Como configurar o TLS entre um roteador e um processador de mensagens

Por padrão, o TLS entre o roteador e o processador de mensagens fica desativado.

Para ativar a criptografia TLS entre um roteador e um processador de mensagens:

  1. Verifique se o roteador pode acessar a porta 8082 do processador de mensagens.
  2. Gere o arquivo JKS do keystore contendo sua certificação TLS e chave privada. Para mais informações, consulte Como configurar TLS/SSL para o Edge ativado Locais.
  3. Copie o arquivo JKS do keystore para um diretório no servidor do Processador de mensagens, como como /opt/apigee/customer/application.
  4. Mude as permissões e a propriedade do arquivo JKS:
    chown apigee:apigee /opt/apigee/customer/application/keystore.jks
    chmod 600 /opt/apigee/customer/application/keystore.jks

    Em que keystore.jks é o nome do arquivo do keystore.

  5. Edite o arquivo /opt/apigee/customer/application/message-processor.properties. Crie o arquivo se ele não existir.
  6. Defina as seguintes propriedades no arquivo message-processor.properties:
    conf_message-processor-communication_local.http.ssl=true
    conf/message-processor-communication.properties+local.http.port=8443
    conf/message-processor-communication.properties+local.http.ssl.keystore.type=jks
    conf/message-processor-communication.properties+local.http.ssl.keystore.path=/opt/apigee/customer/application/keystore.jks
    conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
    # Enter the obfuscated keystore password below.
    conf/message-processor-communication.properties+local.http.ssl.keystore.password=OBF:obsPword

    Em que keystore.jks é seu arquivo de keystore e obsPword é seu senha do keystore e do keyalias ofuscada.

    Observação: O valor de

    conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
    precisa ser igual ao valor fornecido pela opção -alias ao keytool, descrito no fim da seção Como criar um arquivo JKS.

    Consulte Como configurar TLS/SSL para o Edge no local para sobre como gerar senhas ofuscadas.

  7. Verifique se o arquivo message-processor.properties é de propriedade da Apigee usuário:
    chown apigee:apigee /opt/apigee/customer/application/message-processor.properties
  8. Interrompa os processadores e os roteadores de mensagens:
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor stop
    /opt/apigee/apigee-service/bin/apigee-service edge-router stop
  9. No roteador, exclua todos os arquivos do diretório /opt/nginx/conf.d:
    rm -f /opt/nginx/conf.d/*
  10. Inicie os processadores e roteadores de mensagens:
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor start
    /opt/apigee/apigee-service/bin/apigee-service edge-router start
  11. Repita esse processo para cada processador de mensagens.

Depois que o TLS é ativado entre o roteador e o processador de mensagens, o arquivo de registro do processador de mensagens contém esta mensagem INFO:

MessageProcessorHttpSkeletonFactory.configureSSL() : Instantiating Keystore of type: jks

Esta instrução INFO confirma que o TLS está funcionando entre o roteador e a mensagem Processador

A tabela a seguir lista todas as propriedades disponíveis em message-processor.properties:

Propriedades Descrição
conf_message-processor-communication_local.
  http.host=localhost_or_IP_address
Opcional. Nome do host para detectar conexões do roteador. Isso substitui o host configurado no registro.
conf/message-processor-communication.
  properties+local.http.port=8998
Opcional. Porta para detectar conexões do roteador. O padrão é 8998.
conf_message-processor-communication_local.
  http.ssl=[ false | true ]
Defina como true para ativar o TLS/SSL. O padrão é false. Quando TLS/SSL está ativado, defina local.http.ssl.keystore.path e local.http.ssl.keyalias.
conf/message-processor-communication.
  properties+local.http.ssl.keystore.path=
Caminho do sistema de arquivos local para o keystore (JKS ou PKCS12). Obrigatório quando local.http.ssl=true:
conf/message-processor-communication.
  properties+local.http.ssl.keyalias=
Alias de chave do keystore a ser usado para conexões TLS/SSL. Obrigatório quando local.http.ssl=true:
conf/message-processor-communication.
  properties+local.http.ssl.keyalias.password=
Senha usada para criptografar a chave dentro do keystore. Usar uma senha ofuscada no seguinte formato:
OBF:obsPword
conf/message-processor-communication.
  properties+local.http.ssl.keystore.type=jks
Tipo de keystore. No momento, apenas JKS e PKCS12 são compatíveis. O padrão é JKS.
conf/message-processor-communication.
  properties+local.http.ssl.keystore.password=
Opcional. Senha ofuscada para o keystore. Use uma senha ofuscada no formato:
OBF:obsPword
conf_message-processor-communication_local.
  http.ssl.ciphers=cipher1,cipher2
Opcional. Quando configurado, apenas as criptografias listadas são permitidas. Se omitido, usar todos criptografias compatíveis com o JDK.