Configurazione di TLS tra un router e un processore di messaggi

Per impostazione predefinita, TLS tra il router e il processore di messaggi è disabilitato.

Per abilitare la crittografia TLS tra un router e un processore di messaggi:

  1. Assicurati che la porta 8082 del processore di messaggi sia accessibile dal router.
  2. Genera il file JKS dell'archivio chiavi contenente la certificazione TLS e la chiave privata. Per saperne di più, consulta Configurazione di TLS/SSL per Edge On-Premises.
  3. Copia il file JKS del keystore in una directory sul server del processore di messaggi, ad esempio /opt/apigee/customer/application.
  4. Modifica le autorizzazioni e la proprietà del file JKS: 
    chown apigee:apigee /opt/apigee/customer/application/keystore.jks
chmod 600 /opt/apigee/customer/application/keystore.jks

    Dove keystore.jks è il nome del file del keystore.

  5. Modifica il file /opt/apigee/customer/application/message-processor.properties. Se il file non esiste, crealo.
  6. Imposta le seguenti proprietà nel file message-processor.properties: 
    conf_message-processor-communication_local.http.ssl=true
conf/message-processor-communication.properties+local.http.port=8443
conf/message-processor-communication.properties+local.http.ssl.keystore.type=jks
conf/message-processor-communication.properties+local.http.ssl.keystore.path=/opt/apigee/customer/application/keystore.jks
conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
# Enter the obfuscated keystore password below.
conf/message-processor-communication.properties+local.http.ssl.keystore.password=OBF:obsPword

    Dove keystore.jks è il file dell'archivio chiavi e obsPword è la password dell'archivio chiavi e dell'alias della chiave offuscata.

    Nota: il valore di 

    conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
     deve essere uguale al valore fornito dall'opzione -alias al comando keytool, descritto alla fine della sezione Creazione di un file JKS.

    Per informazioni sulla generazione di una password offuscata, consulta Configurazione di TLS/SSL per Edge On-Premises.

  7. Assicurati che il file message-processor.properties sia di proprietà dell'utente "apigee": 
    chown apigee:apigee /opt/apigee/customer/application/message-processor.properties
  8. Arresta i processori di messaggi e i router: 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor stop
/opt/apigee/apigee-service/bin/apigee-service edge-router stop
  9. Sul router, elimina tutti i file nella directory /opt/nginx/conf.d: 
    rm -f /opt/nginx/conf.d/*
  10. Avvia i processori di messaggi e i router: 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor start
/opt/apigee/apigee-service/bin/apigee-service edge-router start
  11. Ripeti questa procedura per ogni processore di messaggi.

Dopo aver attivato TLS tra il router e il processore di messaggi, il file di log del processore di messaggi contiene questo messaggio INFO:

MessageProcessorHttpSkeletonFactory.configureSSL() : Instantiating Keystore of type: jks

Questa istruzione INFO conferma che TLS funziona tra il router e il processore di messaggi.

La tabella seguente elenca tutte le proprietà disponibili in message-processor.properties:

Proprietà Descrizione 
conf_message-processor-communication_local.
  http.host=localhost_or_IP_address
 Facoltativo. Nome host su cui ascoltare le connessioni del router. Questo valore sostituisce il nome host configurato al momento della registrazione. 
conf/message-processor-communication.
  properties+local.http.port=8998
 Facoltativo. Porta su cui rimanere in ascolto delle connessioni del router. Il valore predefinito è 8998. 
conf_message-processor-communication_local.
  http.ssl=[ false | true ]
 Imposta questo valore su true per attivare TLS/SSL. Il valore predefinito è false. Quando TLS/SSL è abilitato, devi impostare local.http.ssl.keystore.path e local.http.ssl.keyalias. 
conf/message-processor-communication.
  properties+local.http.ssl.keystore.path=
 Percorso del file system locale al keystore (JKS o PKCS12). Obbligatorio quando local.http.ssl=true. 
conf/message-processor-communication.
  properties+local.http.ssl.keyalias=
 Alias della chiave dal keystore da utilizzare per le connessioni TLS/SSL. Obbligatorio quando local.http.ssl=true. 
conf/message-processor-communication.
  properties+local.http.ssl.keyalias.password=
 Password utilizzata per criptare la chiave all'interno del keystore. Utilizza una password offuscata nel seguente formato: 
OBF:obsPword
 
conf/message-processor-communication.
  properties+local.http.ssl.keystore.type=jks
 Tipo di archivio chiavi. Al momento sono supportati solo JKS e PKCS12. Il valore predefinito è JKS. 
conf/message-processor-communication.
  properties+local.http.ssl.keystore.password=
 Facoltativo. Password offuscata per l'archivio chiavi. Utilizza una password offuscata nel seguente formato: 
OBF:obsPword
 
conf_message-processor-communication_local.
  http.ssl.ciphers=cipher1,cipher2
 Facoltativo. Se configurata, sono consentite solo le crittografie elencate. Se omesso, vengono utilizzate tutte le crittografie supportate dal JDK.