HTTPS erişimi için Apigee TOA'yı yapılandırma

Apigee TOA'yı yükleme ve yapılandırma bölümünde, Edge yapılandırma dosyasındaki aşağıdaki özellik tarafından belirtildiği şekilde, 9099 numaralı bağlantı noktasında HTTP kullanmak için Apigee TOA modülünün nasıl yüklenip yapılandırılacağı açıklanmaktadır:

SSO_TOMCAT_PROFILE=DEFAULT

Alternatif olarak, HTTPS erişimini etkinleştirmek için SSO_TOMCAT_PROFILE politikasını aşağıdaki değerlerden birine ayarlayabilirsiniz:

  • SSL_PROXY: Apigee TOA modülü olan apigee-sso'yi proxy modunda yapılandırır. Bu, apigee-sso'nin önüne bir yük dengeleyici yüklediğiniz ve yük dengeleyicide TLS'yi sonlandırdığınız anlamına gelir. Ardından, yük dengeleyiciden gelen istekler için apigee-sso üzerinde kullanılan bağlantı noktasını belirtirsiniz.
  • SSL_TERMINATION: Seçtiğiniz bağlantı noktasında apigee-sso için TLS erişimi etkinleştirildi. Bu mod için CA tarafından imzalanmış bir sertifika içeren bir anahtar deposu belirtmeniz gerekir. Kendinden imzalı bir sertifika kullanamazsınız.

HTTPS'yi apigee-sso ürününü ilk yükleyip yapılandırdığınızda veya daha sonra etkinleştirebilirsiniz.

apigee-sso için HTTPS erişimini etkinleştirmek, HTTP erişimini devre dışı bırakır. Yani apigee-sso adresine hem HTTP hem de HTTPS kullanarak aynı anda erişemezsiniz.

SSL_PROXY modunu etkinleştirme

SSL_PROXY modunda sisteminiz, Apigee TOA modülünün önünde bir yük dengeleyici kullanır ve TLS'yi yük dengeleyicide sonlandırır. Aşağıdaki şekilde, yük dengeleyici 443 numaralı bağlantı noktasında TLS'yi sonlandırır ve ardından istekleri 9099 numaralı bağlantı noktasındaki Apigee TOA modülüne yönlendirir:

Bu yapılandırmada, yük dengeleyiciden Apigee TOA modülüne olan bağlantıya güvenirsiniz. Bu nedenle, bu bağlantı için TLS kullanmanız gerekmez. Ancak IdP gibi harici varlıkların artık Apigee TOA modülüne korumasız 9099 bağlantı noktasından değil, 443 numaralı bağlantı noktasından erişmesi gerekir.

Apigee TOA modülünü SSL_PROXY modunda yapılandırmanın nedeni, Apigee TOA modülünün, kimlik doğrulama sürecinin bir parçası olarak IdP tarafından harici olarak kullanılan yönlendirme URL'lerini otomatik olarak üretmesidir. Bu nedenle, bu yönlendirme URL'leri Apigee TOA modülündeki dahili bağlantı noktasını (9099) değil, yük dengeleyicideki harici bağlantı noktası numarasını (bu örnekte 443) içermelidir.

Apigee TOA modülünü SSL_PROXY modu için yapılandırmak üzere:

  1. Yapılandırma dosyanıza aşağıdaki ayarları ekleyin: 
    # Enable SSL_PROXY mode.
SSO_TOMCAT_PROFILE=SSL_PROXY

# Specify the apigee-sso port, typically between 1025 and 65535.
# Typically ports 1024 and below require root access by apigee-sso.
# The default is 9099.
SSO_TOMCAT_PORT=9099

# Specify the port number on the load balancer for terminating TLS.
# This port number is necessary for apigee-sso to auto-generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

# Set public access scheme of apigee-sso to https.
SSO_PUBLIC_URL_SCHEME=https
  2. Apigee TOA modülünü yapılandırın: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. IdP yapılandırmanızı, Apigee TOA'ya erişmek için yük dengeleyicinin 443 numaralı bağlantı noktasında HTTPS isteği yapacak şekilde güncelleyin. Daha fazla bilgi için aşağıdaki makalelerden birini inceleyin:
  4. Yapılandırma dosyasında aşağıdaki özellikleri ayarlayarak HTTPS için Edge kullanıcı arayüzü yapılandırmanızı güncelleyin:
    SSO_PUBLIC_URL_PORT=443
SSO_PUBLIC_URL_SCHEME=https

    Ardından Edge kullanıcı arayüzünü güncelleyin:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f configFile

    Klasik kullanıcı arayüzü için edge-ui bileşenini kullanın.

  5. Apigee Developer Services portalını (veya kısaca portalı) yüklediyseniz Apigee TOA'ya erişmek için HTTPS kullanacak şekilde güncelleyin. Daha fazla bilgi için Portalı harici IdP'leri kullanacak şekilde yapılandırma başlıklı makaleyi inceleyin.

