Depois de instalar o mTLS da Apigee em todos os nós do cluster, é necessário configurar e inicializar o componente apigee-mtls
. Para fazer isso, gere um
par de certificado/chave e atualize o
arquivo de configuração na máquina de administração. Em seguida, implante
os mesmos arquivos gerados e de configuração em todos os nós no cluster e inicialize o componente
apigee-mtls
local.
Configurar apigee-mtls (após a instalação inicial)
Nesta seção, descrevemos como configurar o mTLS da Apigee diretamente após a instalação inicial. Para informações sobre como atualizar uma instalação atual do Apigee mTLS, consulte Alterar uma configuração de apigee-mtls atuais.
Esta seção se aplica a instalações em um único data center. Para informações sobre como configurar o mTLS da Apigee em uma configuração de vários data centers, consulte Configurar vários data centers para o mTLS da Apigee.
O processo geral de configuração do apigee-mtls
é o seguinte:
- Atualize o arquivo de configuração: na
máquina de administração, atualize o arquivo para incluir as configurações
apigee-mtls
. - Instalar o Consul e gerar credenciais: instale o Consul e, opcionalmente, use-o para gerar credenciais TLS (uma única vez).
Além disso, edite o arquivo de configuração mTLS da Apigee para:
- Adicione as informações das credenciais
- Definir a topologia do cluster
É possível usar as credenciais atuais ou gerá-las com o Consul.
- Distribua as credenciais e o arquivo de configuração: distribua o mesmo par de certificado/chave gerado e o arquivo de configuração atualizado para todos os nós no cluster.
- Inicializar apigee-mtls: inicialize o componente
apigee-mtls
em cada nó.
Cada uma dessas etapas é descrita nas seções a seguir.
Etapa 1: atualizar o arquivo de configuração
Nesta seção, descrevemos como modificar o arquivo de configuração para incluir as propriedades de configuração mTLS. Para mais informações gerais sobre o arquivo de configuração, consulte Como criar um arquivo de configuração.
Depois de atualizar o arquivo de configuração com as propriedades relacionadas ao mTLS, copie-o para
todos os nós no cluster antes de inicializar o componente apigee-mtls
nesses
nós.
Para atualizar o arquivo de configuração:
- Na máquina de administração, abra o arquivo de configuração para edição.
- Copie o seguinte conjunto de propriedades de configuração mTLS e cole-o no arquivo de
configuração:
ALL_IP="ALL_PRIVATE_IPS_IN_CLUSTER" ZK_MTLS_HOSTS="ZOOKEEPER_PRIVATE_IPS" CASS_MTLS_HOSTS="CASSANDRA_PRIVATE_IPS" PG_MTLS_HOSTS="POSTGRES_PRIVATE_IPS" RT_MTLS_HOSTS="ROUTER_PRIVATE_IPS" MS_MTLS_HOSTS="MGMT_SERVER_PRIVATE_IPS" MP_MTLS_HOSTS="MESSAGE_PROCESSOR_PRIVATE_IPS" QP_MTLS_HOSTS="QPID_PRIVATE_IPS" LDAP_MTLS_HOSTS="OPENLDAP_PRIVATE_IPS" MTLS_ENCAPSULATE_LDAP="y" ENABLE_SIDECAR_PROXY="y" ENCRYPT_DATA="BASE64_GOSSIP_MESSAGE" PATH_TO_CA_CERT="PATH/TO/consul-agent-ca.pem" PATH_TO_CA_KEY="PATH/TO/consul-agent-ca-key.pem" APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR="NUMBER_OF_DAYS"
Defina o valor de cada propriedade de acordo com sua configuração.
A tabela a seguir descreve essas propriedades de configuração:
Propriedade Descrição ALL_IP
Uma lista separada por espaços dos endereços IP de hosts particulares de todos os nós no cluster. A ordem dos endereços IP não importa, exceto que ela precisa ser a mesma em todos os arquivos de configuração no cluster.
Se você configurar o mTLS da Apigee para vários data centers, liste todos os endereços IP de todos os hosts em todas as regiões.
