O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Como configurar o TLS para a IU de gerenciamento

Por padrão, você acessa a IU do Edge por HTTP usando o endereço IP do nó do servidor de gerenciamento e a porta 9000. Exemplo:

http://ms_IP:9000

Como alternativa, é possível configurar o acesso TLS à IU do Edge para que você possa acessá-la no formulário:

https://ms_IP:9443

Neste exemplo, você configura o acesso TLS para usar a porta 9443. No entanto, esse número de porta não é exigido pelo Edge. É possível configurar o Management Server para usar outros valores de porta. O único requisito é que o firewall permita o tráfego pela porta especificada.

Verifique se a porta TLS está aberta

O procedimento nesta seção configura o TLS para usar a porta 9443 no servidor de gerenciamento. Independentemente da porta usada, é preciso garantir que ela esteja aberta no servidor de gerenciamento. Por exemplo, use o seguinte comando para abri-lo:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 9443 -j ACCEPT --verbose

OBSERVAÇÃO:este exemplo usa a porta 9443 para a porta TLS, e não a porta 443, que é mais comum. Isso ocorre porque as portas abaixo de 1024 normalmente são protegidas pelo sistema operacional e exigem que o processo que as acessa tenha acesso raiz. A IU do Edge é executada como o usuário "apigee" e, portanto, normalmente não tem acesso a portas abaixo de 1024.

Uma alternativa é usar um balanceador de carga com a IU do Edge e encerrar o TLS no balanceador de carga na porta 443. Em seguida, use HTTP ou HTTPS entre o balanceador de carga e a interface do Edge.

Outra alternativa é usar iptables para encaminhar solicitações para a porta 443 para a porta 9443. Exemplo:

iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 9443

Configurar a TLS

Use o procedimento a seguir para configurar o acesso TLS à IU de gerenciamento:

Gere o arquivo JKS do keystore que contém a certificação TLS e a chave privada e copie-o para o nó do servidor de gerenciamento. Para mais informações, consulte Como configurar TLS/SSL para o Edge para nuvem privada.

Execute o seguinte comando para configurar o TLS:

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl

Digite o número da porta HTTPS, por exemplo, 9443.
Especifique se você quer desativar o acesso HTTP à interface de gerenciamento. Por padrão, a interface de gerenciamento pode ser acessada por HTTP na porta 9000.
Insira o algoritmo do keystore. O padrão é JKS.
Insira o caminho absoluto para o arquivo JKS do keystore.
O script copia o arquivo para o diretório /opt/apigee/customer/conf no nó do Management Server e altera a propriedade do arquivo para "apigee".
Digite a senha do keystore em texto simples.
Em seguida, o script reinicia a IU de gerenciamento do Edge. Após a reinicialização, a IU de gerenciamento oferece suporte ao acesso por TLS.
Você pode ver essas configurações em /opt/apigee/etc/edge-ui.d/SSL.sh.

Como usar um arquivo de configuração para configurar o TLS

Como alternativa ao procedimento acima, é possível transmitir um arquivo de configuração para o comando na etapa 2 do procedimento. Você precisará usar esse método se quiser definir propriedades opcionais de TLS.

Para usar um arquivo de configuração, crie um novo arquivo e adicione as seguintes propriedades:

HTTPSPORT=9443
DISABLE_HTTP=y
KEY_ALGO=JKS
KEY_FILE_PATH=/opt/apigee/customer/application/mykeystore.jks
KEY_PASS=clearTextKeystorePWord

Salve o arquivo em um diretório local com o nome que quiser. Em seguida, use o seguinte comando para configurar o TLS:

/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile

em que configFile é o caminho completo para o arquivo que você salvou.

Configurar a IU do Edge quando o TLS termina no balanceador de carga

Se você tiver um balanceador de carga que encaminha solicitações para a IU do Edge, encerre a conexão TLS no balanceador de carga e faça com que ele encaminhe as solicitações para a IU do Edge por HTTP. Essa configuração é compatível, mas você precisa configurar o balanceador de carga e a IU do Edge de acordo.

A configuração adicional é necessária quando a IU do Edge envia e-mails aos usuários para definir a senha quando o usuário é criado ou quando o usuário solicita a redefinição de uma senha perdida. Esse e-mail contém um URL que o usuário seleciona para definir ou redefinir uma senha. Por padrão, se a IU do Edge não estiver configurada para usar TLS, o URL no e-mail gerado usará o protocolo HTTP, e não HTTPS. É preciso configurar o balanceador de carga e a IU do Edge para gerar um endereço de e-mail que use HTTPS.

Para configurar o balanceador de carga, verifique se ele define o seguinte cabeçalho nas solicitações encaminhadas para a IU do Edge:

X-Forwarded-Proto: https

Para configurar a IU do Edge:

Abra o arquivo /opt/apigee/customer/application/ui.properties em um editor. Se o arquivo não existir, crie-o:
```
vi /opt/apigee/customer/application/ui.properties
```
Defina a seguinte propriedade em ui.properties:
```
conf/application.conf+trustxforwarded=true
```
Salve as alterações em ui.properties.

