TLS (Bảo mật tầng truyền tải, tiền thân là SSL) là công nghệ bảo mật tiêu chuẩn để đảm bảo việc nhắn tin được mã hoá và bảo mật trên môi trường API, từ ứng dụng đến Apigee Edge cho đến các dịch vụ phụ trợ.
Bất kể cấu hình môi trường cho API quản lý của bạn là gì (ví dụ: bạn có đang sử dụng proxy, bộ định tuyến và/hoặc trình cân bằng tải trước API quản lý hay không), Edge đều cho phép bạn bật và định cấu hình TLS, giúp bạn kiểm soát việc mã hoá thông báo trong môi trường quản lý API tại chỗ.
Đối với bản cài đặt Edge Private Cloud tại chỗ, có một số nơi bạn có thể định cấu hình TLS:
- Giữa Bộ định tuyến và Bộ xử lý thông báo
- Để truy cập vào API quản lý Edge
- Để truy cập vào giao diện người dùng quản lý Edge
- Để truy cập vào giao diện người dùng mới của Edge
- Để cấp quyền truy cập vào API của bạn cho một ứng dụng
- Để truy cập từ Edge vào các dịch vụ phụ trợ
Để biết thông tin tổng quan đầy đủ về cách định cấu hình TLS trên Edge, hãy xem bài viết TLS/SSL.
Tạo tệp JKS
Đối với nhiều cấu hình TLS, bạn biểu thị kho khoá dưới dạng tệp JKS, trong đó kho khoá chứa chứng chỉ TLS và khoá riêng tư của bạn. Có một số cách để tạo tệp JKS, nhưng một cách là sử dụng các tiện ích openssl và keytool.
Ví dụ: bạn có một tệp PEM tên là server.pem chứa chứng chỉ TLS và một tệp PEM tên là private_key.pem chứa khoá riêng tư. Sử dụng các lệnh sau để tạo tệp PKCS12:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12
Bạn phải nhập cụm mật khẩu cho khoá (nếu có) và mật khẩu xuất. Lệnh này sẽ tạo một tệp PKCS12 có tên là keystore.pkcs12.
Sử dụng lệnh sau để chuyển đổi tệp đó thành tệp JKS có tên là keystore.jks:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks
Bạn sẽ được nhắc nhập mật khẩu mới cho tệp JKS và mật khẩu hiện có cho tệp PKCS12. Hãy nhớ sử dụng cùng một mật khẩu cho tệp JKS như bạn đã dùng cho tệp PKCS12.
Nếu bạn phải chỉ định một bí danh khoá, chẳng hạn như khi định cấu hình TLS giữa Bộ định tuyến và Bộ xử lý thông báo, hãy thêm tuỳ chọn -name vào lệnh openssl:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12 -name devtest
Sau đó, thêm tuỳ chọn -alias vào lệnh keytool:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks -alias devtest
Tạo mật khẩu bị làm rối mã nguồn
Một số phần của quy trình cấu hình TLS Edge yêu cầu bạn nhập mật khẩu đã làm rối mã nguồn trong tệp cấu hình. Mật khẩu bị làm rối mã nguồn là một giải pháp thay thế an toàn hơn so với việc nhập mật khẩu ở dạng văn bản thuần tuý.
Bạn có thể tạo mật khẩu làm rối mã nguồn bằng cách sử dụng lệnh sau trên Máy chủ quản lý Edge:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server generate-obfuscated-password
Nhập mật khẩu mới, sau đó xác nhận mật khẩu đó khi được nhắc. Vì lý do bảo mật, văn bản của mật khẩu sẽ không hiển thị. Lệnh này trả về mật khẩu ở dạng:
OBF:58fh40h61svy156789gk1saj MD5:902fobg9d80e6043b394cb2314e9c6
Sử dụng mật khẩu đã làm rối mã nguồn do OBF chỉ định khi định cấu hình TLS.
Để biết thêm thông tin, hãy xem bài viết này.