LDAP_MTLS_HOSTS
O endereço IP do host particular do nó OpenLDAP no cluster. ZK_MTLS_HOSTS
Uma lista separada por espaço de endereços IP de hosts particulares em que os nós do ZooKeeper estão hospedados no cluster.
Com base nos requisitos, é preciso haver pelo menos três nós do ZooKeeper.
CASS_MTLS_HOSTS
Uma lista separada por espaço de endereços IP de hosts particulares em que os servidores do Cassandra estão hospedados no cluster. PG_MTLS_HOSTS
Uma lista separada por espaço de endereços IP de hosts particulares em que os servidores Postgres estão hospedados no cluster. RT_MTLS_HOSTS
Uma lista separada por espaço de endereços IP de host particular em que os roteadores estão hospedados no cluster. MTLS_ENCAPSULATE_LDAP
Criptografa o tráfego LDAP entre o processador de mensagens e o servidor LDAP. Defina como y
.MS_MTLS_HOSTS
Uma lista separada por espaço de endereços IP de hosts particulares em que os nós do Servidor de gerenciamento estão hospedados no cluster. MP_MTLS_HOSTS
Uma lista separada por espaço de endereços IP de hosts particulares em que os processadores de mensagens estão hospedados no cluster. QP_MTLS_HOSTS
Uma lista separada por espaço de endereços IP de hosts particulares em que os servidores Qpid estão hospedados no cluster. ENABLE_SIDECAR_PROXY
Determina se o Cassandra e o Postgres precisam estar cientes da malha de serviço. É necessário definir esse valor como "y".
ENCRYPT_DATA
A chave de criptografia codificada em base64 usada pelo Consul. Você gerou essa chave usando o comando consul keygen
na Etapa 2: instalar o Consul e gerar credenciais.Esse valor precisa ser o mesmo em todos os nós do cluster.
PATH_TO_CA_CERT
O local do arquivo de certificado no nó. Você gerou esse arquivo na Etapa 2: instalar o Consul e gerar credenciais. Esse local precisa ser o mesmo em todos os nós do cluster para que os arquivos de configuração sejam iguais.
O certificado precisa ser codificado em X509v3.
PATH_TO_CA_KEY
O local do arquivo de chave no nó. Você gerou esse arquivo na Etapa 2: instalar o Consul e gerar credenciais. Esse local precisa ser o mesmo em todos os nós do cluster para que os arquivos de configuração sejam iguais.
O arquivo de chave precisa ser codificado em X509v3.
APIGEE_MTLS_NUM_DAYS_CERT_VALID_FOR
O número de dias em que um certificado é válido para quando você gera um certificado personalizado.
O valor padrão é 365. O valor máximo é de 7.865 dias (cinco anos).
Além das propriedades listadas acima, o mTLS da Apigee usa várias outras propriedades quando você o instala em uma configuração de vários data centers. Para mais informações, acesse Configurar vários data centers.
- Confira se
ENABLE_SIDECAR_PROXY
está definido como "y". - Atualize os endereços IP nas propriedades relacionadas ao host. Use os endereços IP privados ao se referir a cada nó, e não os endereços IP públicos.
Nas próximas etapas, você vai definir os valores das outras propriedades, como
ENCRYPT_DATA
,PATH_TO_CA_CERT
ePATH_TO_CA_KEY
. Você ainda não define os valores.Ao editar as propriedades de configuração de
apigee-mtls
, observe o seguinte:- Todas as propriedades são strings. Coloque os valores de todas elas entre aspas simples ou duplas.
- Se um valor relacionado ao host tiver mais de um endereço IP particular, separe cada endereço IP com um espaço.
- Use endereços IP particulares, e não nomes de host ou endereços IP públicos, para todas as propriedades relacionadas ao host no arquivo de configuração.
- A ordem dos endereços IP em um valor de propriedade precisa estar na mesma ordem em todos os arquivos de configuração no cluster.
- Salve suas alterações no arquivo de configuração.
Etapa 2: instalar o Consul e gerar credenciais
Nesta seção, descrevemos como instalar o Consul e gerar as credenciais usadas pelos componentes compatíveis com mTLS.
