新しい Edge UI の TLS の構成

デフォルトでは、 新しい Edge UI HTTP 経由でアクセスします。その際、Edge UI ノードの IP アドレスまたは DNS 名とポート 3001 を使用します。例:

http://newue_IP:3001

または、Edge UI への TLS アクセスを構成して、 次の形式でアクセスできます。

https://newue_IP:3001

TLS の要件

Edge UI は TLS v1.2 のみをサポートしています。Edge UI で TLS を有効にすると、 TLS v1.2 と互換性のあるブラウザを使用して Edge UI に接続する必要があります。

TLS 構成プロパティ

次のコマンドを実行して、Edge UI に TLS を構成します。

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

ここで、configFile は Edge UI のインストールに使用した構成ファイルです。

このコマンドを実行する前に、構成ファイルを編集して TLS を制御する必要なプロパティを設定する必要があります。次の表に、Edge UI の TLS の構成に使用するプロパティを示します。

プロパティ 説明 必須
MANAGEMENT_UI_SCHEME

プロトコル「http」を設定します。または "https" です。デフォルト値は「http」です。URL を「https」に設定TLS を有効にするには:

MANAGEMENT_UI_SCHEME=https
 ○
MANAGEMENT_UI_TLS_OFFLOAD

「n」の場合、Edge UI への TLS リクエストは Edge UI で終端されます。MANAGEMENT_UI_TLS_KEY_FILE と MANAGEMENT_UI_TLS_CERT_FILE を設定する必要があります。

「y」の場合、Edge UI への TLS リクエストはロードバランサで終端され、ロードバランサが HTTP を使用してリクエストを Edge UI に転送することを指定します。

ロードバランサで TLS を終端する場合でも、元のリクエストが TLS で届いたことを Edge UI で認識する必要があります。たとえば、一部の Cookie には Secure フラグが設定されています。

MANAGEMENT_UI_SCHEME を「https」に設定する必要がありますそれ以外の場合、MANAGEMENT_UI_TLS_OFFLOAD は無視されます。

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 ○
MANAGEMENT_UI_TLS_KEY_FILE
MANAGEMENT_UI_TLS_CERT_FILE

MANAGEMENT_UI_TLS_OFFLOAD=n の場合は、TLS 鍵ファイルと証明書ファイルの絶対パスを指定します。ファイルはパスフレーズなしの PEM ファイルとしてフォーマットし、「apigee」が所有している必要があります。できます。

これらのファイルは、次の場所に配置することをおすすめします。

/opt/apigee/customer/application/edge-management-ui

このディレクトリが存在しない場合は作成します。

MANAGEMENT_UI_TLS_OFFLOAD=y の場合は、MANAGEMENT_UI_TLS_KEY_FILE と MANAGEMENT_UI_TLS_CERT_FILE を省略します。Edge UI へのリクエストは HTTP 経由で受信されるため、これらは無視されます。

 MANAGEMENT_UI_TLS_OFFLOAD=n の場合は必須
MANAGEMENT_UI_PUBLIC_URIS

MANAGEMENT_UI_TLS_OFFLOAD=n の場合は、Edge UI の URL を指定します。

このプロパティは、構成ファイル内の他のプロパティに基づいて設定します。例:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

ここで

  • MANAGEMENT_UI_SCHEME には、プロトコル「http」を指定します。または「https」に接続する必要があります。
  • MANAGEMENT_UI_IP には、Edge UI の IP アドレスまたは DNS 名を指定します。
  • MANAGEMENT_UI_PORT には、Edge UI で使用されるポートを指定します。

MANAGEMENT_UI_TLS_OFFLOAD=y の場合:

  • MANAGEMENT_UI_IP には、Edge UI ではなく、ロードバランサの IP アドレスまたは DNS 名を指定します。
  • ロードバランサと New UE は、リクエストに対して同じポート番号（3001 など）を使用する必要があります。MANAGEMENT_UI_PORT を使用して、ロードバランサと New UE のポート番号を指定します。
 ○
MANAGEMENT_UI_TLS_ALLOWED_CIPHERS

