Vérifier l'installation d'Apigee mTLS

Cette section décrit différentes manières de vérifier que l'installation d'Apigee mTLS a réussi. Vous pouvez également utiliser les techniques décrites dans cette section pour résoudre les problèmes liés au cluster.

Valider la configuration iptables

Vous pouvez confirmer que l'installation de apigee-mtls a réussi en vérifiant que les routes iptables fonctionnent et que les règles sont valides.

Avant de valider une configuration iptables, vérifiez les points suivants:

  • Vous avez désinstallé le pare-feu du nœud et l'avez remplacé par iptables, comme décrit dans la section Remplacer le pare-feu par défaut.
  • Vous avez arrêté tous les composants Apigee sur le nœud, y compris apigee-mtls.

Pour valider la configuration de apigee-mtls avec iptables:

  1. Connectez-vous à un nœud de votre cluster. L'ordre dans lequel vous effectuez cette opération n'a pas d'importance.
  2. Arrêtez tous les composants du nœud, comme indiqué dans l'exemple suivant :
    /opt/apigee/apigee-service/bin/apigee-all stop
  3. Exécutez la commande validate, comme indiqué dans l'exemple suivant :
    /opt/apigee/apigee-mtls/lib/actions/iptables.sh validate

    iptables envoie des messages à chaque port utilisé par Consul ou les services Apigee locaux. Si le script rencontre une règle non valide ou une route ayant échoué, il affiche une erreur.

    Si des services Apigee ou des serveurs Consul sont exécutés sur le nœud, cette commande échoue.

  4. Démarrez le composant apigee-mtls avant tous les autres composants du nœud en exécutant la commande suivante :
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  5. Démarrez les composants Apigee restants sur le nœud dans l'ordre de démarrage, comme indiqué dans l'exemple suivant :
    /opt/apigee/apigee-service/bin/apigee-service component_name start
  6. Répétez ces étapes sur tous les nœuds du cluster. Idéalement, effectuez cette opération sur tous les nœuds dans les cinq minutes suivant le démarrage sur le premier nœud.

Vérifier l'état du proxy distant

Vous pouvez utiliser Consul sur les nœuds ZooKeeper pour vérifier si les services proxy d'entrée et de sortie de tous les nœuds sont actifs, opérationnels et ont rejoint le maillage de services.

Pour vérifier l'état du proxy de vos nœuds:

  1. Connectez-vous à un nœud qui exécute ZooKeeper.
  2. Exécutez la commande suivante :
    systemctl status consul_server

Vérifier l'état du quorum

L'installation mTLS inclut l'ajout des services proxy Consul à tous les nœuds. Vous devez donc vérifier l'état du quorum de tous les nœuds ZooKeeper.

Pour vérifier l'état du quorum, connectez-vous à chaque nœud qui exécute ZooKeeper et exécutez la commande suivante:

/opt/apigee/apigee-mtls-consul/bin/consul operator raft list-peers

Cette commande affiche la liste des instances Consul et leur état, comme le montre l'exemple suivant:

Node             ID                     Address            State     Voter  RaftProtocol
prc-test-0-1619  b59c1f44-6eb0-81d4-42  10.126.0.98:8300   leader    true   3
prc-test-1-1619  a4372a6e-8044-e587-43  10.126.0.146:8300  follower  true   3
prc-test-2-1619  71eb181f-4242-5353-44  10.126.0.100:8300  follower  true   3

Pour en savoir plus, consultez les ressources suivantes :

En outre, vous pouvez obtenir des informations sur l'état du cluster, y compris si le quorum du cluster s'est formé et si les membres distants perturbent le fonctionnement. Pour ce faire, exécutez la commande suivante:

/opt/apigee/apigee-service/bin/apigee-service apigee-mtls status