Konfigurowanie protokołu TLS dla nowego interfejsu użytkownika Edge

Domyślnie dostęp do nowego interfejsu Edge uzyskujesz przez HTTP, używając adresu IP lub nazwy DNS węzła interfejsu Edge i portu 3001. Na przykład:

http://newue_IP:3001

Możesz też skonfigurować dostęp TLS do interfejsu Edge, aby uzyskać do niego dostęp w postaci:

https://newue_IP:3001

Wymagania dotyczące TLS

Interfejs Edge obsługuje tylko TLS w wersji 1.2. Jeśli włączysz TLS w interfejsie Edge, użytkownicy muszą łączyć się z interfejsem Edge za pomocą przeglądarki zgodnej z TLS w wersji 1.2.

Właściwości konfiguracji TLS

Uruchom to polecenie, aby skonfigurować TLS dla interfejsu Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Gdzie configFile to plik konfiguracji użyty do zainstalowania interfejsu Edge.

Zanim wykonasz to polecenie, musisz zmodyfikować plik konfiguracji, aby ustawić niezbędne właściwości kontrolujące TLS. W tabeli poniżej opisano właściwości, których używasz do konfigurowania TLS dla interfejsu Edge:

Właściwość Opis Wymagany?
MANAGEMENT_UI_SCHEME

Ustawia protokół „http” lub „https” używany do uzyskiwania dostępu do interfejsu Edge. Wartość domyślna to „http”. Ustaw wartość „https”, aby włączyć TLS:

MANAGEMENT_UI_SCHEME=https
 		Tak
MANAGEMENT_UI_TLS_OFFLOAD

Jeśli „n”, określa, że żądania TLS do interfejsu Edge są przerywane w interfejsie Edge. Musisz ustawić MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE.

Jeśli ma wartość „y”, określa, że żądania TLS do interfejsu Edge są przerywane w systemie równoważenia obciążenia, a system równoważenia obciążenia przekazuje żądanie do interfejsu Edge za pomocą protokołu HTTP.

Jeśli zakończysz TLS w systemie równoważenia obciążenia, interfejs Edge nadal musi wiedzieć, że pierwotne żądanie zostało wysłane przez TLS. Na przykład niektóre pliki cookie mają ustawioną flagę Secure.

Musisz ustawić MANAGEMENT_UI_SCHEME na „https”, w przeciwnym razie MANAGEMENT_UI_TLS_OFFLOAD zostanie zignorowane:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 		Tak
MANAGEMENT_UI_TLS_KEY_FILE
MANAGEMENT_UI_TLS_CERT_FILE

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=n, określa ścieżkę bezwzględną do plików klucza i certyfikatu TLS. Pliki muszą być sformatowane jako pliki PEM bez hasła i muszą należeć do użytkownika „apigee”.

Zalecana lokalizacja tych plików to:

/opt/apigee/customer/application/edge-management-ui

Jeśli ten katalog nie istnieje, utwórz go.

Jeśli ustawiona jest wartość MANAGEMENT_UI_TLS_OFFLOAD=y, pomiń pola MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE. Są one ignorowane, ponieważ żądania do interfejsu Edge są wysyłane przez HTTP.

 Tak, jeśli MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=n, określa adres URL interfejsu Edge.

Ustaw tę właściwość na podstawie innych właściwości w pliku konfiguracji. Na przykład:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Gdzie:

  • MANAGEMENT_UI_SCHEME określa protokół „http” lub „https” zgodnie z opisem powyżej.
  • MANAGEMENT_UI_IP określa adres IP lub nazwę DNS interfejsu użytkownika Edge.
  • MANAGEMENT_UI_PORT określa port używany przez interfejs Edge.

Jeśli MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP określa adres IP lub nazwę DNS systemu równoważenia obciążenia, a nie interfejsu użytkownika Edge.
  • System równoważenia obciążenia i nowy UE muszą używać tego samego numeru portu dla żądań, na przykład 3001. Użyj MANAGEMENT_UI_PORT, aby określić numer portu w systemie równoważenia obciążenia i w nowym UE.
 Tak
MANAGEMENT_UI_TLS_ALLOWED_CIPHERS

Definiuje listę dostępnych szyfrów TLS jako ciąg znaków rozdzielonych przecinkami lub spacjami.

