TLS für die Management API konfigurieren

Standardmäßig ist TLS für die Verwaltungs-API deaktiviert und Sie greifen über HTTP über die IP-Adresse des Verwaltungsserverknotens und Port 8080. Beispiel:

http://ms_IP:8080

Alternativ können Sie den TLS-Zugriff auf die Verwaltungs-API konfigurieren, sodass Sie darauf zugreifen können in das Formular:

https://ms_IP:8443

In diesem Beispiel konfigurieren Sie den TLS-Zugriff für die Verwendung von Port 8443. Diese Portnummer muss jedoch nicht für Edge erforderlich: Sie können den Verwaltungsserver so konfigurieren, dass andere Portwerte verwendet werden. Die einzige Voraussetzung ist, dass Ihre Firewall Traffic über den angegebenen Port zulässt.

Um die Verschlüsselung des Traffics zu und von Ihrer Verwaltungs-API sicherzustellen, konfigurieren Sie die Einstellungen in der /opt/apigee/customer/application/management-server.properties -Datei.

Neben der TLS-Konfiguration können Sie auch die Passwortvalidierung (Passwortlänge) und Stärke) durch Ändern der management-server.properties-Datei.

Achten Sie darauf, dass der TLS-Port geöffnet ist

Mit dem Verfahren in diesem Abschnitt wird TLS für die Verwendung von Port 8443 auf dem Verwaltungsserver konfiguriert. Unabhängig von dem verwendeten Port müssen Sie darauf achten, dass der Port auf der Verwaltungsseite geöffnet ist. Server. Sie können sie beispielsweise mit dem folgenden Befehl öffnen:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

TLS konfigurieren

/opt/apigee/customer/application/management-server.properties bearbeiten , um die TLS-Nutzung bei Traffic zu und von Ihrer Verwaltungs-API zu steuern. Ist diese Datei nicht vorhanden, und erstellen.

So konfigurieren Sie den TLS-Zugriff auf die Verwaltungs-API:

1. Generieren Sie die JKS-Datei des Schlüsselspeichers, die Ihre TLS-Zertifizierung und Ihren privaten Schlüssel enthält. Weitere Informationen Siehe Konfigurieren von TLS/SSL für Edge On Premises.
2. Kopieren Sie die JKS-Datei des Schlüsselspeichers in ein Verzeichnis auf dem Knoten des Verwaltungsservers, z. B. als /opt/apigee/customer/application.
3. Ändern Sie die Eigentümerschaft der JKS-Datei in „apigee“ Nutzer:

   chown apigee:apigee keystore.jks

   Dabei ist keystore.jks der Name Ihrer Schlüsselspeicherdatei.

4. /opt/apigee/customer/application/management-server.properties bearbeiten um die folgenden Eigenschaften festzulegen. Sollte die Datei nicht vorhanden sein, erstellen Sie sie:

   conf_webserver_ssl.enabled=true
   # Leave conf_webserver_http.turn.off set to false
   # because many Edge internal calls use HTTP.
   conf_webserver_http.turn.off=false
   conf_webserver_ssl.port=8443
   conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
   # Enter the obfuscated keystore password below.
   conf_webserver_keystore.password=OBF:obfuscatedPassword

   Dabei ist keyStore.jks Ihre Schlüsselspeicherdatei und obfuscatedPassword ist Ihr verschleiertes Schlüsselspeicherpasswort. Weitere Informationen finden Sie unter Konfigurieren von TLS/SSL für Edge On Premises für Informationen zum Generieren eines verschleierten Passworts.

5. Starten Sie den Edge-Verwaltungsserver mit dem folgenden Befehl neu:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Die Verwaltungs-API unterstützt jetzt den Zugriff über TLS.

Konfigurieren Sie die Edge-Benutzeroberfläche für den Zugriff mit TLS. die Edge-API

Im obigen Verfahren hat Apigee empfohlen, conf_webserver_http.turn.off=false, sodass Die Edge-Benutzeroberfläche kann weiterhin Edge-API-Aufrufe über HTTP durchführen.

Verwenden Sie das folgende Verfahren, um die Edge-Benutzeroberfläche so zu konfigurieren, dass diese Aufrufe nur über HTTPS erfolgen:

1. Konfigurieren Sie den TLS-Zugriff auf die Verwaltungs-API wie oben beschrieben.
2. Nachdem Sie bestätigt haben, dass TLS für die Verwaltungs-API funktioniert, bearbeiten Sie /opt/apigee/customer/application/management-server.properties bis folgende Eigenschaft festlegen:

   conf_webserver_http.turn.off=true

3. Starten Sie den Edge-Verwaltungsserver mit dem folgenden Befehl neu:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 

4. /opt/apigee/customer/application/ui.properties bearbeiten um die folgende Eigenschaft für die Edge-Benutzeroberfläche festzulegen:

   conf_apigee_apigee.mgmt.baseurl="https://FQ_domain_name:port/v1"

   Dabei ist FQ_domain_name der vollständige Domainname gemäß Zertifikat. und port der oben angegebene Port ist, conf_webserver_ssl.port

   Wenn die Datei ui.properties nicht vorhanden ist, erstellen Sie sie.

5. Nur, wenn Sie ein selbst signiertes Zertifikat verwendet haben (nicht empfohlen in Produktionsumgebungen) Umgebung) fest, wenn Sie den TLS-Zugriff auf die Verwaltungs-API oben konfigurieren, fügen Sie den Parameter folgende Property auf ui.properties setzen:

   conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true

   Andernfalls lehnt die Edge-Benutzeroberfläche ein selbst signiertes Zertifikat ab.

6. Starten Sie die Edge-Benutzeroberfläche neu, indem Sie den folgenden Befehl ausführen:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

TLS-Attribute für den Verwaltungsserver

In der folgenden Tabelle sind alle TLS/SSL-Eigenschaften aufgeführt, die Sie in management-server.properties:

OBF:xxxxxxxxxx

OBF:xxxxxxxxxx

^.*_(MD5|SHA|SHA1)$
^TLS_RSA_.*$
^SSL_.*$
^.*_NULL_.*$
^.*_anon_.*$