Reinicie a IU do Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Como definir propriedades opcionais de TLS

A IU do Edge é compatível com propriedades de configuração de TLS opcionais que podem ser usadas para definir o seguinte:

Protocolo TLS padrão
Lista de protocolos TLS compatíveis
Algoritmos TLS compatíveis
Criptografias TLS compatíveis

Esses parâmetros opcionais só estão disponíveis quando você define a seguinte propriedade de configuração no arquivo de configuração, conforme descrito em Como usar um arquivo de configuração para configurar o TLS:

TLS_CONFIGURE=y

OBSERVAÇÃO:só é possível definir esses parâmetros opcionais em um arquivo de configuração transmitido para o comando apigee-service edge-ui configure-ssl. Não é possível definir essas propriedades usando o comando interativo.

A tabela a seguir descreve essas propriedades:

Propriedade	Descrição
`TLS_PROTOCOL`	Define o protocolo TLS padrão para a interface do Edge. Por padrão, é TLS 1.2. Os valores válidos são TLSv1.2, TLSv1.1, TLSv1.
`TLS_ENABLED_PROTOCOL`	Define a lista de protocolos ativados como uma matriz separada por vírgulas. Exemplo: TLS_ENABLED_PROTOCOL=[\"TLSv1.2\", \"TLSv1.1\", \"TLSv1\"] É preciso usar o caractere de escape ". Por padrão, todos os protocolos são ativados.
`TLS_DISABLED_ALGO`	Define os pacotes de criptografia desativados e também pode ser usado para impedir que tamanhos de chave pequenos sejam usados para handshake de TLS. Não há valor padrão. Os valores transmitidos para `TLS_DISABLED_ALGO` correspondem aos valores permitidos para `jdk.tls.disabledAlgorithms`, conforme descrito aqui. No entanto, é preciso usar caracteres de escape para espaços ao definir `TLS_DISABLED_ALGO`: TLS_DISABLED_ALGO=EC\ keySize\ <\ 160,RSA\ keySize\ <\ 2048
`TLS_ENABLED_CIPHERS`	Define a lista de criptografias TLS disponíveis como uma matriz separada por vírgulas. Exemplo: TLS_ENABLED_CIPHERS=[\"TLS_DHE_RSA_WITH_AES_128_CBC_SHA\", \"TLS_DHE_DSS_WITH_AES_128_CBC_SHA\"] É preciso usar o caractere de escape ". A lista padrão de criptografias ativadas é: "TLS_DHE_RSA_WITH_AES_256_CBC_SHA", "TLS_DHE_RSA_WITH_AES_128_CBC_SHA", "TLS_DHE_DSS_WITH_AES_128_CBC_SHA", "TLS_RSA_WITH_AES_256_CBC_SHA", "TLS_RSA_WITH_AES_128_CBC_SHA", "SSL_RSA_WITH_RC4_128_SHA", "SSL_RSA_WITH_RC4_128_MD5", "TLS_EMPTY_RENEGOTIATION_INFO_SCSV" Confira a lista de criptografias disponíveis aqui.

Como desativar protocolos TLS

Para desativar os protocolos TLS, edite o arquivo de configuração, descrito em Como usar um arquivo de configuração para configurar o TLS, da seguinte maneira:

Abra o arquivo de configuração em um editor.
Para desativar um único protocolo TLS, por exemplo, TLSv1.0, adicione o seguinte ao arquivo de configuração:
```
TLS_CONFIGURE=y
TLS_DISABLED_ALGO="tlsv1"
```
Para desativar vários protocolos, como TLSv1.0 e TLSv1.1, adicione o seguinte ao arquivo de configuração:
```
TLS_CONFIGURE=y
TLS_DISABLED_ALGO="tlsv1, tlsv1.1"
```
Salve as alterações no arquivo de configuração.
Execute o seguinte comando para configurar o TLS:
```
/opt/apigee/apigee-service/bin/apigee-service edge-ui configure-ssl -f configFile
```
em que configFile é o caminho completo para o arquivo de configuração.

Reinicie a IU do Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Usar cookies seguros

A Apigee Edge para nuvem privada permite adicionar a flag secure ao cabeçalho Set-Cookie para respostas da interface do Edge. Se essa flag estiver presente, o cookie só poderá ser enviado por canais com TLS ativado. Se ele não estiver presente, o cookie poderá ser enviado por qualquer canal, seja ele seguro ou não.

Os cookies sem a flag secure podem permitir que um invasor capture e reutilize o cookie ou sequestre uma sessão ativa. Portanto, a prática recomendada é ativar essa configuração.

Para definir a flag secure para cookies da IU do Edge:

Abra o seguinte arquivo em um editor de texto:
```
/opt/apigee/customer/application/ui.properties
```
Se o arquivo não existir, crie-o.
Defina a propriedade conf_application_session.secure como true no arquivo ui.properties, conforme mostrado no exemplo a seguir:
```
conf_application_session.secure=true
```
Salve as alterações.
Reinicie a IU do Edge usando o utilitário apigee-serice, como mostra o exemplo a seguir:
```
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart
```

Para confirmar se a alteração está funcionando, verifique os cabeçalhos de resposta da IU do Edge usando um utilitário como curl. Por exemplo:

curl -i -v https://edge_UI_URL

O cabeçalho precisa conter uma linha como esta:

Set-Cookie: secure; ...

Desativar o TLS na interface do Edge

Para desativar o TLS na IU do Edge, use o seguinte comando:

/opt/apigee/apigee-service/bin/apigee-service edge-ui disable-ssl