Daha fazla bilgi için Edge kullanıcı arayüzünde harici bir IdP'yi etkinleştirme başlıklı makaleyi inceleyin.

SSL_TERMINATION modunu etkinleştirme

SSL_TERMINATION modu için şunları yapmanız gerekir:

  • TLS sertifikası ve anahtarı oluşturup bunları bir anahtar deposu dosyasına kaydedin. Kendinden imzalı bir sertifika kullanamazsınız. Bir CA'dan sertifika oluşturmanız gerekir.
  • apigee-sso. için yapılandırma ayarlarını güncelleme

Sertifikanızdan ve anahtarınızdan bir anahtar deposu dosyası oluşturmak için:

  1. JKS dosyası için bir dizin oluşturun: 
    sudo mkdir -p /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  2. Yeni dizine geçin: 
    cd /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  3. Sertifikayı ve anahtarı içeren bir JKS dosyası oluşturun. Bu mod için CA tarafından imzalanmış bir sertifika içeren bir anahtar deposu belirtmeniz gerekir. Kendinden imzalı sertifika kullanamazsınız. JKS dosyası oluşturma örneği için Edge On Premises için TLS/SSL'yi yapılandırma başlıklı makaleyi inceleyin.
  4. JKS dosyasının "apigee" kullanıcısına ait olmasını sağlayın:
    sudo chown -R apigee:apigee /opt/apigee/customer/application/apigee-sso/tomcat-ssl

Apigee TOA modülünü yapılandırmak için:

  1. Yapılandırma dosyanıza aşağıdaki ayarları ekleyin: 
    # Enable SSL_TERMINATION mode.
SSO_TOMCAT_PROFILE=SSL_TERMINATION

# Specify the path to the keystore file.
SSO_TOMCAT_KEYSTORE_FILEPATH=/opt/apigee/customer/application/apigee-sso/tomcat-ssl/keystore.jks

SSO_TOMCAT_KEYSTORE_ALIAS=sso

# The password specified when you created the keystore.
SSO_TOMCAT_KEYSTORE_PASSWORD=keystorePassword

# Specify the HTTPS port number between 1025 and 65535.
# Typically ports 1024 and below require root access by apigee-sso.
# The default is 9099.
SSO_TOMCAT_PORT=9443
SSO_PUBLIC_URL_PORT=9443

# Set public access scheme of apigee-sso to https.
SSO_PUBLIC_URL_SCHEME=https
  2. Apigee TOA modülünü yapılandırın: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. IdP yapılandırmanızı, Apigee TOA'ya erişmek için yük dengeleyicinin 9443 numaralı bağlantı noktasında HTTPS isteği gönderecek şekilde güncelleyin. Başka bir hizmetin bu bağlantı noktasını kullanmadığından emin olun.

    Daha fazla bilgi için aşağıdaki makaleleri inceleyin:

  4. Aşağıdaki özellikleri ayarlayarak Edge kullanıcı arayüzü yapılandırmanızı HTTPS için güncelleyin: 
    SSO_PUBLIC_URL_PORT=9443
SSO_PUBLIC_URL_SCHEME=https
  5. Geliştirici Hizmetleri portalını yüklediyseniz Apigee TOA'ya erişmek için HTTPS kullanacak şekilde güncelleyin. Daha fazla bilgi için Portalı harici IdP'leri kullanacak şekilde yapılandırma başlıklı makaleyi inceleyin.

SSL_TERMINATION modu kullanılırken SSO_TOMCAT_PROXY_PORT değerini ayarlama

Apigee TOA modülünün önünde, yük dengeleyicide TLS'yi sonlandıran ancak yük dengeleyici ile Apigee TOA arasında TLS'yi de etkinleştiren bir yük dengeleyiciniz olabilir. Yukarıdaki şekilde SSL_PROXY modu için bu, yük dengeleyiciden Apigee SSO'ya olan bağlantının TLS kullandığı anlamına gelir.

Bu senaryoda, Apigee TOA'da TLS'yi yukarıda SSL_TERMINATION modu için yaptığınız gibi yapılandırırsınız. Ancak yük dengeleyici, Apigee TOA'nın TLS için kullandığından farklı bir TLS bağlantı noktası numarası kullanıyorsa yapılandırma dosyasında SSO_TOMCAT_PROXY_PORT özelliğini de belirtmeniz gerekir. Örneğin:

  • Yük dengeleyici, 443 numaralı bağlantı noktasında TLS'yi sonlandırır.
  • Apigee TOA, 9443 numaralı bağlantı noktasında TLS'yi sonlandırır.

Yapılandırma dosyasına aşağıdaki ayarı eklediğinizden emin olun:

# Specify the port number on the load balancer for terminating TLS.
# This port number is necessary for apigee-sso to generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

IDP ve Edge kullanıcı arayüzünü, 443 numaralı bağlantı noktasında HTTPS istekleri yapacak şekilde yapılandırın.