Management API の TLS の構成

デフォルトでは、Management API の TLS は無効になっており、Management Server ノードの IP アドレスとポート 8080 を使用して HTTP で Edge Management API にアクセスします。次に例を示します。

http://ms_IP:8080

または、次の形式で管理 API への TLS アクセスを構成することもできます。

https://ms_IP:8443

この例では、ポート 8443 を使用するように TLS アクセスを構成します。ただし、Edge にとってそのポート番号は必要ありません。他のポート値を使用するように Management Server を構成できます。唯一の要件は、ファイアウォールが指定のポートでトラフィックを許可していることです。

Management API との間のトラフィック暗号化を行うには、/opt/apigee/customer/application/management-server.properties ファイルで設定を構成します。

TLS ファイルの構成に加えて、management-server.properties ファイルを変更することで、パスワードの検証(パスワードの長さと安全度)を制御することもできます。

TLS ポートが開いていることを確認する

このセクションの手順では、Management Server のポート 8443 を使用するように TLS を構成します。使用するポートに関係なく、Management Server でポートが開いていることを確認する必要があります。たとえば、次のコマンドを使用して開くことができます。

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

TLS の構成

/opt/apigee/customer/application/management-server.properties ファイルを編集して、Management API との間のトラフィックにおける TLS の使用を制御します。このファイルが存在しない場合は作成します。

Management API への TLS アクセスを構成するには:

  1. TLS 証明書と秘密鍵を含むキーストア JKS ファイルを生成します。詳細については、オンプレミスの Edge での TLS/SSL の構成をご覧ください。
  2. キーストア JKS ファイルを Management Server ノード上のディレクトリ(/opt/apigee/customer/application など)にコピーします。
  3. JKS ファイルの所有権を「apigee」ユーザーに変更します。
    chown apigee:apigee keystore.jks

    ここで、keystore.jks はキーストア ファイルの名前です。

  4. /opt/apigee/customer/application/management-server.properties を編集して次のプロパティを設定します。このファイルが存在しない場合は作成します。
    conf_webserver_ssl.enabled=true
    # Leave conf_webserver_http.turn.off set to false
    # because many Edge internal calls use HTTP.
    conf_webserver_http.turn.off=false
    conf_webserver_ssl.port=8443
    conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
    # Enter the obfuscated keystore password below.
    conf_webserver_keystore.password=OBF:obfuscatedPassword

    ここで、keyStore.jks は使用するキーストア ファイル、obfuscatedPassword は難読化されたキーストアのパスワードです。難読化されたパスワードの生成については、オンプレミスの Edge での TLS/SSL の構成をご覧ください。

  5. 次のコマンドを使用して Edge Management Server を再起動します。
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Management API が TLS でアクセスできるようになりました。

TLS で Edge API にアクセスするよう Edge UI を構成する

上記の手順では、Edge UI が HTTP 経由で Edge API 呼び出しを継続できるように、conf_webserver_http.turn.off=false を残しておくことをおすすめします。

これらの呼び出しを HTTPS のみで行うように Edge UI を構成する手順は次のとおりです。

  1. 前述のように、Management API への TLS アクセスを構成します。
  2. TLS が管理 API 用に機能していることを確認したら、/opt/apigee/customer/application/management-server.properties を編集して次のプロパティを設定します。
    conf_webserver_http.turn.off=true
  3. 次のコマンドを実行して Edge Management Server を再起動します。
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 
  4. /opt/apigee/customer/application/ui.properties を編集して Edge UI の次のプロパティを設定します。
    conf_apigee_apigee.mgmt.baseurl="https://FQ_domain_name:port/v1"

    ここで、FQ_domain_name は Management Server の証明書アドレスに従った完全なドメイン名、port は上記の conf_webserver_ssl.port で指定されたポートです。

    ui.properties が存在しない場合は作成します。

  5. 上記の Management API への TLS アクセスを構成するときに(本番環境では推奨されない)自己署名証明書のみを、ui.properties に次のプロパティを追加します。
    conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true

    それ以外の場合、Edge UI は自己署名証明書を拒否します。

  6. 次のコマンドを実行して Edge UI を再起動します。
    /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Management Server の TLS プロパティ

次の表に、management-server.properties で設定できるすべての TLS/SSL プロパティを示します。

プロパティ 説明

conf_webserver_http.port=8080

デフォルト値は 8080 です。

conf_webserver_ssl.enabled=false

TLS / SSL を有効または無効にする。TLS/SSL を有効にする(true)場合は、ssl.port プロパティと keystore.path プロパティも設定する必要があります。

conf_webserver_http.turn.off=true

https と一緒に http を有効または無効にします。HTTPS のみを使用する場合は、デフォルト値を true のままにします。

conf_webserver_ssl.port=8443

TLS/SSL ポート。

TLS/SSL が有効な場合は必須(conf_webserver_ssl.enabled=true)。

conf_webserver_keystore.path=path

キーストア ファイルのパス。

TLS/SSL が有効な場合は必須(conf_webserver_ssl.enabled=true)。

conf_webserver_keystore.password=password

OBF:xxxxxxxxxx の難読化パスワードを使用してください

conf_webserver_cert.alias=alias

オプションのキーストア証明書エイリアス

conf_webserver_keymanager.password=password

鍵マネージャーにパスワードがある場合は、この形式でパスワードを難読化して入力します。

OBF:xxxxxxxxxx

conf_webserver_trust.all=[false | true]

conf_webserver_trust.store.path=path

conf_webserver_trust.store.password=password

トラストストアの設定を構成します。すべての TLS/SSL 証明書を受け入れるかどうかを決定します(標準以外の証明書を受け入れる場合など)。デフォルトは false です。トラストストアのパスを指定し、次の形式で難読化されたトラストストア パスワードを入力します。

OBF:xxxxxxxxxx

conf_http_HTTPTransport.ssl.cipher.suites.blacklist=CIPHER_SUITE_1, CIPHER_SUITE_2

conf_http_HTTPTransport.ssl.cipher.suites.whitelist=

追加または除外する暗号スイートを指定します。たとえば、ある暗号に脆弱性が発見された場合、ここで除外できます。複数の暗号を指定する場合はカンマで区切ります。

拒否リストで除外された暗号は、許可リストで指定された暗号よりも優先されます。

注: デフォルトでは、拒否リストまたは許可リストが指定されていない場合、次の Java 正規表現に一致する暗号は除外されます。

^.*_(MD5|SHA|SHA1)$
^TLS_RSA_.*$
^SSL_.*$
^.*_NULL_.*$
^.*_anon_.*$

拒否リストを指定する場合、このフィルタはオーバーライドされ、すべての暗号を個別に拒否リストに登録する必要があります。

暗号スイートと暗号アーキテクチャについては、 JDK 8 向け Java 暗号アーキテクチャの Oracle プロバイダのドキュメントをご覧ください。

conf_webserver_ssl.session.cache.size=

conf_webserver_ssl.session.timeout=

以下を決定する整数。

  • 複数のクライアントのセッション情報を保存するための TLS/SSL セッション キャッシュ サイズ(バイト単位)。
  • TLS/SSL セッションがタイムアウトするまでの時間(ミリ秒単位)。