Escolha um dos seguintes métodos para gerar as credenciais:
- Recomendado: crie sua própria autoridade certificadora (CA) usando o Consul, conforme descrito nesta seção
- Usar as credenciais de uma AC atual com o mTLS da Apigee (avançado)
Sobre as credenciais
As credenciais consistem no seguinte:
- Certificate: o certificado TLS
- Chave:a chave pública TLS.
- Mensagem de fofoca:uma chave de criptografia codificada em base64.
Você gera uma única versão de cada um desses arquivos apenas uma vez. Em seguida, copie os arquivos de chave e de certificado para todos os nós do cluster e adicione a chave de criptografia ao arquivo de configuração que também será copiado para todos os nós.
Para mais informações sobre a implementação de criptografia do Consul, consulte:
Instalar o Consul e gerar credenciais
Para gerar credenciais que o mTLS da Apigee usa para autenticar comunicações seguras entre os nós no cluster de nuvem privada, use um binário local do Consul . Como resultado, você precisa instalar o Consul na sua máquina de administração antes de gerar credenciais.
Para instalar o Consul e gerar credenciais mTLS:
- Na máquina de administração, faça o download do binário do Consul 1.8.0 no site da HashiCorp (em inglês).
- Extraia o conteúdo do arquivo salvo. Por exemplo, extraia o conteúdo para
/opt/consul/
. - Na máquina de administração, execute o comando a seguir para criar uma nova autoridade de certificação (CA, na sigla em inglês):
/opt/consul/consul tls ca create
O Consul cria os seguintes arquivos, que formam um par de certificado/chave:
consul-agent-ca.pem
(certificado)consul-agent-ca-key.pem
(chave)
Por padrão, os arquivos de certificado e de chave são codificados em X509v3.
Depois você vai copiar esses arquivos para todos os nós do cluster. No momento, você só precisa decidir onde colocar esses arquivos nos nós. Eles precisam estar no mesmo local em cada nó. Por exemplo,
/opt/apigee/
. - No arquivo de configuração, defina o valor de
PATH_TO_CA_CERT
como o local para onde você copiará o arquivoconsul-agent-ca.pem
no nó. Por exemplo:PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem"
- Defina o valor de
PATH_TO_CA_KEY
como o local para onde você copiará o arquivoconsul-agent-ca-key.pem
no nó. Por exemplo:PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem"
- Crie uma chave de criptografia para o Consul executando o seguinte comando:
/opt/consul/consul keygen
O Consul gera uma string aleatória parecida com esta:
QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY=
- Copie essa string gerada e defina-a como o valor da propriedade
ENCRYPT_DATA
no seu arquivo de configuração. Por exemplo:ENCRYPT_DATA="
QbhgD+EXAMPLE+Y9u0742X
/IqX3X429/x1cIQ+JsQvY=" - Salve o arquivo de configuração.
O exemplo abaixo mostra as configurações relacionadas a mTLS em um arquivo de configuração (com valores de exemplo):
... IP1=10.126.0.121 IP2=10.126.0.124 IP3=10.126.0.125 IP4=10.126.0.127 IP5=10.126.0.130 ALL_IP="$IP1 $IP2 $IP3 $IP4 $IP5" LDAP_MTLS_HOSTS="$IP3" ZK_MTLS_HOSTS="$IP3 $IP4 $IP5" CASS_MTLS_HOSTS="$IP3 $IP4 $IP5" PG_MTLS_HOSTS="$IP2 $IP1" RT_MTLS_HOSTS="$IP4 $IP5" MS_MTLS_HOSTS="$IP3" MP_MTLS_HOSTS="$IP4 $IP5" QP_MTLS_HOSTS="$IP2 $IP1" ENABLE_SIDECAR_PROXY="y" ENCRYPT_DATA="QbhgD+EXAMPLE+Y9u0742X/IqX3X429/x1cIQ+JsQvY=" PATH_TO_CA_CERT="/opt/apigee/consul-agent-ca.pem" PATH_TO_CA_KEY="/opt/apigee/consul-agent-ca-key.pem" ...
