Apigee mTLS 維護

本頁面說明 Apigee mTLS 的定期維護工作。

輪替本機憑證

本機憑證安裝在每個 Apigee 主機上，每年都必須更換。這稱為憑證輪替。輪替憑證的方法有兩種，取決於您是否使用自訂憑證授權單位，或 Consul 安裝的憑證。

在沒有自訂憑證授權單位 (CA) 的情況下輪替本機憑證

如要輪換憑證，最簡單的方法是解除安裝並重新安裝 apigee-mtls，不需使用自訂 CA。這項操作會移除所有現有的舊憑證，並在本機產生新憑證。只要在每部主機上逐一執行下列指令，即可在最短的停機時間內完成這項操作：

注意：這項操作假設初始安裝時使用的 silent.conf 檔案仍存在。

1. 停止所有核心 Apigee 元件：

   /opt/apigee/apigee-service/bin/apigee-all stop

   請參閱「 啟動/停止/檢查所有元件」。
2. 停止 apigee-mtls：

   /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop

3. 解除安裝 apigee-mtls：

   /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall

4. 重新安裝 apigee-mtls：

   /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install

5. 執行 apigee-mtls setup：

   /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf

6. 重新啟動 apigee-mtls：

   /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start

7. 重新啟動所有 Apigee 核心元件：

   /opt/apigee/apigee-service/bin/apigee-all start

   請參閱「 啟動/停止/檢查所有元件」。

使用自訂憑證授權單位 (CA) 輪替本機憑證

如要使用自訂 CA 輪替本機憑證，請按照下列步驟操作：

1. 按照「使用自訂憑證」中的步驟，產生要使用的新憑證。
2. 停止所有核心 Apigee 元件：

   /opt/apigee/apigee-service/bin/apigee-all stop

   請參閱「 啟動/停止/檢查所有元件」。
3. 停止 apigee-mtls：

   /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop

4. 移除舊的本機憑證檔案：

   rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
   rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
   rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
   rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
   rm -rf /opt/apigee/data/apigee-mtls

5. 將第一步產生的新憑證/金鑰組複製到下列位置，並更新權限：

   cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem
   
   chmod \
     --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
     /opt/apigee/apigee-mtls/certs/local_cert.pem
   
   chown \
     --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
     /opt/apigee/apigee-mtls/certs/local_cert.pem
   
   cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem
   
   chmod \
     --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
     /opt/apigee/apigee-mtls/source/certs/local_cert.pem
   
   chown \
     --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
     /opt/apigee/apigee-mtls/source/certs/local_cert.pem
   
   cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem
   
   chmod \
     --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
     /opt/apigee/apigee-mtls/source/certs/local_cert.pem
   
   chown \
     --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
     /opt/apigee/apigee-mtls/source/certs/local_cert.pem
   
   cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem
   
   chmod \
     --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
     /opt/apigee/apigee-mtls/source/certs/local_cert.pem
   
   chown \
     --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
     /opt/apigee/apigee-mtls/source/certs/local_cert.pem

6. 重新啟動 apigee-mtls：

   /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start

7. 重新啟動所有 Apigee 核心元件：

   /opt/apigee/apigee-service/bin/apigee-all start

   請參閱「 啟動/停止/檢查所有元件」。