Обслуживание Apigee mTLS

На этой странице описаны задачи по обслуживанию Apigee mTLS, которые необходимо выполнять регулярно.

Ротация локальных сертификатов

Локальные сертификаты, установленные на каждом хосте Apigee, необходимо ежегодно заменять новыми. Этот процесс называется ротацией сертификатов. Есть два способа ротации сертификатов в зависимости от того, используете ли вы собственный центр сертификации или сертификат, установленный Consul.

Как менять локальные сертификаты без собственного центра сертификации (ЦС)

Проще всего выполнить ротацию сертификатов без собственного ЦС, удалив и повторно установив apigee-mtls. В результате будут удалены все старые сертификаты и созданы новые. Чтобы минимизировать время простоя, выполните следующие команды на каждом хосте по очереди:

Примечание. Для этого требуется тот же файл silent.conf, который использовался для первоначальной установки.

  1. Остановите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     См. Запуск, остановка и проверка всех компонентов.
  2. Остановить работу apigee-mtls 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  3. Удалить приложение "apigee-mtls" 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
  4. Переустановите apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install
  5. Выполните команду apigee-mtls setup: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf
  6. Перезапустите apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Перезапустите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     См. Запуск, остановка и проверка всех компонентов.

Как настроить ротацию локальных сертификатов с помощью собственного центра сертификации (ЦС)

Чтобы выполнить ротацию локальных сертификатов с помощью собственного ЦС, выполните следующие действия:

  1. Следуйте инструкциям в статье Как использовать собственный сертификат, чтобы создать новые сертификаты.
  2. Остановите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     См. Запуск, остановка и проверка всех компонентов.
  3. Остановить работу apigee-mtls 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  4. Удалите старые локальные файлы сертификатов: 
    rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
rm -rf /opt/apigee/data/apigee-mtls
  5. Скопируйте новую пару сертификата и ключа, созданную на первом шаге, в следующие папки и обновите разрешения: 
    cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem
  6. Перезапустите apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Перезапустите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     См. Запуск, остановка и проверка всех компонентов.