使用可能な TLS 暗号のリストをカンマ区切りまたはスペース区切りの文字列として定義します。

カンマ区切り文字列:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

二重引用符で囲まれたスペース区切りの文字列:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS="TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"
 いいえ
SHOEHORN_SCHEME

新しい Edge UI をインストールする前に、まず「shoehorn」と呼ばれる基本 Edge UI をインストールします。インストール構成ファイルでは、次のプロパティを使用して、ベース Edge UI へのアクセスに使用するプロトコル「http」を指定します。

SHOEHORN_SCHEME=http

基本 Edge UI は TLS をサポートしていないため、Edge UI で TLS を有効にした場合でも、このプロパティは引き続き「http」に設定する必要があります。

 ○（「http」に設定）

TLS の構成

Edge UI への TLS アクセスを構成するには:

  1. TLS 証明書と鍵をパスフレーズなしの PEM ファイルとして生成します。例:

    mykey.pem
mycert.pem

    TLS 証明書と鍵を生成する方法は数多くあります。たとえば、次のコマンドを実行します。 コマンドを実行して、署名なしの証明書と鍵を生成します。

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. 鍵ファイルと証明書ファイルを /opt/apigee/customer/application/edge-management-ui ディレクトリにコピーします。 このディレクトリが存在しない場合は作成します。

  3. 証明書と鍵の所有者が「apigee」であることを確認します。user:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Edge UI のインストールに使用した構成ファイルを編集して、 次の TLS プロパティを設定します。

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. 次のコマンドを実行して TLS を構成します。

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    ここで、configFile は構成ファイルの名前です。

    このスクリプトにより Edge UI が再起動されます。

  6. 次のコマンドを実行して、 Shorn をセットアップして再起動します。

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    再起動すると、Edge UI で HTTPS 経由のアクセスがサポートされます。 TLS を有効にしても Edge UI にログインできない場合は、 再度ログインしてみてください。

TLS をロードバランサで終端させる場合に Edge UI を構成する

リクエストを Edge UI に転送するロードバランサがある場合は、 ロードバランサで TLS 接続を終端するよう選択し、 ロードバランサは、HTTP 経由で Edge UI にリクエストを転送します。

ロードバランサで TLS を終端する

この構成はサポートされています それに応じてロードバランサと Edge UI を構成する必要があります。

TLS をロードバランサで終端させる場合に Edge UI を構成するには:

  1. Edge UI のインストールに使用した構成ファイルを編集して、 次の TLS プロパティを設定します。

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and Edge UI.
# The load balancer and the Edge UI must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    MANAGEMENT_UI_TLS_OFFLOAD=y を設定する場合は、MANAGEMENT_UI_TLS_KEY_FILE を省略します。 および MANAGEMENT_UI_TLS_CERT_FILE. Edge UI へのリクエストは HTTP 経由で受信されるため、これらは無視されます。

  2. 次のコマンドを実行して TLS を構成します。

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    ここで、configFile は構成ファイルの名前です。

    このスクリプトにより Edge UI が再起動されます。

  3. 次のコマンドを実行して、 Shorn をセットアップして再起動します。

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    再起動すると、Edge UI で HTTPS 経由のアクセスがサポートされます。 TLS を有効にしても Edge UI にログインできない場合は、 再度ログインしてみてください。

Edge UI で TLS を無効にする

Edge UI で TLS を無効にするには:

  1. Edge UI のインストールに使用した構成ファイルを編集して、 次の TLS プロパティが必要です。

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the Edge UI.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. 次のコマンドを実行して TLS を無効にします。

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    ここで、configFile は構成ファイルの名前です。

    このスクリプトにより Edge UI が再起動されます。

  3. 次のコマンドを実行して、 Shorn をセットアップして再起動します。

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    HTTP 経由で Edge UI にアクセスできるようになりました。 TLS を無効にした後に Edge UI にログインできない場合は、 再度ログインしてみてください。