Etapa 3: distribuir o arquivo de configuração e as credenciais
Copie os seguintes arquivos para todos os nós usando uma ferramenta como scp
:
- Arquivo de configuração:copie a versão atualizada deste arquivo e substitua a versão atual em todos os nós, não apenas nos nós que executam o ZooKeeper.
- consul-agent-ca.pem::copie para o local especificado como o valor de
PATH_TO_CA_CERT
no arquivo de configuração. - consul-agent-ca-key.pem::copie para o local especificado como o valor de
PATH_TO_CA_KEY
no arquivo de configuração.
Verifique se os locais para onde você copiou os arquivos de certificado e de chave correspondem aos valores definidos no arquivo de configuração na Etapa 2: instalar o Consul e gerar credenciais.
Etapa 4: inicializar o apigee-mtls
Depois de instalar apigee-mtls
em cada nó, atualizar o arquivo de configuração e
copiá-lo e as credenciais para todos os nós no cluster, estará tudo pronto para inicializar o
componente apigee-mtls
em cada nó.
Para inicializar o apigee-mtls:
- Faça login em um nó no cluster como o usuário raiz. É possível executar essas etapas nos nós na ordem que você quiser.
- Torne o usuário
apigee:apigee
proprietário do arquivo de configuração atualizado, conforme o exemplo a seguir:chown apigee:apigee config_file
- Configure o componente
apigee-mtls
executando o seguinte comando:/opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f config_file
- (Opcional) Execute o seguinte comando para verificar se a configuração foi bem-sucedida:
/opt/apigee/apigee-mtls/lib/actions/iptables.sh validate
- Inicie o mTLS da Apigee executando o seguinte comando:
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
Depois de instalar o mTLS da Apigee, é necessário iniciar esse componente antes de qualquer outro componente no nó.
- (Somente nós do Cassandra) O Cassandra exige argumentos adicionais para funcionar na malha de segurança. Por isso, é preciso executar os seguintes comandos em cada nó do Cassandra:
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
- (Somente nós do Postgres) O Postgres exige argumentos adicionais para funcionar na
malha de segurança. Por isso, faça o seguinte nos nós do Postgres:
(Apenas principal)
- Execute os seguintes comandos no nó principal do Postgres:
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
(apenas em espera)
- Faça backup dos seus dados do Postgres. Para instalar o mTLS da Apigee, reinicialize os nós principais/de espera para que haja perda de dados. Para mais informações, consulte Configurar a replicação primária/de espera para o Postgres.
- Excluir todos os dados do Postgres:
rm -rf /opt/apigee/data/apigee-postgresql/pgdata
- Configure o Postgres e reinicie o Postgres, conforme o exemplo a seguir:
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup -f config_file
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql configure
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
Se você estiver instalando em uma topologia de vários data centers, use um caminho absoluto para o arquivo de configuração.
- Execute os seguintes comandos no nó principal do Postgres:
- Inicie os componentes restantes da Apigee no nó na
ordem de início, como
mostra o exemplo a seguir:
/opt/apigee/apigee-service/bin/apigee-service component_name start
- Repita esse processo para cada nó no cluster.
- (Opcional) Verifique se a inicialização de
apigee-mtls
foi bem-sucedida usando um ou mais dos seguintes métodos:- Validar a configuração do iptables
- Verificar o status do proxy remoto
- Verificar o status do quórum
Cada um desses métodos é descrito em Verificar sua configuração.
Alterar uma configuração do apigee-mtls existente
Para personalizar uma configuração de apigee-mtls
, desinstale e
reinstale o apigee-mtls
. Também é preciso aplicar a personalização em todos
os nós.
Para reforçar esse ponto, ao alterar uma configuração mTLS atual da Apigee:
- Se você alterar um arquivo de configuração, desinstale o
apigee-mtls
e execute novamentesetup
ouconfigure
:# DO THIS:
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
# BEFORE YOU DO THIS:/opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f file
OR/opt/apigee/apigee-service/bin/apigee-service apigee-mtls configure
- Desinstale e execute novamente
setup
ouconfigure
em todos os nós do cluster, não apenas em um único nó.