Mantenimiento de Apigee mTLS

En esta página, se describen las tareas de mantenimiento de mTLS de Apigee que se deben realizar con regularidad.

Rotar certificados locales

Los certificados locales, instalados en cada host de Apigee, deben reemplazarse por al año. Esto se denomina rotación de certificados. Existen dos formas de rotar los certificados: dependiendo de si Debes usar una autoridad certificadora personalizada. un certificado instalado por Consul.

Rotar certificados locales sin una autoridad certificadora (AC) personalizada

La forma más sencilla de rotar certificados sin una AC personalizada es Desinstalar y vuelve a instalar apigee-mtls. Esto quitará todos los certificados antiguos presentes y generará certificados nuevos de forma local. Puede hacerlo con un tiempo de inactividad mínimo. Para ello, ejecute los siguientes comandos en cada host: de a una por vez:

Nota: Si se supone que se trata del mismo archivo silent.conf que se usó para el cuando haya una instalación inicial.

  1. Detén todos los componentes principales de Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     Consulta Inicia, detén y verifica todos los componentes.
  2. Detén apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  3. Desinstala apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
  4. Reinstala apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install
  5. Ejecuta apigee-mtls setup: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf
  6. Reinicia apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Reinicia todos los componentes principales de Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     Consulta Inicia, detén y verifica todos los componentes.

Rotar certificados locales con una autoridad certificadora (AC) personalizada

Para rotar certificados locales con una AC personalizada, sigue estos pasos:

  1. Sigue los pasos que se indican en Cómo usar un certificado personalizado. para generar los nuevos certificados que usarás.
  2. Detén todos los componentes principales de Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     Consulta Inicia, detén y verifica todos los componentes.
  3. Detén apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  4. Quita los archivos de certificado locales antiguos: 
    rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
rm -rf /opt/apigee/data/apigee-mtls
  5. Copia el nuevo par de certificados/claves generado en el primer paso en las siguientes ubicaciones. actualizar permisos: 
    cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem
  6. Reinicia apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Reinicia todos los componentes principales de Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     Consulta Inicia, detén y verifica todos los componentes.