Техническое обслуживание Apigee mTLS

На этой странице описаны задачи обслуживания Apigee mTLS, которые необходимо выполнять регулярно.

Ротация локальных сертификатов

Локальные сертификаты, которые установлены на каждом хосте Apigee, необходимо ежегодно заменять новыми. Это называется ротацией сертификатов. Существует два способа ротации сертификатов, в зависимости от того, используете ли вы собственный центр сертификации или сертификат, установленный Consul.

Ротация локальных сертификатов без специального центра сертификации (CA)

Самый простой способ ротации сертификатов без специального центра сертификации — удалить и переустановить apigee-mtls . При этом удаляются все имеющиеся старые сертификаты и локально создаются новые сертификаты. Вы можете сделать это с минимальным временем простоя, выполнив следующие команды на каждом хосте по одной:

Примечание. Предполагается, что присутствует тот же файл silent.conf , который использовался для первоначальной установки.

  1. Остановите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
    См. Запуск/остановка/проверка всех компонентов .
  2. Остановите apigee-mtls :
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  3. Удалить apigee-mtls :
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
  4. Переустановите apigee-mtls :
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install
  5. Запустите apigee-mtls setup :
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf
  6. Перезапустите apigee-mtls :
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Перезапустите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
    См. раздел «Запуск/остановка/проверка всех компонентов» .

Ротация локальных сертификатов с помощью специального центра сертификации (CA)

Чтобы выполнить ротацию локальных сертификатов с помощью специального центра сертификации, выполните следующие действия:

  1. Выполните действия, описанные в разделе Использование пользовательского сертификата , чтобы создать новые сертификаты, которые вы будете использовать.
  2. Остановите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
    См. Запуск/остановка/проверка всех компонентов .
  3. Остановите apigee-mtls : 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  4. Удалите старые локальные файлы сертификатов: 
    rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
rm -rf /opt/apigee/data/apigee-mtls
  5. Скопируйте новую пару сертификат/ключ, созданную на первом этапе, в следующие папки и обновите разрешения: 
    cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem
  6. Перезапустите apigee-mtls : 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Перезапустите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
    См. Запуск/остановка/проверка всех компонентов .