Ciąg znaków rozdzielany przecinkami:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

Ciąg znaków rozdzielonych spacjami ujęty w cudzysłów:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS="TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"
 		Nie
SHOEHORN_SCHEME

Zanim zainstalujesz nowy interfejs Edge, musisz zainstalować podstawowy interfejs Edge o nazwie shoehorn. Plik konfiguracji instalacji używa tej właściwości do określenia protokołu „http” używanego do uzyskiwania dostępu do podstawowego interfejsu Edge:

SHOEHORN_SCHEME=http

Podstawowy interfejs Edge nie obsługuje TLS, więc nawet jeśli włączysz TLS w interfejsie Edge, ta właściwość musi być ustawiona na „http”.

 Tak, ustawiony na „http”

Konfigurowanie TLS

Aby skonfigurować dostęp TLS do interfejsu Edge:

  1. Wygeneruj certyfikat i klucz TLS jako pliki PEM bez hasła. Na przykład:

    mykey.pem
mycert.pem

    Certyfikat i klucz TLS można wygenerować na wiele sposobów. Możesz na przykład wykonać to polecenie, aby wygenerować niepodpisany certyfikat i klucz:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Skopiuj pliki klucza i certyfikatu do katalogu /opt/apigee/customer/application/edge-management-ui. Jeśli ten katalog nie istnieje, utwórz go.

  3. Upewnij się, że certyfikat i klucz należą do użytkownika „apigee”:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Zmodyfikuj plik konfiguracji użyty do zainstalowania interfejsu Edge, aby ustawić te właściwości TLS:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. Aby skonfigurować TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    configFile to nazwa pliku konfiguracji.

    Skrypt ponownie uruchamia interfejs Edge.

  6. Uruchom te polecenia, aby skonfigurować i ponownie uruchomić shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Po ponownym uruchomieniu interfejs Edge obsługuje dostęp przez HTTPS. Jeśli po włączeniu TLS nie możesz zalogować się w interfejsie Edge, wyczyść pamięć podręczną przeglądarki i spróbuj zalogować się ponownie.

Konfigurowanie interfejsu Edge, gdy zakończenie TLS następuje w systemie równoważenia obciążenia

Jeśli masz system równoważenia obciążenia, który przekazuje żądania do interfejsu Edge, możesz zakończyć połączenie TLS w systemie równoważenia obciążenia, a następnie przekazywać żądania do interfejsu Edge przez HTTP:

Zakończenie TLS w systemie równoważenia obciążenia

Ta konfiguracja jest obsługiwana, ale musisz odpowiednio skonfigurować system równoważenia obciążenia i interfejs Edge.

Aby skonfigurować interfejs użytkownika Edge, gdy zakończenie TLS następuje na systemie równoważenia obciążenia:

  1. Zmodyfikuj plik konfiguracji użyty do zainstalowania interfejsu Edge, aby ustawić te właściwości TLS:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and Edge UI.
# The load balancer and the Edge UI must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    Jeśli ustawisz MANAGEMENT_UI_TLS_OFFLOAD=y, pomiń MANAGEMENT_UI_TLS_KEY_FILE i MANAGEMENT_UI_TLS_CERT_FILE.. Są one ignorowane, ponieważ żądania do interfejsu Edge są wysyłane przez HTTP.

  2. Aby skonfigurować TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    configFile to nazwa pliku konfiguracji.

    Skrypt ponownie uruchamia interfejs Edge.

  3. Uruchom te polecenia, aby skonfigurować i ponownie uruchomić shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Po ponownym uruchomieniu interfejs Edge obsługuje dostęp przez HTTPS. Jeśli po włączeniu TLS nie możesz zalogować się w interfejsie Edge, wyczyść pamięć podręczną przeglądarki i spróbuj zalogować się ponownie.

Wyłączanie TLS w interfejsie Edge

Aby wyłączyć TLS w interfejsie Edge:

  1. Zmodyfikuj plik konfiguracji użyty do zainstalowania interfejsu Edge, aby ustawić tę właściwość TLS:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the Edge UI.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. Aby wyłączyć TLS, uruchom to polecenie:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    configFile to nazwa pliku konfiguracji.

    Skrypt ponownie uruchamia interfejs Edge.

  3. Uruchom te polecenia, aby skonfigurować i ponownie uruchomić shoehorn:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    Możesz teraz uzyskać dostęp do interfejsu Edge przez HTTP. Jeśli po wyłączeniu TLS nie możesz zalogować się w interfejsie Edge, wyczyść pamięć podręczną przeglądarki i spróbuj zalogować się ponownie.