Bảo trì Apigee mTLS

Trang này mô tả các nhiệm vụ bảo trì mTLS của Apigee cần được thực hiện thường xuyên.

Xoay vòng chứng chỉ cục bộ

Chứng chỉ cục bộ (được cài đặt trên mỗi máy chủ lưu trữ Apigee) cần được thay thế bằng chứng chỉ mới hằng năm. Đây được gọi là xoay vòng chứng chỉ. Có hai cách để xoay vòng chứng chỉ, tuỳ thuộc vào việc bạn đang sử dụng tổ chức phát hành chứng chỉ tuỳ chỉnh hay chứng chỉ do Consul cài đặt.

Xoay vòng chứng chỉ cục bộ mà không có tổ chức phát hành chứng chỉ (CA) tuỳ chỉnh

Cách đơn giản nhất để xoay vòng chứng chỉ mà không cần CA tuỳ chỉnh là gỡ cài đặt và cài đặt lại apigee-mtls. Thao tác này sẽ xoá tất cả chứng chỉ cũ hiện có và tạo chứng chỉ mới trên thiết bị. Bạn có thể thực hiện việc này với thời gian ngừng hoạt động tối thiểu bằng cách thực hiện các lệnh sau trên từng máy chủ, mỗi lần một lệnh:

Lưu ý: Điều này giả định rằng tệp silent.conf được dùng cho quá trình cài đặt ban đầu vẫn còn.

  1. Dừng tất cả các thành phần cốt lõi của Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     Xem phần Bắt đầu/dừng/kiểm tra tất cả thành phần.
  2. Trạm dừng apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  3. Gỡ cài đặt apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
  4. Cài đặt lại apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install
  5. Chạy apigee-mtls setup: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf
  6. Khởi động lại apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Khởi động lại tất cả các thành phần cốt lõi của Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     Xem phần Bắt đầu/dừng/kiểm tra tất cả thành phần.

Xoay vòng chứng chỉ cục bộ bằng tổ chức phát hành chứng chỉ (CA) tuỳ chỉnh

Để xoay vòng chứng chỉ cục bộ bằng CA tuỳ chỉnh, hãy làm theo các bước sau:

  1. Làm theo các bước trong phần Sử dụng chứng chỉ tuỳ chỉnh để tạo chứng chỉ mới mà bạn sẽ sử dụng.
  2. Dừng tất cả các thành phần cốt lõi của Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     Xem phần Bắt đầu/dừng/kiểm tra tất cả thành phần.
  3. Trạm dừng apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  4. Xoá các tệp chứng chỉ cũ trên máy: 
    rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
rm -rf /opt/apigee/data/apigee-mtls
  5. Sao chép cặp chứng chỉ/cặp khoá mới được tạo ở bước đầu tiên vào các vị trí sau và cập nhật quyền: 
    cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem
  6. Khởi động lại apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Khởi động lại tất cả các thành phần cốt lõi của Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     Xem phần Bắt đầu/dừng/kiểm tra tất cả thành phần.