הגדרת TLS לממשק המשתמש החדש של Edge

כברירת מחדל, יש לכם גישה ממשק המשתמש החדש של Edge ב-HTTP באמצעות כתובת ה-IP או שם ה-DNS של הצומת בממשק המשתמש של Edge והיציאה 3001. לדוגמה:

http://newue_IP:3001

לחלופין, אפשר להגדיר גישת TLS לממשק המשתמש של Edge כדי אפשר לגשת אליו דרך הטופס הבא:

https://newue_IP:3001

דרישות לגבי TLS

בממשק המשתמש של Edge יש תמיכה רק בגרסה 1.2 של TLS. אם מפעילים TLS בממשק המשתמש של Edge, המשתמשים צריכים להתחבר לממשק המשתמש של Edge באמצעות דפדפן שתואם ל-TLS בגרסה 1.2.

מאפייני תצורה של TLS

מריצים את הפקודה הבאה כדי להגדיר TLS בממשק המשתמש של Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

configFile הוא קובץ התצורה שבו השתמשתם כדי להתקין את ממשק המשתמש של Edge.

לפני שמריצים את הפקודה הזו, צריך לערוך את קובץ התצורה ולהגדיר את המאפיינים הנחוצים ששולטים ב-TLS. בטבלה הבאה מפורטים המאפיינים שבהם משתמשים כדי להגדיר TLS בממשק המשתמש של Edge:

MANAGEMENT_UI_SCHEME=https

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y

/opt/apigee/customer/application/edge-management-ui

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS="TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"

SHOEHORN_SCHEME=http

הגדרת TLS

כדי להגדיר גישה של TLS לממשק המשתמש של Edge:

1. יצירת אישור ומפתח TLS כקובצי PEM ללא ביטוי סיסמה. לדוגמה:

   mykey.pem
   mycert.pem

   יש הרבה דרכים ליצור אישור ומפתח TLS. לדוגמה, אפשר להריץ את הפקודה הבאה כדי ליצור אישור ומפתח לא חתומים:

   openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'

2. מעתיקים את קובצי המפתח והאישור לספרייה /opt/apigee/customer/application/edge-management-ui. אם הספרייה לא קיימת, יוצרים אותה.

3. צריך לוודא שהאישור והמפתח הם בבעלות ה-apigee user:

   chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

4. עורכים את קובץ התצורה שבו השתמשתם כדי להתקין את ממשק המשתמש של Edge כדי מגדירים את מאפייני ה-TLS הבאים:

   # Set to https to enable TLS.
   MANAGEMENT_UI_SCHEME=https 
   # Do NOT terminate TLS on a load balancer.
   MANAGEMENT_UI_TLS_OFFLOAD=n
   
   # Specify the key and cert. 
   MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
   MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem
   
   # Leave these properties set to the same values as when you installed the Edge UI:
   MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
   SHOEHORN_SCHEME=http

5. מריצים את הפקודה הבאה כדי להגדיר TLS:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

   כאשר configFile הוא השם של קובץ התצורה.

   הסקריפט מפעיל מחדש את ממשק המשתמש של Edge.

6. מריצים את הפקודות הבאות כדי להגדיר את shoehooורן ולהפעיל אותה מחדש:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

   לאחר ההפעלה מחדש, ממשק המשתמש של Edge תומך בגישה באמצעות HTTPS. אם לא ניתן להתחבר לממשק המשתמש של Edge אחרי הפעלת TLS, מוחקים את במטמון הדפדפן ולנסות להתחבר שוב.

הגדרת ממשק המשתמש של Edge כשה-TLS מסתיים במאזן העומסים

אם יש לכם מאזן עומסים שמעביר בקשות לממשק המשתמש של Edge, אפשר לסיים את חיבור ה-TLS במאזן העומסים, ואז בקשות להעברת מאזן עומסים לממשק המשתמש של Edge ב-HTTP:

ההגדרות האישיות האלה נתמכות אבל צריך להגדיר את מאזן העומסים ואת ממשק המשתמש של Edge בהתאם.

כדי להגדיר את ממשק המשתמש של Edge כשה-TLS מסתיים במאזן העומסים:

1. עורכים את קובץ התצורה שבו השתמשתם כדי להתקין את ממשק המשתמש של Edge כדי מגדירים את מאפייני ה-TLS הבאים:

   # Set to https to enable TLS
   MANAGEMENT_UI_SCHEME=https
   # Terminate TLS on a load balancer
   MANAGEMENT_UI_TLS_OFFLOAD=y
   # Set to the IP address or DNS name of the load balancer.
   MANAGEMENT_UI_IP=LB_IP_DNS
   # Set to the port number for the load balancer and Edge UI.
   # The load balancer and the Edge UI must use the same port number.
   MANAGEMENT_UI_IP=3001
   
   # Leave these properties set to the same values as when you installed the Edge UI:
   MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
   SHOEHORN_SCHEME=http
   

   אם מגדירים MANAGEMENT_UI_TLS_OFFLOAD=y, צריך להשמיט את MANAGEMENT_UI_TLS_KEY_FILE ו-MANAGEMENT_UI_TLS_CERT_FILE. המערכת מתעלמת מהבקשות האלה כי בקשות לממשק המשתמש של Edge מגיעות דרך HTTP.

2. מריצים את הפקודה הבאה כדי להגדיר TLS:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

   כאשר configFile הוא השם של קובץ התצורה.

   הסקריפט מפעיל מחדש את ממשק המשתמש של Edge.

3. מריצים את הפקודות הבאות כדי להגדיר את shoehooורן ולהפעיל אותה מחדש:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

   לאחר ההפעלה מחדש, ממשק המשתמש של Edge תומך בגישה באמצעות HTTPS. אם לא ניתן להתחבר לממשק המשתמש של Edge אחרי הפעלת TLS, מוחקים את במטמון הדפדפן ולנסות להתחבר שוב.

השבתת TLS בממשק המשתמש של Edge

כדי להשבית TLS בממשק המשתמש של Edge:

1. עורכים את קובץ התצורה שבו השתמשתם כדי להתקין את ממשק המשתמש של Edge כדי להגדיר מאפיין ה-TLS הבא:

   # Set to http to disable TLS.
   MANAGEMENT_UI_SCHEME=http
   
   # Only if you had terminated TLS on a load balancer,
   # reset to the IP address or DNS name of the Edge UI.
   MANAGEMENT_UI_IP=newue_IP_DNS
   

2. מריצים את הפקודה הבאה כדי להשבית TLS:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

   כאשר configFile הוא השם של קובץ התצורה.

   הסקריפט מפעיל מחדש את ממשק המשתמש של Edge.

3. מריצים את הפקודות הבאות כדי להגדיר את shoehooורן ולהפעיל אותה מחדש:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

   עכשיו אפשר לגשת לממשק המשתמש של Edge באמצעות HTTP. אם לא ניתן להתחבר לממשק המשתמש של Edge אחרי השבתת ה-TLS, מוחקים את במטמון הדפדפן ולנסות להתחבר שוב.