验证私有云集群中节点之间的安全通信的凭据,请使用本地 Consul 二进制文件。因此,您必须在管理机器上安装 Consul,然后才能生成凭据。

如需安装 Consul 并生成 mTLS 凭据,请执行以下操作

  1. 在您的管理机上,从 HashiCorp 网站下载 Consul 1.8.0 二进制文件。
  2. 解压缩下载的归档文件的内容。例如,将内容提取到 /opt/consul/
  3. 在管理机器上,执行以下命令来创建新的证书授权机构 (CA):
    /opt/consul/consul tls ca create

    Consul 会创建以下文件,这些文件形成“证书/密钥对”

    • consul-agent-ca.pem(证书)
    • consul-agent-ca-key.pem(键)

    默认情况下,证书和密钥文件采用 X509v3 编码。

    稍后,您需要将这些文件复制到集群中的所有节点。但是,目前您只能决定这些文件在节点上的位置。它们应该位于每个节点上的相同位置。例如 /opt/apigee/

  4. 在配置文件中,将 PATH_TO_CA_CERT 的值设置为节点上 consul-agent-ca.pem 文件要复制到的位置。例如:
    PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem"
  5. PATH_TO_CA_KEY 的值设置为节点上 consul-agent-ca-key.pem 文件要复制到的位置。例如:
    PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem"
  6. 执行以下命令,为 Consul 创建加密密钥:
    /opt/consul/consul keygen

    Consul 会输出类似于以下内容的随机字符串:

    QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY=
  7. 复制这个生成的字符串,并在配置文件中将其设置为 ENCRYPT_DATA 属性的值。例如:
    ENCRYPT_DATA="QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY="
  8. 保存配置文件。

以下示例展示了配置文件中与 mTLS 相关的设置(包含示例值):

...
IP1=10.126.0.121
IP2=10.126.0.124
IP3=10.126.0.125
IP4=10.126.0.127
IP5=10.126.0.130
ALL_IP="$IP1 $IP2 $IP3 $IP4 $IP5"
LDAP_MTLS_HOSTS="$IP3"
ZK_MTLS_HOSTS="$IP3 $IP4 $IP5"
CASS_MTLS_HOSTS="$IP3 $IP4 $IP5"
PG_MTLS_HOSTS="$IP2 $IP1"
RT_MTLS_HOSTS="$IP4 $IP5"
MS_MTLS_HOSTS="$IP3"
MP_MTLS_HOSTS="$IP4 $IP5"
QP_MTLS_HOSTS="$IP2 $IP1"
ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY="
PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem"
PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem"
...

第 3 步:分发配置文件和凭据

使用 scp 等工具将以下文件复制到所有节点:

  • 配置文件:复制此文件的更新版本,并替换所有节点(不仅仅是运行 ZooKeeper 的节点)上的现有版本。
  • consul-agent-ca.pem::复制到您在配置文件中指定为 PATH_TO_CA_CERT 值的位置。
  • consul-agent-ca-key.pem::复制到您在配置文件中指定为 PATH_TO_CA_KEY 值的位置。

确保将证书和密钥文件复制到的位置与您在第 2 步:安装 Consul 并生成凭据中的配置文件中设置的值一致。

第 4 步:初始化 apigee-mtls

在每个节点上安装 apigee-mtls、更新配置文件并将其和凭据复制到集群中的所有节点后,您就可以初始化每个节点上的 apigee-mtls 组件了。

如需初始化 apigee-mtls,请执行以下操作

  1. 以根用户身份登录集群中的节点。您可以按任意顺序在节点上执行这些步骤。
  2. apigee:apigee 用户设为已更新配置文件的所有者,如以下示例所示:
    chown apigee:apigee config_file
  3. 执行以下命令,配置 apigee-mtls 组件:
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f config_file
  4. (可选)执行以下命令以验证设置是否成功:
    /opt/apigee/apigee-mtls/lib/actions/iptables.sh validate
  5. 通过执行以下命令启动 Apigee mTLS:
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start

    安装 Apigee mTLS 后,您必须先启动此组件,然后再启动节点上的任何其他组件。

  6. (仅限 Cassandra 节点)Cassandra 需要额外的参数才能在安全网格中工作。因此,您必须在每个 Cassandra 节点上执行以下命令:
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra setup -f config_file
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
  7. (仅限 Postgres 节点)Postgres 需要额外的参数才能在安全网格中工作。因此,您必须在 Postgres 节点上执行以下操作:

    (仅“主要”类别)

    1. 在 Postgres 主节点上执行以下命令:
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

    (仅限待机模式)

    1. 备份您现有的 Postgres 数据。如需安装 Apigee mTLS,您必须重新初始化主节点/备用节点,以防止数据丢失。如需了解详情,请参阅为 Postgres 设置主要/备用复制
    2. 删除所有 Postgres 数据:
      rm -rf /opt/apigee/data/apigee-postgresql/pgdata
    3. 配置 Postgres,然后重启 Postgres,如以下示例所示:
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

    如果要在多数据中心拓扑上进行安装,请使用配置文件的绝对路径。

  8. 按照启动顺序启动节点上其余的 Apigee 组件,如以下示例所示:
    /opt/apigee/apigee-service/bin/apigee-service component_name start
  9. 对集群中的每个节点重复此过程。
  10. (可选)使用以下一种或多种方法验证 apigee-mtls 初始化是否成功:
    1. 验证 iptables 配置
    2. 验证远程代理状态
    3. 验证仲裁状态

    验证配置中介绍了每种方法。

更改现有的 apigee-mtls 配置

如需自定义现有的 apigee-mtls 配置,您必须卸载并重新安装 apigee-mtls。您还必须确保将自定义设置应用到所有节点。

如需重申这一点,请在更改现有 Apigee mTLS 配置时执行以下操作:

  • 如果您更改了配置文件,则必须先卸载 apigee-mtls,然后重新运行 setupconfigure
    # DO THIS:
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
    
    # BEFORE YOU DO THIS:
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f file
    OR
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls configure
  • 您必须在集群中的所有节点(而不仅仅是单个节点)上卸载并重新运行 setupconfigure