安裝 Apigee 單一登入 (SSO) 以達成高可用性

在以下兩種情況下，您會安裝多個 Apigee SSO 執行個體，以確保高可用性：

  • 在單一資料中心環境中，安裝兩個 Apigee SSO 執行個體，建立高可用性環境，也就是說，如果其中一個 Apigee SSO 模組故障，系統仍會繼續運作。
  • 在具有兩個資料中心的環境中，請在兩個資料中心都安裝 Apigee SSO，這樣一來，即使其中一個 Apigee SSO 模組故障，系統仍可繼續運作。

在同一個資料中心安裝兩個 Apigee SSO 模組

您可以在單一資料中心的不同節點上部署兩個 Apigee SSO 執行個體，以支援高可用性。此時：

  • 兩個 Apigee SSO 執行個體都必須連線至同一個 Postgres 伺服器。Apigee 建議您為 Apigee SSO 使用專屬的 Postgres 伺服器，而非與 Edge 一起安裝的 Postgres 伺服器。
  • 兩個 Apigee SSO 執行個體都必須使用相同的 JWT 金鑰組，如設定檔中的 SSO_JWT_SIGNING_KEY_FILEPATH 和 SSO_JWT_VERIFICATION_KEY_FILEPATH 屬性所指定。如要進一步瞭解如何設定這些屬性，請參閱「安裝及設定 Apigee SSO」。
  • 您必須在兩個 Apigee SSO 執行個體前方設置負載平衡器：
    • 負載平衡器必須支援應用程式產生的 Cookie 黏性，且工作階段 Cookie 必須命名為 JSESSIONID。
    • 設定負載平衡器，對 Apigee SSO 執行 TCP 或 HTTP 健康狀態檢查。如果是 TCP，請使用 Apigee SSO 的網址：
      http_or_https://edge_sso_IP_DNS:9099

      指定 Apigee SSO 設定的通訊埠。預設為通訊埠 9099。

      如果是 HTTP，請加入 /healthz：

      http_or_https://edge_sso_IP_DNS:9099/healthz
    • 部分負載平衡器設定取決於您是否在 Apigee SSO 啟用 HTTPS。詳情請參閱下方各節。

Apigee SSO 的 HTTP 存取權

如果您透過 HTTP 存取 Apigee SSO，請將負載平衡器設定為：

  • 使用 HTTP 模式連線至 Apigee SSO。

  • 監聽與 Apigee SSO 相同的通訊埠。

    根據預設，Apigee SSO 會監聽通訊埠 9099 上的 HTTP 要求。您也可以選擇使用 SSO_TOMCAT_PORT 設定 Apigee SSO 通訊埠。如果您使用 SSO_TOMCAT_PORT 變更 Apigee SSO 通訊埠，請確認負載平衡器會監聽該通訊埠。

舉例來說，在每個 Apigee SSO 執行個體上，您可以在設定檔中加入下列內容，將通訊埠設為 9033：

SSO_TOMCAT_PORT=9033

接著，您將負載平衡器設定為監聽通訊埠 9033，並將要求轉送至通訊埠 9033 上的 Edge SSO 執行個體。在這個情境中，Apigee SSO 的公開網址為：

http://LB_DNS_NAME:9033

透過 HTTPS 存取 Apigee SSO

您可以將 Apigee SSO 執行個體設為使用 HTTPS 進行安全通訊。在這種情況下，請按照「設定 Apigee SSO 的 HTTPS 存取權」中的步驟操作。在啟用 HTTPS 的過程中，請在 Apigee SSO 設定檔中設定 SSO_TOMCAT_PROFILE，如下所示：

SSO_TOMCAT_PROFILE=SSL_TERMINATION

(選用) 設定 Apigee SSO 用於 HTTPS 存取的通訊埠：

SSO_TOMCAT_PORT=9443

為確保負載平衡器與 Apigee SSO 之間能正常通訊，請按照下列步驟設定負載平衡器：

  • 請使用 TCP 模式 (而非 HTTP 模式) 連線至 Apigee SSO。這樣一來，SSL 連線就能通過，不會在負載平衡器終止。
  • 監聽與 Apigee SSO 相同的通訊埠 (由 SSO_TOMCAT_PORT 定義，例如 9443)。
  • 將要求轉送至相同通訊埠 (9443) 上的 Apigee SSO 執行個體。

請確認公開網址反映負載平衡器的 DNS 和通訊埠設定。在這個情境中，Apigee SSO 的公開網址為：

https://LB_DNS_NAME:9443

在多個資料中心安裝 Apigee SSO

在多個資料中心環境中，您會在每個資料中心安裝 Apigee SSO 執行個體。接著，一個 Apigee SSO 執行個體會處理所有流量。如果該 Apigee SSO 執行個體停止運作，您可以切換至第二個 Apigee SSO 執行個體。

在兩個資料中心安裝 Apigee SSO 前，您需要：

  • 主要 Postgres 伺服器的 IP 位址或網域名稱。

    在多資料中心環境中，您通常會在每個資料中心安裝一個 Postgres 伺服器，並將其設定為主要/待命複寫模式。在本例中，資料中心 1 包含主要 Postgres 伺服器，資料中心 2 則包含待命伺服器。詳情請參閱「為 Postgres 設定主執行個體與待命執行個體複製功能」。

  • 指向一個 Apigee SSO 執行個體的單一 DNS 項目。舉例來說，您可以使用下列格式建立 DNS 項目，指向資料中心 1 中的 Apigee SSO 執行個體：
    my-sso.domain.com => apigee-sso-dc1-ip-or-lb
  • 兩個 Apigee SSO 執行個體都必須使用相同的 JWT 金鑰組，如設定檔中的 SSO_JWT_SIGNING_KEY_FILEPATH 和 SSO_JWT_VERIFICATION_KEY_FILEPATH 屬性所指定。如要進一步瞭解如何設定這些屬性，請參閱「安裝及設定 Apigee SSO」。

在各資料中心安裝 Apigee SSO 時，請將兩者設為使用資料中心 1 的 Postgres 主要節點：

## Postgres configuration
PG_HOST=IP_or_DNS_of_PG_Master_in_DC1
PG_PORT=5432

您也將兩個資料中心設為使用 DNS 項目做為公開存取網址：

# Externally accessible URL of Apigee SSO
SSO_PUBLIC_URL_HOSTNAME=my-sso.domain.com
# Default port is 9099.
SSO_PUBLIC_URL_PORT=9099

如果資料中心 1 的 Apigee SSO 故障，您可以切換至資料中心 2 的 Apigee SSO 執行個體：

  1. 按照「處理 PostgreSQL 資料庫容錯移轉」一文所述，將資料中心 2 的 Postgres 待命伺服器轉換為主伺服器。
  2. 更新 DNS 記錄，將 my-sso.domain.com 指向資料中心 2 的 Apigee SSO 執行個體：
    my-sso.domain.com => apigee-sso-dc2-ip-or-lb
  3. 更新資料中心 2 中 Apigee SSO 的設定檔，指向資料中心 2 中的新 Postgres 主要伺服器：
    ## Postgres configuration
PG_HOST=IP_or_DNS_of_PG_Master_in_DC2
  4. 在資料中心 2 重新啟動 Apigee SSO，更新設定： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso restart