上りトラフィック用に TLS 1.3 を構成する

このページでは、上りトラフィック（クライアントとルーター間のトラフィック）用に Apigee ルーターで TLS 1.3 を構成する方法について説明します。

仮想ホストの詳細については、仮想ホストをご覧ください。

ルーター内のすべての TLS ベースの仮想ホストで TLS 1.3 を有効にする

ルーター内のすべての TLS ベースの仮想ホストで TLS 1.3 を有効にするには、次の操作を行います。

1. Router で、エディタを使用して次のプロパティ ファイルを開きます。

   /opt/apigee/customer/application/router.properties

   ファイルが存在しない場合は作成します。

2. プロパティ ファイルに次の行を追加します。

   conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1 TLSv1.1 TLSv1.2 TLSv1.3

   サポートするすべての TLS プロトコルを追加します。プロトコルはスペース区切りで、大文字と小文字が区別されます。

3. ファイルを保存します。
4. ファイルが apigee ユーザーによって所有されていることを確認します。

   chown apigee:apigee /opt/apigee/customer/application/router.properties

5. Router を再起動します。

   /opt/apigee/apigee-service/bin/apigee-service edge-router restart

6. すべての Router ノードで上記の手順を 1 つずつ繰り返します。

特定の仮想ホストでのみ TLS 1.3 を有効にする

このセクションでは、特定の仮想ホストで TLS 1.3 を有効にする方法について説明します。TLS 1.3 を有効にするには、Management Server ノードで次の操作を行います。

1. 各 Management Server ノードで、ファイル /opt/apigee/customer/application/management-server.properties を編集して次の行を追加します。（ファイルが存在しない場合は作成します）。

   conf_virtualhost_virtual.host.allowed.protocol.list=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3

   このファイルでは、プロトコルはカンマ区切り（大文字と小文字を区別）です。

2. ファイルを保存します。
3. ファイルが apigee ユーザーによって所有されていることを確認します。

   chown apigee:apigee /opt/apigee/customer/application/management-server.properties

4. Management Server を再起動します。

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

5. すべての Management Server ノードで上記の手順を 1 つずつ繰り返します。
6. 次のプロパティを使用して仮想ホストを作成（または既存の仮想ホストを更新）します。プロトコルはスペース区切りで、大文字と小文字が区別されます。

   "properties": {
       "property": [
         {
           "name": "ssl_protocols",
           "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
         }
       ]
   }

   このプロパティを含む仮想ホストの例を以下に示します。

   {
     "hostAliases": [
       "api.myCompany,com",
     ],
     "interfaces": [],
     "listenOptions": [],
     "name": "secure",
     "port": "443",
     "retryOptions": [],
     "properties": {
       "property": [
         {
           "name": "ssl_protocols",
           "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
         }
       ]
     },
     "sSLInfo": {
       "ciphers": [],
       "clientAuthEnabled": "false",
       "enabled": "true",
       "ignoreValidationErrors": false,
       "keyAlias": "myCompanyKeyAlias",
       "keyStore": "ref://myCompanyKeystoreref",
       "protocols": []
     },
     "useBuiltInFreeTrialCert": false
   }

   TLS 1.3 のテスト

   TLS 1.3 をテストするには、次のコマンドを入力します。

   curl -v --tlsv1.3 "https://api.myCompany,com/testproxy"

   TLS 1.3 は、このプロトコルをサポートするクライアントでのみテストできます。TLS 1.3 が有効になっていない場合は、次のようなエラー メッセージが表示されます。

   sslv3 alert handshake failure